Il y a une phrase qui traîne dans à peu près tous les registres de traitement que j’ouvre : « les données sont anonymisées ». Elle est confortable. Elle clôt la discussion. Et depuis le 7 juillet 2026, elle ne suffit plus. Parlons d’anonymisation RGPD :
Ce jour-là, en plénière, le Comité européen de la protection des données a adopté ses lignes directrices 02/2026 sur l’anonymisation, ouvertes à consultation publique jusqu’au 30 octobre. Le même jour, il a publié des lignes directrices sur le moissonnage de données pour l’IA générative et finalisé celles sur la blockchain. Le trio n’est pas un hasard : les trois textes tournent autour de la même question, celle de savoir ce qui reste une donnée personnelle quand la technique prétend l’avoir effacée.
Le texte remplace l’avis 05/2014 du G29. Douze ans, dans ce domaine, c’est une éternité. L’avis de 2014 avait été écrit avant les grands modèles de langage, avant les attaques par inférence documentées à grande échelle, avant que la Cour de justice ne rende une série d’arrêts qui ont déplacé la ligne. Le CEPD ne réécrit pas le RGPD, il n’en a ni le pouvoir ni l’intention. Il fait quelque chose de plus dérangeant pour les praticiens : il explique comment lire le considérant 26 en 2026.
Le vrai changement : l’anonymat n’est pas une propriété du fichier
Voici l’idée qui va vous coûter des heures de réunion. Une donnée n’est pas anonyme « en soi ». Elle est anonyme pour quelqu’un.
Le CEPD assume cette relativité et l’ancre dans la jurisprudence, au premier rang de laquelle l’arrêt C-413/23 P, EDPS contre CRU, rendu le 4 septembre 2025, dans le prolongement de Breyer, Scania et OC contre Commission. Le caractère identifiable s’apprécie du point de vue de l’entité qui détient la donnée, au regard des moyens qu’elle est raisonnablement susceptible de mettre en œuvre.
Conséquence pratique, et elle est brutale pour ceux qui raisonnent en tout ou rien : un même jeu de données peut être personnel pour l’organisme qui l’a produit, et anonyme pour le laboratoire de recherche indépendant qui le reçoit sans clé, sans table de correspondance et sans moyen réaliste de remonter aux personnes. La ligne ne passe plus entre deux catégories de fichiers. Elle passe entre deux points de vue sur le même fichier.
Attention au faux ami. Cette relativité ne vaut pas pour votre sous-traitant. Si un prestataire d’analytics traite pour votre compte des extraits codés de votre base clients, il ne peut pas se retrancher derrière le fait qu’il n’a pas la clé : la qualification s’apprécie du point de vue du responsable de traitement, et le prestataire reste sous-traitant, avec toutes les obligations qui vont avec. La distinction entre sous-traitant et destinataire autonome cesse d’être une clause de contrat. Elle devient le pivot de la qualification.
Le CEPD ajoute une nuance que beaucoup vont oublier : la perspective pertinente peut varier selon l’obligation examinée. Dans EDPS contre CRU, la Cour a jugé que l’obligation de transparence s’appréciait du point de vue du responsable au moment de la collecte. Les données étaient personnelles pour lui à cet instant, il devait donc informer les personnes de l’existence de destinataires, peu importe que les données soient devenues anonymes chez ces derniers.
Deux méthodes, et le droit d’être prudent
Pour rendre le test opérationnel, le CEPD propose deux chemins.
L’approche contextuelle consiste à identifier chaque entité pertinente et à évaluer, pour chacune, les moyens qu’elle est raisonnablement susceptible d’utiliser. C’est la méthode fidèle au standard. Elle est précise. Elle est aussi coûteuse : il faut cartographier l’environnement de données, les acteurs, leurs accès, les chaînes de coopération possibles. Oubliez une capacité, et votre conclusion s’effondre.
L’approche simplifiée ignore volontairement ces différences et se demande si la réidentification est possible, point. Elle peut vous conduire à traiter comme personnelles des données qui seraient en réalité anonymes pour certains destinataires. Le CEPD l’assume : c’est un choix de prudence, pas un standard concurrent.
En pratique, la combinaison des deux est la voie raisonnable. On commence par le test simplifié. Si aucune technique de réidentification n’existe même en théorie, on s’arrête là. Si une piste apparaît, on bascule sur l’analyse contextuelle pour déterminer si cette piste est réaliste pour les entités concernées. Et on garde une marge de sécurité, parce que les capacités des attaquants ne font que croître.
Les trois tests, avec les exemples du CEPD
Le triptyque de 2014 survit, sous des intitulés actualisés : pas d’isolement d’enregistrement, pas de corrélation, pas d’inférence. Si les trois sont satisfaits, la donnée peut être considérée comme anonyme. Si l’un échoue, la donnée n’est pas automatiquement personnelle, mais l’analyse doit continuer : la faiblesse identifiée permet-elle réellement de distinguer une personne et de la traiter différemment, avec une fiabilité suffisante ?
Isolement. Un fichier de patients contenant sexe, date de naissance, code postal et diagnostic. Aucun nom, aucun identifiant. Et pourtant chaque ligne y est unique. Le critère est violé, parce qu’on peut isoler un individu, même sans savoir comment il s’appelle.
Corrélation. Une boutique de jeux de société efface les identifiants directs de son historique d’achats. Bonne idée, mais insuffisante : les combinaisons de jeux achetés se recoupent avec les listes publiques que les joueurs publient sur un site de collection. Deux jeux de données, un pont, des personnes identifiées.
Inférence. Une entreprise publie des données agrégées de rémunération pour six ingénieurs. Cinq d’entre eux, dans une équipe, totalisent 480 000 euros. La masse salariale globale affichée est de 550 000 euros. Le sixième gagne donc 70 000 euros, et tout le monde peut le calculer. L’agrégation n’a rien anonymisé du tout.
Retenez ce dernier exemple. Il dit l’essentiel : transformer des enregistrements en statistiques, en paramètres de modèle ou en données synthétiques ne les rend pas anonymes par magie.
Pseudonymisation et anonymisation : trois exemples de chaque
La confusion entre les deux notions reste la première cause de qualification erronée dans les registres. Voici de quoi trancher.
Ce qui est de la pseudonymisation, et reste donc du RGPD
Le remplacement du nom d’un salarié par un matricule, avec la table de correspondance conservée par la direction des ressources humaines. La clé existe, elle est à portée de main, la donnée reste personnelle.
L’adresse e-mail hachée en SHA-256 pour alimenter une audience publicitaire. Le hachage est déterministe : la même adresse produit toujours la même empreinte, ce qui permet de reconnaître la personne d’un site à l’autre et de lui adresser un message différent. Le CEPD est clair sur ce point : reconnaître durablement quelqu’un et le traiter différemment suffit à le rendre identifiable, même si personne ne connaît son état civil.
L’identifiant patient dans une étude clinique, quand le centre investigateur conserve le cahier d’inclusion. Le promoteur ne voit que des codes, mais la chaîne existe. Pour le promoteur, la donnée est pseudonymisée, pas anonyme.
Ce qui peut atteindre l’anonymat, sous conditions
Une statistique publiée après généralisation et suppression : année de naissance plutôt que date exacte, département plutôt que code postal, tranche de revenus plutôt que montant, et suppression pure et simple des groupes trop petits. C’est le seuil qui fait le travail, pas la généralisation seule.
Un jeu de données diffusé avec un bruit calibré selon un mécanisme de confidentialité différentielle, avec un budget de confidentialité documenté et un plafond au nombre de requêtes. C’est aujourd’hui la seule famille de techniques qui offre une garantie mesurable contre l’inférence, plutôt qu’une intuition.
Des comptages agrégés dans lesquels les valeurs extrêmes ont été écrêtées et les cellules à faible effectif fusionnées, après un test de réidentification mené par une équipe qui n’a pas conçu le jeu de données. Les personnes atypiques sont le point faible de toute anonymisation : le CEPD rappelle qu’un fichier n’est anonyme que si le risque est négligeable pour chacun, pas en moyenne.
Le mot « anonyme » ne se décrète pas. Il se démontre, et il se redémontre.
Pourquoi l’IA fait basculer le troisième test
Le critère d’inférence était le parent pauvre du triptyque de 2014. Il devient le champ de bataille.
Les modèles apprennent des régularités, et parfois retiennent des exemples. Le phénomène de mémorisation, ou régurgitation, est documenté : un modèle génératif restitue des fragments de ses données d’entraînement quand on l’interroge avec le bon contexte. Le CEPD le relie explicitement au critère d’inférence, dans la ligne de son avis 28/2024 sur les modèles d’IA, qui concluait déjà que très peu de modèles peuvent être qualifiés d’anonymes.
Le texte va plus loin et acte que l’IA, notamment l’IA agentique, réduit le temps et le coût de la réidentification. Or le standard parle de moyens « raisonnablement susceptibles » d’être utilisés. Une attaque qui coûtait six mois de travail à un statisticien chevronné en 2014, et qui était donc écartée comme disproportionnée, peut coûter quelques heures d’agent automatisé en 2027. Le périmètre de ce qui est raisonnable s’élargit sans que personne ne vote quoi que ce soit.
Un jeu de données jugé anonyme il y a huit ans peut donc ne plus l’être aujourd’hui, sans qu’une seule ligne n’y ait été modifiée.
L’arrière-plan politique, qu’il ne faut pas manquer
Dans son paquet Digital Omnibus de 2025, la Commission avait envisagé de resserrer la définition de la donnée personnelle, ce qui aurait mécaniquement élargi le champ de l’anonyme. Le CEPD et le Contrôleur européen ont bloqué la manœuvre dans leur avis conjoint 2/2026, et la définition contestée a été abandonnée.
Traduction : les lignes directrices 02/2026 ne sont pas un texte d’attente. Elles sont le cadre de référence, et le rapport de force qui vient de se jouer indique que ce cadre ne sera pas adouci par la porte de derrière.
Six stratégies pour un DPO qui ne veut pas se faire surprendre
Rien de tout cela n’est contraignant avant la version finale. Tout cela reflète la doctrine du régulateur et la jurisprudence de la Cour. Attendre octobre 2026 pour commencer serait un pari étrange.
Ouvrez un dossier d’anonymisation par jeu de données. Source, technique appliquée, entités pertinentes et leur point de vue, informations auxiliaires considérées, techniques de réidentification envisagées, résultat des trois tests, motif pour lequel le risque résiduel est jugé négligeable. Ce dossier se conserve après la fin du processus. C’est votre seule preuve.
Ajoutez une colonne « anonyme pour qui » dans votre registre. La mention « données anonymisées » sans destinataire nommé ne veut plus rien dire. Un traitement peut produire des données anonymes pour un partenaire de recherche et rester intégralement personnel chez vous.
Montez une équipe rouge de réidentification. Deux jours par an, une personne qui n’a pas conçu le jeu de données essaie de casser l’anonymat avec ce qui est publiquement disponible. Vous apprendrez plus en deux jours que dans six mois de comité.
Datez vos conclusions. Une qualification d’anonymat porte une date de péremption. Fixez une revue annuelle pour les jeux publiés ou partagés, et une revue immédiate en cas d’incident touchant les informations complémentaires dont dépendait l’anonymat.
Cessez de compter sur le contrat. Une clause d’interdiction de réidentification soutient un dispositif, elle ne le remplace pas. Le CEPD est explicite : les contrats se modifient, s’ignorent et se violent, et ils n’engagent que les parties. Même chose pour l’argument du désintérêt supposé de l’attaquant, que le texte écarte comme non fiable.
Purgez le mot « anonymisé » de vos mentions d’information quand il est faux. Dans la grande majorité des cas, le terme exact est « pseudonymisé ». Utiliser le mauvais mot devant les personnes concernées, c’est déjà un manquement à la transparence.
Distinguer donnée anonyme et donnée pseudonymisée dans un registre devient un exercice à haut risque. DPO SUITE qualifie chaque traitement et conserve la trace de vos analyses, de sorte que le statut réel de vos données soit documenté plutôt que supposé.
Et après ? Trois paris
Sur la version finale, d’abord. La consultation se ferme le 30 octobre 2026. Vu le calendrier des textes précédents, la version 2.0 arrivera vraisemblablement au deuxième ou troisième trimestre 2027. Les contributions du secteur de la publicité et de la recherche en santé porteront sur les mêmes points qu’en 2025 pour la pseudonymisation : des seuils, des exemples sectoriels, des outils pratiques. Le CEPD en ajoutera probablement, sans céder sur le principe de relativité, qui est adossé à la Cour et donc difficilement négociable.
Sur le contentieux, ensuite. Le premier dossier significatif portera sur un jeu de données présenté comme anonyme et utilisé pour entraîner un modèle. C’est le point de rencontre exact des lignes directrices 02/2026, des lignes directrices sur le moissonnage et de l’avis 28/2024. Les autorités disposent désormais d’une grille pour le démontrer, et d’une jurisprudence pour l’appuyer.
Sur le marché, enfin. La preuve d’anonymat va devenir un livrable. Test de réidentification, budget de confidentialité différentielle, attestation datée : ce qui relevait hier de la recherche académique va s’industrialiser, sous la pression des acheteurs autant que des régulateurs. Les acteurs qui savent produire cette preuve vendront leurs données et leurs modèles. Les autres découvriront que leur « actif anonyme » est un traitement de données personnelles qui s’ignore, avec une base légale à trouver a posteriori.
Appeler une donnée anonyme n’a jamais suffi à la rendre anonyme. À partir de maintenant, il faudra le prouver.
Questions fréquentes
Les lignes directrices 02/2026 s’appliquent-elles déjà ? Elles sont en consultation jusqu’au 30 octobre 2026 et le texte final peut évoluer. Mais elles ne créent aucune règle nouvelle : elles interprètent le considérant 26 du RGPD à la lumière d’arrêts déjà rendus. Une autorité de contrôle peut donc s’appuyer dès aujourd’hui sur le raisonnement de la Cour, sans attendre la version 2.0.
Une donnée peut-elle être anonyme pour l’un et personnelle pour l’autre ? Oui, et c’est le cœur du texte. Depuis l’arrêt C-413/23 P, l’identifiabilité s’apprécie au regard des moyens raisonnablement disponibles pour chaque entité. Une même donnée peut être anonyme pour un destinataire indépendant dépourvu de clé, et rester personnelle chez l’organisme qui conserve la table de correspondance. Attention : cette relativité ne bénéficie pas à un sous-traitant, dont la position s’apprécie du point de vue du responsable de traitement.
Faut-il réexaminer les anonymisations validées avant 2026 ? Oui, en commençant par les jeux publiés ou partagés, qui sont les plus exposés. La réidentification devient plus rapide et moins chère à mesure que les outils progressent, et le standard des moyens raisonnablement susceptibles d’être utilisés suit ce mouvement. Un fichier inchangé peut changer de statut sans que vous ayez rien fait.
Les données synthétiques sont-elles anonymes ? Pas par principe. Si le générateur a mémorisé des enregistrements réels, ou si les sorties permettent de déduire une information spécifique et significative sur une personne présente dans les données d’entraînement, le critère d’inférence est violé. La qualification suppose un test, pas une déclaration du fournisseur.
La pseudonymisation permet-elle de sortir du RGPD ? Non. Une donnée pseudonymisée reste une donnée personnelle : la réidentification demeure possible au moyen des informations complémentaires. La pseudonymisation est une mesure de sécurité et de minimisation, très utile pour réduire le risque et soutenir une analyse d’impact, mais elle ne fait pas franchir la frontière. Seule une anonymisation démontrée, validée par les trois tests et documentée, y parvient.
