Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté un projet de nouvelles lignes directrices relatives à l’anonymisation (« Lignes directrices ») [1].
Ces Lignes directrices visent à mettre à jour l’avis 05/2014 du Groupe de travail « Article 29 » sur les techniques d’anonymisation, afin de tenir compte des évolutions intervenues « dans les domaines juridique, de la protection de la vie privée, de l’ingénierie et de la technologie ».
Ces Lignes directrices rappellent tout d’abord qu’une donnée est anonyme si elle ne se rapporte pas à une personne physique identifiée ou identifiable et, tenant compte de l’arrêt de la CJUE du 4 septembre 2025 [2], précisent que le caractère anonyme d’une donnée peut varier selon l’entité réalisant cette analyse. Le document souligne également qu’une information peut se rapporter à une personne physique si elle est liée à cette personne en raison de son contenu, de sa finalité ou de son effet et qu’une personne doit être considérée comme identifiée ou identifiable lorsqu’elle « peut être distinguée d’autres personnes dans un contexte donné à l’aide de moyens raisonnablement susceptibles d’être utilisés et d’une manière qui permette de la traiter différemment ».
Ces Lignes directrices proposent également un cadre d’évaluation de l’anonymisation des données lequel peut reposer soit sur une « approche contextuelle » consistant à vérifier si les données sont anonymes pour chaque entité concernée selon les moyens dont elle dispose, soit sur une « approche simplifiée » ne tenant pas compte des différences de moyens que les entités sont raisonnablement susceptibles d’utiliser.
Dans les deux cas, le cadre d’évaluation de l’anonymisation doit utiliser les trois critères suivants :
Si ces trois critères sont cumulativement respectés les données concernées peuvent être considérées comme anonymes. Si un ou plusieurs des critères ne sont pas remplis, une analyse supplémentaire est nécessaire afin de déterminer si les données peuvent être considérées comme anonymes.
Les Lignes directrices font l’objet d’une consultation publique jusqu’au 30 octobre 2026. Pour y participer cliquez ici.
[2] Affaire C-413/23 P, CEPD c. SRB, CJUE

