Le mot « anonymisé » rassure. Il laisse entendre que la loi ne s’applique plus, que les risques ont disparu, que les données peuvent circuler librement. Or il promet souvent plus qu’il ne tient. La consultation de l’EDPB sur ses lignes directrices relatives à l’anonymisation, close le 30 octobre, rappelle que l’anonymat ne se déclare pas : il se démontre, et il dépend de qui regarde la donnée.
Un texte qui change la question
Les lignes directrices 02/2026 de l’EDPB, encore à l’état de projet, actualisent l’avis du groupe de l’article 29 de 2014. Selon les analyses publiées, elles posent trois idées. L’identifiabilité s’apprécie en tenant compte des moyens « raisonnablement susceptibles d’être utilisés » pour ré-identifier la personne. L’interdiction juridique de ré-identifier ne suffit pas toujours à conclure à l’anonymat. Et une information peut être anonyme pour son destinataire tout en restant personnelle pour celui qui la détient.
Le texte n’est pas définitif : l’EDPB doit examiner les commentaires avant d’adopter une version finale, sans date annoncée.
Une logique déjà présente dans la jurisprudence
Cette approche relative n’est pas nouvelle. Dans l’affaire EDPS contre SRB, la Cour de justice de l’UE a jugé que des données pseudonymisées peuvent ne pas être des données personnelles pour un destinataire qui ne dispose d’aucun moyen raisonnable de ré-identifier les personnes. Mais cette même logique oblige celui qui détient la clé à rester dans le champ du RGPD.
Le contrepoint politique
Le 21 octobre, le Conseil de l’UE a arrêté sa position sur le Digital Omnibus. Elle va dans le même sens : des données pseudonymisées pourraient ne pas être personnelles pour un tiers qui ne peut pas identifier la personne, mais le resteraient pour un sous-traitant agissant pour le compte du responsable de traitement. Rien n’est encore applicable : le texte dépend d’un accord avec le Parlement européen.
Une convergence se dessine entre les autorités, la jurisprudence et le législateur. L’anonymat se mesure en fonction du destinataire et des moyens dont il dispose, pas en fonction d’une étiquette.
Ce que les dirigeants de PME devraient en retenir
Beaucoup d’entreprises disent « anonymiser » alors qu’elles retirent seulement les noms. Elles conservent un identifiant interne, une date de naissance, un code postal et un historique d’achats, autant d’éléments qui permettent de retrouver une personne. En droit, cela reste une donnée personnelle, avec toutes les obligations qui en découlent.
La LPD raisonne elle aussi en termes de personne « identifiable ». La grille de l’EDPB ne lie pas la Suisse, mais elle constitue une référence utile, surtout pour les PME soumises au RGPD parce qu’elles proposent leurs services dans l’UE.
Avant d’affirmer « nos données sont anonymes », trois questions s’imposent. Qui détient quoi ? Quels moyens permettraient de ré-identifier ? Qui est le destinataire, et que sait-il déjà ? Les entreprises qui peuvent y répondre aujourd’hui seront prêtes à la publication de la version finale.
Nos abonnés reçoivent chaque semaine une analyse des évolutions réglementaires, traduite en actions concrètes pour leur activité.
→ Rejoignez la newsletter pour ne manquer aucune évolution.
