En bref
L'anonymisation irréversible fait sortir les données du champ du RGPD. Elle se distingue de la pseudonymisation, réversible et toujours soumise au règlement. La CNIL exige trois critères cumulatifs de robustesse.
Cadre juridique de l'anonymisation : du considérant 26 du RGPD à la loi Informatique et Libertés
Considérant 26, Règl. (UE) 2016/679 (RGPD)
« Les principes de protection des données ne s'appliquent pas aux informations rendues anonymes de telle manière que la personne concernée n'est plus identifiable, en tenant compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour l'identification. »
Source : RGPD — Règlement (UE) 2016/679
Anonymisation et pseudonymisation : une distinction juridique fondamentale
Art. 4, §5, Règl. (UE) 2016/679 (RGPD)
« La pseudonymisation consiste à traiter les données de telle façon qu'elles ne puissent plus être attribuées à une personne précise sans informations supplémentaires, conservées séparément sous mesures techniques et organisationnelles appropriées. »
Source : RGPD — Règlement (UE) 2016/679
CJUE, 19 octobre 2016, Breyer c/ Bundesrepublik Deutschland, C-582/14
« La Cour a jugé qu'une adresse IP dynamique constitue une donnée personnelle lorsque le fournisseur d'accès détient les informations complémentaires permettant l'identification de l'internaute, consacrant le caractère relatif de la notion d'anonymat. »
Source : CJUE — Cour de justice de l'Union européenne
Confusion entre pseudonymisation et anonymisation
Qualifier des données pseudonymisées d'anonymes constitue une infraction au RGPD. La pseudonymisation maintient le caractère personnel des données et ne libère d'aucune obligation réglementaire, contrairement à l'anonymisation véritable.
Besoin d'un dossier juridique ?
Générez votre dossier complet en 3 minutes — mise en demeure personnalisée, chronologie des faits, plan de relances, signée par Me Sandy Lacroix.
Techniques d'anonymisation reconnues par la CNIL et le CEPD
Combiner les techniques pour une robustesse maximale
Associez systématiquement randomisation et généralisation, puis testez la robustesse au regard des trois critères de la CNIL : résistance à l'individualisation, à la corrélation et à l'inférence.
Conséquences juridiques de l'anonymisation réussie
Art. 89, Règl. (UE) 2016/679 (RGPD)
« Le traitement à des fins de recherche scientifique, historique ou statistique peut bénéficier de dérogations aux droits des personnes concernées, l'anonymisation constituant la garantie appropriée permettant de concilier exploitation des données et protection des droits fondamentaux. »
Source : RGPD — Règlement (UE) 2016/679
Risques de réidentification et éclairages jurisprudentiels récents
Tribunal UE, 26 avril 2023, T-557/20, CRU c/ CEPD
« Le Tribunal a reconnu que le caractère personnel d'une donnée s'apprécie du point de vue du destinataire : si celui-ci ne dispose pas des moyens raisonnables de réidentification, les données transmises peuvent être considérées comme anonymes à son égard. »
Source : Tribunal de l'Union européenne — Curia
Risque de réidentification par croisement de données
Le croisement avec des bases de données externes peut permettre la réidentification dans des jeux prétendument anonymisés. Ce risque s'accroît avec le temps, l'enrichissement des données ouvertes et l'évolution des technologies de recoupement.
Mise en conformité : obligations documentaires et recommandations pratiques
Constituer un dossier d'anonymisation complet
Documentez rigoureusement le processus : techniques utilisées, paramètres, tests de robustesse et résultats d'évaluation. Intégrez ce dossier au registre des traitements — c'est votre meilleure protection en cas de contrôle de la CNIL.
Questions fréquentes
Quelle différence juridique entre anonymisation et pseudonymisation des données personnelles ?
L'anonymisation rend les données irréversiblement non identifiables et les fait sortir définitivement du champ d'application du RGPD. La pseudonymisation, en revanche, est un processus réversible : une table de correspondance ou une clé permet de retrouver l'identité. Les données pseudonymisées restent des données personnelles soumises à l'ensemble des obligations du règlement européen.
Le processus d'anonymisation est-il lui-même soumis aux obligations du RGPD ?
Oui, le processus d'anonymisation constitue en lui-même un traitement de données personnelles au sens du RGPD. Il doit reposer sur une base légale valide, respecter le principe de finalité et être inscrit au registre des activités de traitement de l'organisme. Les droits des personnes concernées s'exercent pleinement jusqu'à l'anonymisation effective.
Quels critères la CNIL utilise-t-elle pour évaluer la validité d'une anonymisation ?
La CNIL applique trois critères cumulatifs issus de l'avis 05/2014 du Groupe de travail Article 29 : résistance à l'individualisation, à la corrélation et à l'inférence. Un jeu de données doit satisfaire simultanément ces trois tests pour être qualifié de véritablement anonyme au sens du droit européen de la protection des données.
Une anonymisation peut-elle devenir insuffisante avec le temps et l'évolution technologique ?
Oui, le considérant 26 du RGPD impose de tenir compte de l'évolution technologique prévisible. L'enrichissement progressif des bases de données accessibles et la progression des algorithmes de recoupement peuvent rendre une anonymisation obsolète. Le responsable de traitement doit procéder à des réévaluations périodiques de la robustesse de ses procédés d'anonymisation.
Engager une procédure près de chez vous
Tribunaux judiciaires et commissaires de justice dans les principales juridictions
- Procédure à Boulogne Billancourt
- Procédure à Saint Brieuc
- Procédure à Frejus
- Procédure à Evreux
- Procédure à Sartrouville
Votre ville n'est pas listée ? Voir toutes les juridictions (100+ villes) →
Vous êtes dans cette situation ?
Générez votre dossier complet en 3 minutes — mise en demeure, chronologie des faits, plan de relances, signée par Me Sandy Lacroix.
Générer mon dossier juridiqueÀ partir de 14,90 € · paiement sécurisé · satisfait ou remboursé 14 jours