Données anonymes : les trois critères du test, et ce qu'ils changent

Données anonymes : une question qui n'a pas la même réponse pour tous

Le 7 juillet 2026, le Comité européen de la protection des données a adopté des lignes directrices sur l'anonymisation. La CNIL en rend compte dans un article du 9 juillet 2026, lu le 14 septembre 2026, qui précise lui-même avoir été « traduit automatiquement à partir du communiqué du CEPD » — nous citons donc une traduction automatique, et le signalons.

Le point de départ est classique, sa conséquence l'est moins : « Les données sont anonymes si elles ne concernent pas une personne physique identifiée ou identifiable. La question de savoir si tel est le cas peut varier d'une entité à l'autre. » Le même jeu de données peut donc être anonyme entre vos mains et personnel entre celles d'un prestataire qui détient d'autres informations.

Le lien avec une personne n'est pas toujours direct : « Les informations peuvent concerner une personne en raison de leur contenu, de leur finalité ou de leurs effets. L'existence d'un tel lien peut ne pas être immédiatement évidente et pourrait nécessiter une analyse plus approfondie. »

Ce que « identifiable » veut dire ici

La définition retenue est plus opérationnelle que celle qu'on lit d'habitude : « Une personne est considérée comme « identifiée ou identifiable » si elle peut être distinguée des autres dans un contexte spécifique en utilisant des moyens raisonnablement susceptibles d'être utilisés d'une manière qui permet de les traiter différemment. »

Et le caractère raisonnable ne s'apprécie pas dans l'absolu : « La question de savoir si les moyens sont raisonnablement susceptibles d'être utilisés dépendra du point de vue de l'entité concernée et devrait être appréciée à la lumière de tous les facteurs objectifs. » Les lignes directrices tiennent compte de l'arrêt de la Cour de justice « dans l'affaire C-413/23 P, CEPD/CRU, du 4 septembre 2025 ».

Le test à trois critères

C'est la partie directement utilisable. « Le cadre utilise 3 critères pour tester si les données sont anonymes ».

Les deux façons d'appliquer le cadre

Le CEPD laisse un choix, et l'un des deux chemins est volontairement plus strict que la loi. « Le cadre peut être appliqué de deux manières : soit en évaluant les différences de capacités entre ceux qui pourraient identifier l'individu (« approche contextuelle »), soit, par souci de simplicité, en ne tenant pas compte de ces différences (« approche simplifiée »), si un responsable du traitement choisit de le faire. »

La différence est assumée : « L'approche contextuelle reflète toutes les nuances de la norme juridique relative à l'anonymisation. » Tandis que « L'approche simplifiée peut aller au-delà de la norme juridique et peut amener un responsable du traitement anonymisant à traiter les données comme si elles n'étaient pas anonymes, même si ce serait effectivement le cas pour certaines entités concernées, mais cette approche peut être plus pratique et fournir une plus grande confiance dans le fait que les données sont réellement anonymes. »

Pour une TPE sans juriste, c'est un arbitrage lisible : l'approche simplifiée coûte en souplesse ce qu'elle fait gagner en tranquillité. Ce qui se documente dans le registre des traitements — voir notre page RGPD TPE.

Ce que ces lignes directrices ne sont pas encore

Un point de calendrier à garder en tête avant de refaire toute sa doctrine interne : « Les lignes directrices feront l'objet d'une consultation publique jusqu'au 30 octobre 2026, ce qui donnera aux parties prenantes la possibilité de formuler des observations et de fournir un retour d'information. » Le texte peut donc encore bouger.

Et si les trois critères ne sont pas tous satisfaits, rien n'est tranché pour autant : « Si l'un de ces critères n'est pas satisfait, une analyse plus approfondie devrait être effectuée pour déterminer si les données peuvent être considérées comme anonymes. »

Ce que cette page ne dit pas

Elle ne décrit aucune technique d'anonymisation, ne dit pas laquelle choisir, et ne traite pas la pseudonymisation, qui reste un traitement de données personnelles. Elle s'appuie sur le compte rendu de la CNIL, lui-même issu d'une traduction automatique du communiqué du CEPD : les lignes directrices originales font foi, et elles sont en anglais. Article lu le 14 septembre 2026.