Beaucoup d’entreprises traitent encore la pseudonymisation comme une forme d’anonymisation.
Sur le papier, tout semble rassurant :
- Le nom disparaît
- L’identifiant direct est remplacé
- La base paraît moins exposée
Mais cette lecture est trompeuse.
Dans sa décision du 4 mars 2026, le Conseil d’État rappelle un principe essentiel :
👉 Une donnée reste personnelle dès lors qu’une personne peut être identifiée, directement ou indirectement (article 4 du RGPD).
La pseudonymisation ne permet donc de sortir du RGPD que dans un cas très précis :
➡️ lorsque le risque d’identification est insignifiant➡️ et que la réidentification serait irréalisable en pratique➡️ en raison d’un effort démesuré (temps, coût, moyens humains)
Dans l’affaire Criteo, l’absence de clé directe de réidentification n’a pas suffi, parce que l’identifiant pseudonyme restait associé à :
- l’adresse IP
- la localisation
- l’identifiant du terminal
- les identifiants partenaires
- des données de navigation
Pris isolément, ces éléments semblent anodins, mais pris ensemble, ils permettent de reconstituer un profil.
👉 Le critère décisif n’est donc pas l’intention de réidentifier.👉 C’est la possibilité raisonnable de le faire.
Pour les entreprises, l’impact est majeur :
Tant que l’anonymisation n’est pas démontrable, le RGPD continue de s’appliquer pleinement :
- base légale
- information des personnes
- droits des individus
- preuve du consentement
- gouvernance des responsables conjoints
Cette décision envoie un message clair : La qualification d’une donnée ne se décrète pas, elle se démontre, et cela passe par une analyse juridique et technique du risque réel de recoupement, en amont de tout projet data, IA, publicité ou analytics.