L’anonymisation RGPD rassure les directions : une fois les données déclarées anonymes, le règlement cesse de s’appliquer. Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté ses lignes directrices 02/2026 sur l’anonymisation. Elles actualisent ainsi l’avis 05/2014 du groupe de l’article 29 sur les techniques d’anonymisation.
À l’aune de ce texte, une bonne partie des traitements notés « anonymisés » dans les registres que nous relisons ne passent pas le test. Vérifiez donc votre anonymisation RGPD avant qu’un contrôle le fasse à votre place.
Pourquoi l’anonymisation RGPD pèse aussi lourd
Une donnée réellement anonymisée sort en effet du champ du RGPD. Ainsi, plus de base légale à trouver, plus de durée de conservation à fixer, plus de droit d’accès à gérer. Le règlement n’offre d’ailleurs aucune autre sortie aussi complète.
Dès lors, la tentation de qualifier trop vite s’explique facilement. Par exemple, statistiques, partage de jeux de données, entraînement de modèles d’IA, archives conservées sans limite : chaque projet gagne à pouvoir écrire « données anonymes ». Or une qualification erronée laisse le traitement entièrement soumis au RGPD, sans aucune des protections prévues.
Anonymisation ou pseudonymisation, une différence concrète
Remplacer un nom par un numéro relève de la pseudonymisation. Les données restent donc personnelles, car une table de correspondance permet de retrouver la personne.
L’anonymisation exige au contraire qu’aucun moyen raisonnable ne permette la réidentification. Par exemple, un export « sans les noms » qui garde le code postal, la date de naissance et la profession n’est pas anonyme. En effet, la combinaison de ces attributs peut suffire à réidentifier des individus.
| Critère | Pseudonymisation | Anonymisation |
|---|---|---|
| Statut | Données personnelles | Hors du champ du RGPD |
| Retour à la personne | Possible avec une clé ou des données complémentaires | Impossible par des moyens raisonnables |
| Obligations | Toutes : base légale, information, sécurité, droits | Aucune une fois l’anonymat démontré |
| Exemple | Nom remplacé par un numéro patient | Statistiques agrégées sans individu isolable |
Ce que changent les lignes directrices 02/2026 du CEPD
D’abord, le cadre proposé teste l’anonymat selon trois critères : absence d’individualisation des enregistrements, absence de corrélation et absence d’inférence. Ainsi, si les trois sont remplis, les données peuvent être considérées comme anonymes. En revanche, si l’un d’eux échoue, une analyse plus approfondie s’impose.
Ensuite, l’anonymat s’apprécie entité par entité. Autrement dit, un même jeu de données peut être anonyme chez un destinataire sans aucun moyen de réidentifier, et personnel chez celui qui détient des informations complémentaires. Sur ce point, le CEPD tient compte de l’arrêt de la Cour de justice de l’Union européenne du 4 septembre 2025 (C-413/23 P), qui opposait le Contrôleur européen de la protection des données au Conseil de résolution unique.
De plus, le test des moyens raisonnables devient contextuel : coûts, temps, technologies disponibles et données accessibles ailleurs entrent dans l’analyse. Deux voies coexistent alors. L’approche contextuelle tient compte des capacités de chaque acteur. L’approche simplifiée, à l’inverse, ignore ces différences : plus prudente, elle peut conduire à traiter comme personnelles des données qui seraient anonymes pour un destinataire donné.
Enfin, la documentation devient la preuve. Concrètement, le responsable de traitement documente le processus d’anonymisation et les tests réalisés pour démontrer son efficacité. Comme le risque de réidentification augmente avec le temps, le CEPD recommande aussi de le réévaluer périodiquement. Pour l’instant, le texte reste soumis à consultation publique jusqu’au 30 octobre 2026.
Le test d’anonymisation RGPD en quatre questions
Pour chaque traitement qualifié d’anonyme dans votre registre des traitements, posez ces questions dans l’ordre. Une seule réponse défavorable suffit à faire tomber l’anonymisation RGPD revendiquée.
- Existe-t-il, chez vous ou ailleurs, une table de correspondance ou une clé qui permet de revenir aux personnes ?
- La combinaison des attributs restants (localisation, âge, profession, dates) isole-t-elle des individus ?
- Un acteur motivé, avec des moyens raisonnables et les données publiques disponibles, peut-il réidentifier ?
- Votre analyse est-elle écrite, datée et revue à chaque évolution du jeu de données ?
Sur un registre tenu dans un tableur, la mention « données anonymisées » se recopie souvent de version en version sans jamais être vérifiée. Or une qualification non vérifiée finit par coûter cher, comme le montre la sanction d’IQVIA en Italie sur l’anonymisation des données de santé.
À l’inverse, un registre tenu dans un outil dédié facilite la revue périodique que demande le CEPD. Nous avons conçu dans cette logique DPO Suite, l’application de conformité qui réunit registre, violations, demandes de droits, sous-traitants et analyses d’impact.
Sources
Le texte complet et la consultation publique sont accessibles sur le site du CEPD : Guidelines 02/2026 on Anonymisation.
Le communiqué d’adoption du 7 juillet 2026 détaille les trois critères : EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain.
La CNIL en publie une traduction en français, qui mentionne l’arrêt C-413/23 P et les deux approches : Le CEPD met en lumière l’anonymisation et le moissonnage pour l’IA générative et adopte la version finale des lignes directrices sur la chaîne de blocs.
