Données anonymisées : le risque de réidentification change-t-il après l’export ?

Un fichier peut ne contenir ni nom ni adresse électronique et rester un jeu de données personnelles. Le risque apparaît souvent après l’export : le destinataire dispose parfois de données auxiliaires que l’émetteur ne possède pas, ou peut rapprocher plusieurs jeux de données.

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté un projet de lignes directrices sur l’anonymisation. La consultation publique reste ouverte jusqu’au 30 octobre 2026. Ce texte n’est donc pas une règle définitive nouvelle : il expose une méthode d’analyse proposée, à lire à la lumière du RGPD et de la jurisprudence.12

La question n’est pas seulement ce que vous avez supprimé

Prenons un export de fréquentation d’un bâtiment. Les noms et identifiants directs ont été retirés. Chaque ligne conserve cependant un horaire précis, une zone visitée et une fréquence de passage.

Un partenaire connaissant les plannings d’une petite équipe pourrait retrouver certains individus. Un autre destinataire, sans accès à ces plannings, pourrait rencontrer davantage de difficultés. La même table ne présente pas nécessairement le même risque dans tous les contextes.

L’arrêt de la Cour de justice du 4 septembre 2025 dans l’affaire C-413/23 P souligne l’importance des moyens raisonnablement susceptibles d’être employés par le destinataire pour identifier une personne. Il ne faut ni présumer que toutes les données pseudonymisées sont anonymes, ni affirmer qu’elles restent toujours personnelles pour chaque destinataire, sans examen du contexte.3

Trois tests avant de qualifier les données d’anonymes

Le projet du CEPD propose de regarder trois possibilités : isoler un enregistrement ou une personne, relier des enregistrements entre eux ou avec d’autres informations, et inférer une information sur un individu. Si l’un de ces tests soulève un doute, une analyse complémentaire est nécessaire ; ce n’est pas automatiquement une conclusion juridique définitive.2

Dans notre exemple, une combinaison rare « zone + heure + fréquence » peut isoler une personne. Des données de badge ou un agenda peuvent ensuite permettre une liaison. Enfin, la répétition des passages peut révéler une habitude ou une situation sensible.

Il faut donc documenter le contexte réel de partage, pas seulement appliquer une transformation technique standard.

Une revue d’export en cinq décisions

1. Définir la finalité. Quelles colonnes le destinataire doit-il réellement recevoir ? Une agrégation par jour suffit-elle, plutôt qu’un événement horodaté à la minute ?

2. Décrire le destinataire. Quelles informations complémentaires possède-t-il déjà ? Peut-il accéder à des sources publiques ou à d’autres jeux internes ? Les conditions contractuelles limitent-elles réellement ces possibilités ?

3. Tester les recoupements. Chercher les combinaisons rares, les trajectoires singulières et les attributs qui permettent des inférences. L’absence de nom n’est pas un test suffisant.

4. Réduire l’exposition. Agréger, supprimer des attributs, élargir les intervalles temporels ou géographiques et limiter l’accès. Chaque mesure doit être évaluée au regard de l’utilité attendue et du risque résiduel.

5. Conserver la décision. Noter la version du jeu de données, le destinataire, les hypothèses, les tests effectués, les limites et la date de réévaluation. Une nouvelle source auxiliaire ou un nouvel usage peut modifier l’appréciation.

Anonymisation et pseudonymisation ne produisent pas les mêmes conséquences

Un identifiant remplacé par un code stable peut encore permettre de relier les lignes entre elles. Si une clé ou des informations auxiliaires permettent de retrouver les personnes par des moyens raisonnablement susceptibles d’être utilisés, il ne faut pas traiter ce résultat comme automatiquement anonyme.

Une véritable anonymisation doit être appréciée au regard du risque d’identification ; lorsqu’il demeure des données personnelles, les obligations du RGPD continuent de s’appliquer. Les engagements contractuels et contrôles d’accès peuvent compter dans l’analyse du contexte, mais ne remplacent pas, à eux seuls, l’examen technique.

La décision utile n’est donc pas « les noms ont été effacés », mais « nous savons expliquer pourquoi ce destinataire ne peut pas raisonnablement réidentifier les personnes dans ce contexte ».

Ce décryptage porte sur un projet de lignes directrices du CEPD soumis à consultation au 9 octobre 2026. Les recommandations peuvent évoluer avant adoption définitive.