Anonymisation des données, un cadre complété et opérationnel !

Le CEPD affine le concept d’anonymisation à la lumière de la jurisprudence récente (I), enrichit la méthodologie d’évaluation autour des trois critères historiques (II) et confirme – s’il en était besoin - que l’anonymisation constitue un traitement soumis au RGPD (III).

1. Un cadre d’anonymisation affiné, à la lumière de la jurisprudence

L’avis de 2014 posait le principe fondamental selon lequel l’anonymisation devait empêcher toute (ré-) identification par des « moyens raisonnablement susceptibles d’être mis en œuvre » par le responsable du traitement ou par un tiers. Les lignes directrices 2026 prolongent cette analyse en l’éclairant par la jurisprudence récente de la CJUE[3], qui interprète désormais l’analyse de risques de (ré-) identification comme devant consister en un test de vraisemblance - et non d’une impossibilité absolue de réidentifier - tenant compte de facteurs objectifs : propriétés intrinsèques de la donnée, contexte de diffusion, informations additionnelles accessibles, coût et temps nécessaires à la (ré-) identification, et état de la technologie. La notion de « moyens » susceptibles d’être utilisés est entendue largement : lecture d’un document, recherche sur Internet, analyses complexes, voire recours aux moyens de tiers. Les interdictions légales d’accès ne font obstacle à la (ré)identification que si elles sont effectivement respectées ; les interdictions contractuelles seules ne suffisent pas.

L’apport le plus novateur réside dans la reconnaissance que le caractère anonyme s’apprécie désormais du point de vue de chaque entité pertinente (« perspective »). Une même donnée peut ainsi être considérée comme anonyme pour une entité ne disposant d’aucune information complémentaire, tout en demeurant une donnée à caractère personnel pour celle qui détient la clé de correspondance.

L’avis de 2014 mentionnait déjà « l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre », soit par le responsable du traitement, soit par un tiers ; mais sans formaliser cette approche par « perspective », laquelle est directement inspirée de la jurisprudence susvisée.

Deux approches d’évaluation sont ainsi proposées : une approche « simplifiée » visant à déterminer si en théorie une (ré-) identification est possible, conduisant (i) dans la négative, à pouvoir retenir que les données sont anonymes, et (ii) dans l’affirmative, à devoir conduire une approche « contextualisée », visant à déterminer si en pratique une (ré-) identification est possible, en tenant compte des capacités propres des « perspective » (entités pertinentes).

2. Des critères d’anonymisation historiques précisés

Les trois critères posés par le G29 en 2014 - individualisation, corrélation, inférence - sont conservés par les lignes directrices 2026 : No Record Isolation (la donnée ne doit pas contenir de combinaison unique de valeurs d’attributs se rapportant à un seul individu), No Linkage (impossibilité de relier la donnée à d’autres informations relatives au même individu, provenant d’une base de données différente) et No Inference (impossibilité de déduire des informations sur un individu).

Le principal affinement substantiel porte sur la clarification du critère d’inférence.
Le CEPD distingue désormais (i) l’inférence « spécifique et significative » supposant que les données à caractère personnel déduites (i.e., inférées) sont liées à l’ensemble de données d’origine d’un individu spécifique, et ainsi susceptibles d’affecter ses droits et intérêts (ii) de l’inférence générale, supposant a contrario que les données à caractère personnel déduites ne pas réellement liées à l’ensemble de données d’origine et ainsi non susceptibles d’affecter les droits et libertés d’une personne en particulier. Seule l’inférence « spécifique et significative » viole le critère No Inference. 
L’avis de 2014 ne faisait pas cette distinction fine, ce qui pouvait conduire à disqualifier l’anonymisation d’un jeu de données sur la base d’une inférence purement statistique et impersonnelle.

Les lignes directrices introduisent également les facteurs clés d’évaluation de l’efficacité d’une technique d’anonymisation (i.e., d’une analyse de risques de (ré-) identification): caractère agrégé ou non des données, dimension, résolution (niveau de détail), diversité, nombre d’individus concernés, disponibilité d’informations complémentaires), assortis d’une règle empirique : les données à un niveau individuel, à forte dimensionnalité et résolution élevée, sont les plus vulnérables.
Ces facteurs, absents de l’avis de 2014, offrent une grille d’analyse structurée, accompagnée d’un arbre de décision en annexe.
Enfin, si les trois critères sont satisfaits, la donnée peut être considérée comme anonyme ; si l’un est violé, une analyse complémentaire doit être menée, sans qu’une qualification automatique en donnée personnelle ne doive intervenir - précision bienvenue que le texte de 2014 ne comportait pas -.

3. L’anonymisation, un traitement soumis au RGPD

L’avis de 2014 se concentrait sur les techniques d’anonymisation (bruit, permutation, k-anonymat, l-diversité) sans traiter des obligations de conformité entourant le traitement d’anonymisation lui-même.  Les lignes directrices 2026 affirment enfin que l’anonymisation constitue un traitement de données personnelles soumis au RGPD et, à ce titre, requiert une base légale au titre de l’article 6, et le cas échéant une dérogation au titre de l’article 9§ 2 pour les catégories particulières de données, notamment les données de santé.

Au titre de ce traitement d’anonymisation, les bases au titre des articles 6 et 9.2 du RGPD devraient être présumées coïncider avec celles applicables au traitement précédant l'anonymisation, si l'anonymisation s'inscrit dans le cadre de la même activité de traitement et que le responsable du traitement poursuit les mêmes finalités au sens des lignes directrices relatives au traitement à des fins de recherche scientifique[4].

Les obligations de transparence sont également précisées : il est interdit d’utiliser les termes « anonyme » ou « dépersonnalisé » de façon trompeuse si les personnes restent identifiables, et une obligation de documentation du processus d’anonymisation et de son efficacité (via des tests) est imposée.

Le CEPD traite par ailleurs la question inédite des jeux de données mixtes (mélange de données personnelles et anonymes) : le jeu de données entier doit être traité comme contenant des données personnelles dès lors que les parties ne peuvent être séparées.

Enfin, le CEPD reconnaît explicitement que le risque de (ré-) identification évolue dans le temps (progrès technologiques, disponibilité croissante d’informations, développement de l’IA agentique) et recommande une réévaluation périodique du caractère anonyme, y compris à la suite d’un incident de sécurité.

Ces lignes directrices fournissent un cadre opérationnel et actualisé pour l’anonymisation, en prolongeant et enrichissant les acquis de l’avis du G29 de 2014 à la lumière de la jurisprudence et des évolutions technologiques.

Elles concilient ainsi exploitation des données – y compris aux fins de développement de systèmes d’IA - et protection effective des droits fondamentaux des personnes concernées !