Pendant longtemps, une méthode semblait rassurante : supprimer les noms, remplacer les identifiants par des codes, puis qualifier le fichier d’« anonyme ».
Le nouveau projet de lignes directrices adopté le 7 juillet 2026 par le Comité européen de la protection des données rappelle que cette sécurité peut être illusoire.
Une donnée n’est pas anonyme parce que son auteur l’affirme, ni parce qu’une technique particulière a été appliquée. Elle ne l’est que si elle ne permet plus d’identifier une personne au moyen de procédés raisonnablement susceptibles d’être utilisés.
Le Comité propose trois tests concrets : peut-on isoler un enregistrement, le relier à d’autres informations ou en déduire une information spécifique et significative sur une personne ?
Le changement de perspective est majeur : l’analyse ne porte plus seulement sur la méthode employée, mais sur le risque résiduel de ré-identification. Il faut regarder qui recevra les données, quelles informations supplémentaires cette entité pourrait obtenir et quels moyens elle pourrait mobiliser.
Cette approche prolonge l’arrêt C-413/23 P de la Cour de justice : une même information peut rester personnelle pour l’organisme qui conserve la clé d’identification, tout en n’étant plus personnelle pour un destinataire indépendant qui ne dispose raisonnablement d’aucun moyen de retrouver les personnes.
La pseudonymisation, le chiffrement ou la suppression des identifiants directs peuvent réduire le risque. Ils ne suffisent pas, à eux seuls, à garantir l’anonymat.
L’opération d’anonymisation reste elle-même un traitement soumis au RGPD.
Elle doit reposer sur une base légale, être expliquée et documentée. Si un fichier mêle des données anonymes et des données encore personnelles sans séparation effective, l’ensemble doit être traité comme contenant des données personnelles.
Le facteur temps complique encore l’exercice.
Un jeu considéré comme anonyme aujourd’hui peut cesser de l’être demain après une fuite, l’accès à de nouvelles bases ou l’apparition de techniques de rapprochement plus efficaces. Le Comité souligne que l’IA, notamment agentique, réduit déjà le temps et le coût nécessaires pour combiner des sources et tenter une réidentification.
Cette évolution touche directement les projets d’IA, les données de santé, l’open data, la recherche et les échanges de données entre entreprises.
L’enseignement est clair : sortir du RGPD par l’anonymisation reste possible, mais la qualification devra être prouvée, documentée et réévaluée.
L’anonymisation n’est plus un état déclaré une fois pour toutes, elle devient un processus continu de gouvernance du risque.