Anonymisation RGPD : l'EDPB propose de réécrire la doctrine de 2014

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD, EDPB en anglais) a adopté un projet de lignes directrices sur l'anonymisation, les Guidelines 02/2026. Ce texte, ouvert à consultation publique jusqu'au 30 octobre 2026, remplace l'avis de référence de 2014 qui servait jusqu'ici de boussole à tous les DPO confrontés à la question : mes données sont-elles vraiment anonymes, ou seulement pseudonymisées ?

Ce qui s'est passé

Douze ans après l'avis 05/2014 sur les techniques d'anonymisation, le CEPD remet le sujet sur la table. Le déclencheur est en partie judiciaire : l'arrêt de la Cour de justice de l'UE dans l'affaire SRB avait déjà bousculé la doctrine en jugeant que le caractère personnel d'une donnée pouvait dépendre du destinataire qui la reçoit, et non de l'émetteur qui la transmet. Les nouvelles lignes directrices reprennent cette idée et en font un principe central : l'anonymisation est une question de point de vue. Une même base de données peut être anonyme pour une entité et parfaitement identifiante pour une autre, selon les moyens, les accès et les informations complémentaires dont chacune dispose.

Concrètement, le CEPD demande aux organisations d'identifier d'abord les entités pertinentes susceptibles de manipuler le jeu de données, puis d'évaluer, pour chacune, la probabilité de ré-identification par des moyens « raisonnablement susceptibles d'être utilisés ». Un jeu de données confié à un sous-traitant doit être évalué du point de vue du responsable de traitement qui en garde le contrôle : le sous-traitant ne peut donc pas s'affranchir de ses obligations RGPD simplement parce que, de son côté, il ne dispose pas des clés de ré-identification.

Pourquoi c'est important

La notion de donnée personnelle telle que définie à l'article 4 du RGPD repose sur la possibilité, ou non, d'identifier une personne physique. Or la frontière entre anonymisation et pseudonymisation reste l'un des points les plus mal maîtrisés par les organisations : une donnée pseudonymisée demeure une donnée personnelle, alors qu'une donnée réellement anonyme échappe entièrement au RGPD. Le CEPD rappelle aussi un point souvent oublié : anonymiser un jeu de données constitue en soi un traitement, qui doit reposer sur une base légale distincte de celle du traitement initial, et sur une dérogation de l'article 9 lorsque les données sont sensibles.

Ce texte s'inscrit dans une séquence plus large : le CEPD avait déjà abordé l'anonymisation à l'été dans son état des lieux sur l'anonymisation, le scraping pour l'IA générative et la blockchain, et avait publié des lignes directrices attendues sur le traitement des données à des fins de recherche scientifique, un domaine où l'anonymisation est souvent présentée, à tort, comme une solution miracle pour s'affranchir du RGPD.

Ce que ça change pour les organisations

Sur le plan technique, les lignes directrices maintiennent et affinent trois critères déjà connus pour juger qu'un jeu de données est anonyme : l'isolement (aucune combinaison unique d'attributs ne renvoie à un seul individu), la corrélation (impossibilité de relier le jeu à un autre qui identifierait la personne) et l'inférence (impossibilité de tirer des conclusions précises sur un individu). Si les trois critères sont satisfaits, la donnée peut être considérée comme anonyme ; à défaut, une analyse contextuelle plus poussée s'impose.

Deux méthodes d'évaluation sont proposées : une approche contextuelle, qui tient compte des moyens réellement disponibles pour les entités concernées, et une approche « simplifiée », plus généreuse en apparence mais qui applique un standard plus élevé en considérant la capacité de n'importe quel tiers à ré-identifier les personnes. Pour les DPO et RSSI, trois actions concrètes découlent de ce projet : documenter la base légale de chaque opération d'anonymisation, revoir les contrats avec les sous-traitants qui manipulent des données prétendument anonymisées, et anticiper la consultation publique en participant ou en suivant les retours du CEPD jusqu'au 30 octobre 2026, avant l'adoption d'une version définitive.

Ce que Leto pense de cette décision

Ce projet de lignes directrices a le mérite de clarifier une notion que beaucoup d'organisations manient avec trop de confiance. Trop d'acteurs qualifient encore d'« anonymisées » des données qui ne sont en réalité que pseudonymisées, pour s'autoriser des usages secondaires (partage, revente, entraînement de modèles d'IA) sans base légale solide. En insistant sur le fait que l'anonymisation dépend du destinataire et non de l'émetteur, le CEPD referme une porte de sortie commode. Reste que le texte n'est encore qu'un projet : les organisations ont jusqu'à fin octobre pour peser sur sa version finale, et feraient bien de ne pas attendre l'adoption définitive pour réexaminer leurs propres pratiques d'anonymisation.

Sources : Inside Privacy, EDPB Publishes Draft Guidelines on Anonymisation, EDPB, Guidelines 02/2026 on Anonymisation (consultation publique)