Anonymisation : ce que changent les lignes directrices du CEPD en 2026

Quand des données sont-elles vraiment anonymes ?

C’est la question à laquelle le Comité européen de la protection des données (CEPD) répond dans ses nouvelles lignes directrices sur l’anonymisation.

Le projet a été adopté en juillet 2026, en même temps qu’un texte sur la collecte de données en ligne pour entraîner l’IA générative.

Les deux consultations publiques se sont achevées le 30 octobre 2026.

Voici ce qui change, et ce qu’il faut faire dès maintenant.

Pourquoi ces lignes directrices comptent

Des données anonymes sortent du champ du RGPD.

Des données qui ne le sont qu’en apparence restent des données personnelles, avec toutes les obligations qui vont avec.

Jusqu’ici, la référence était l’avis 05/2014 du groupe de l’article 29, l’ancêtre du CEPD.

Les lignes directrices 02/2026 le prolongent, en tenant compte de douze ans de jurisprudence et de l’arrivée de l’IA.

Le texte est encore un projet : la version définitive peut évoluer après la consultation.

Les 3 critères pour juger qu’une donnée est anonyme

Le CEPD retient trois critères.

Si les trois sont remplis, les données peuvent être considérées comme anonymes :

1. Pas d’isolement.
   Aucune combinaison de valeurs ne désigne une seule personne dans le jeu de données.
2. Pas de lien.
   On ne peut pas relier, avec certitude ou forte probabilité, une ligne à une autre source qui concerne la même personne.
3. Pas d’inférence.
   On ne peut pas déduire sur une personne une information précise, qui pourrait avoir un effet sur ses droits.

Si l’un des trois n’est pas rempli, l’analyse doit aller plus loin avant de parler d’anonymat.

On retrouve les trois critères de 2014 (individualisation, corrélation, inférence), précisés.

Leur mise en pratique est détaillée dans notre article sur le risque de ré-identification.

Un anonymat qui dépend du destinataire

C’est le point le plus nouveau.

Le CEPD admet qu’un même jeu de données peut être anonyme pour un destinataire et personnel pour celui qui l’a transmis.

Tout dépend des moyens que chacun peut raisonnablement utiliser pour retrouver les personnes.

Cette lecture suit l’arrêt SRB de la Cour de justice de l’Union européenne, rendu le 4 septembre 2025.

Nous l’expliquons dans notre guide de la pseudonymisation.

Le CEPD propose deux façons de raisonner :

1. L’approche contextuelle.
   On évalue les moyens réels de chaque destinataire : ses autres données, ses outils, ses accès.
2. L’approche simplifiée.
   On ignore ces différences et on raisonne comme si n’importe qui pouvait recevoir les données. Elle est plus prudente : des données peuvent être traitées comme personnelles alors qu’elles seraient anonymes pour certains.

Les deux peuvent se combiner : une première analyse simplifiée, puis une analyse contextuelle là où c’est nécessaire.

À retenir :
Avant de dire « ces données sont anonymes », il faut pouvoir dire « pour qui ».

Ce que l’IA change à l’anonymisation

Le CEPD intègre l’IA à deux niveaux.

1. La ré-identification devient plus facile.
   Les progrès de l’IA, notamment des agents capables d’enchaîner les recherches, réduisent le temps et le coût d’une ré-identification.
2. Les modèles peuvent révéler des informations.
   Interroger un modèle, ou exploiter des données synthétiques, peut permettre des déductions précises sur des personnes.

Deux conséquences pratiques :

1. Réévaluer l’anonymat dans le temps.
   Une anonymisation suffisante aujourd’hui peut ne plus l’être dans deux ans.
2. Ne pas présumer anonymes les sorties d’un modèle.
   Ni les réponses d’une IA, ni des données synthétiques, ne sont anonymes par défaut.

Pour la préparation des données d’entraînement, voir notre article IA et RGPD.

La collecte en ligne pour l’IA générative

Le second texte porte sur le moissonnage de données en ligne pour entraîner l’IA générative.

Le CEPD rappelle que le RGPD s’applique dès que cette collecte touche des données personnelles.

Il insiste sur la minimisation, sur l’exactitude des sources, et sur les données sensibles, en principe interdites sans exception prévue par le RGPD.

Pour les organisations qui préparent leurs propres jeux de données, le message est le même : anonymiser ce qui identifie avant l’entraînement, pas après.

L’anonymisation doit être documentée

Le CEPD rappelle qu’anonymiser est en soi un traitement de données personnelles.

Il attend donc trois choses :

1. Documenter le processus.
   Quelles données, quelles méthodes, quels paramètres.
2. Documenter les tests.
   Comment on a vérifié que les trois critères étaient remplis.
3. Documenter l’évaluation du risque.
   Pour quels destinataires, avec quels moyens supposés.

Un mot d’usage, enfin : le terme « anonyme » ne doit pas être employé pour des données qui restent identifiables.

Pour constituer ces preuves, voir notre article sur le rapport de conformité RGPD.

Ce qu’il faut faire dès maintenant

Sans attendre la version définitive :

1. Recenser les jeux de données présentés comme anonymes.
   Exports, extraits de test, partages avec des prestataires, données d’entraînement.
2. Les confronter aux 3 critères.
   Isolement, lien, inférence, en pensant aussi au texte libre, où les identités se cachent souvent.
3. Préciser pour qui ils sont anonymes.
   Un prestataire sans autre source n’a pas les mêmes moyens qu’une équipe interne qui a accès au CRM.
4. Garder une trace.
   Ce qui a été détecté, ce qui a été traité, et quand.
5. Planifier une réévaluation.
   Surtout pour les données partagées longtemps ou publiées.

Les méthodes elles-mêmes sont décrites dans notre guide de l’anonymisation des données.

Avec NymData

NymData détecte et anonymise les données personnelles de vos documents et de vos bases, sur vos serveurs :

1. Cartographie d’abord.
   Une analyse sans rien modifier, pour savoir quelles données sont présentes, y compris dans le texte libre.
2. Méthode au choix.
   Anonymisation par type de donnée ([PERSONNE], [EMAIL]), pseudonymisation réaliste, ou identifiant constant, selon le destinataire.
3. Rapport d’audit.
   Chaque traitement indique ce qui a été détecté et ce qui a été fait : une base pour votre documentation.

Voir comment fonctionne NymData