Anonymisation : ce que disent les autorités européennes, pays par pays

Dans l'Union européenne, un seul test juridique décide si un document est anonyme. Quelqu'un pourrait-il identifier une personne avec les moyens raisonnablement susceptibles d'être utilisés ? Le Royaume-Uni et la Suisse ont leurs propres lois, avec un test proche. Mais chaque autorité nationale ajoute des conseils pratiques, qui n'insistent pas sur les mêmes points. Vérifiez donc les lignes directrices du pays où le document sera lu.

Voici dix autorités côte à côte, chacune avec un document clé vérifié le 4 octobre 2026. C'est de l'information, pas un conseil juridique. D'autres articles détaillent le Royaume-Uni, la Suisse et les numéros d'identité nationaux.

Quel est le test juridique de l'anonymat en Europe ?

Dans l'UE, le test figure au considérant 26 du règlement général sur la protection des données (RGPD), un paragraphe explicatif du texte. Il retient tous les moyens raisonnablement susceptibles d'être utilisés pour identifier une personne, par le responsable du traitement ou par une autre personne. Coût, temps et technologie comptent. Les informations anonymes sortent du RGPD. Les données pseudonymisées, qu'une information supplémentaire permet de relier à une personne, restent personnelles.

Le Royaume-Uni et la Suisse appliquent leurs propres lois, fondées sur la même idée. L'autorité britannique est l'Information Commissioner's Office (ICO). En Suisse, la loi fédérale sur la protection des données (LPD) révisée s'applique depuis le 1er septembre 2023. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité suisse. Il cite le message du Conseil fédéral de 2017 : il faut compter tous les moyens raisonnablement susceptibles d'être utilisés.

Que dit chaque autorité européenne sur l'anonymisation ?

Ces documents diffèrent : pages de conseils, prise de position, décision sur une plainte, entrée de glossaire, liste de contrôle. Notez l'année, car les textes anciens restent en ligne.

Sur quoi les autorités européennes sont-elles d'accord ?

• Au cas par cas. La CNIL demande une évaluation approfondie. L'AEPD espagnole et le Contrôleur européen de la protection des données (EDPS) rappellent que l'anonymisation n'est pas une recette.
• Trois risques : l'individualisation, la corrélation et l'inférence. La CNIL et le PFPDT renvoient tous deux à un avis de 2014 de l'ancien groupe de l'article 29 des autorités européennes.
• Le contexte compte. Le considérant 26 et la CNIL visent les moyens d'une autre personne, et l'ICO demande qui pourrait accéder aux données.
• Il faut revérifier régulièrement, disent la CNIL, le BfDI et l'ICO.
• Les données pseudonymisées restent personnelles, selon le considérant 26, la CNIL, le BfDI, l'ICO, l'AEPD et l'EDPS.

Où les approches nationales diffèrent-elles vraiment ?

Les écarts portent sur les priorités, le niveau de détail et la force juridique, pas sur le test. Quatre comptent pour vos documents.

Faut-il une base légale pour anonymiser ?

Oui, répondent le BfDI et l'ICO : anonymiser modifie des données personnelles, c'est donc un traitement. Le BfDI est le plus détaillé. Il cite des bases possibles : consentement, compatibilité avec la finalité d'origine (article 6, paragraphe 4, du RGPD) ou obligation légale d'effacer. Les deux demandent d'informer les personnes de la finalité.

L'anonymisation peut-elle remplacer l'effacement ?

En Suisse, l'article 6, alinéa 4, LPD impose de détruire ou d'anonymiser les données dès qu'elles ne sont plus nécessaires, rappelle le PFPDT. En Autriche, la Datenschutzbehörde (DSB) a admis en 2018 que l'anonymisation peut être un moyen d'effacement. Condition : nul ne doit pouvoir revenir en arrière sans effort disproportionné. Le BfDI cite cette décision. La CNIL et l'ICO y voient aussi une option en fin de durée de conservation. Même idée, poids juridique différent : une loi, une décision, des lignes directrices.

Quel niveau d'exigence ?

Les formules varient. La CNIL demande une identification impossible en pratique et irréversible, ou à défaut un risque négligeable démontré par une évaluation approfondie. Pour le BfDI, l'anonymat absolu n'est en général pas requis. L'ICO vise un risque « suffisamment lointain ».

Quelles autorités parlent des documents ?

La plupart des textes visent des bases de données, peu les documents. Dans un texte de 2014 antérieur au RGPD, le Garante italien juge les initiales insuffisantes dans les documents que des organismes publics publient en ligne. Le PFPDT ajoute que photos et vidéos exigent des techniques adaptées.

Une histoire de l'Autoriteit Persoonsgegevens (AP) néerlandaise met en scène une employée municipale : ses barres noires laissaient retrouver le nom et l'adresse d'une habitante. Elle s'appuie sur des signalements réels, aux détails modifiés. La liste de contrôle de l'AP adapte un guide de l'ICO de juillet 2025.

Comment anonymiser un document qui passe une frontière ?

Prenons un cas fictif. Claire Exemple, responsable RH à Bruxelles, envoie un dossier disciplinaire à une juriste du groupe à Milan. Celle-ci pourrait en citer des extraits dans un rapport public.

1. Nommez le lecteur et le pays, et demandez-vous si le dossier peut devenir public. Pour une diffusion publique, l'ICO demande une approche très robuste.
2. Lisez les textes des deux autorités, la vôtre et celle du lecteur, et suivez le plus strict. Ici : jamais d'initiales à la place des noms.
3. Masquez les identifiants directs, puis les indirects : un poste, un petit village, une date précise.
4. Demandez-vous avec quoi le lecteur pourrait croiser le dossier : registres publics, presse, réseaux sociaux, pièces qu'il détient déjà.
5. Notez qui a masqué quoi, quand et pourquoi, comme le recommande l'AP néerlandaise.

Un logiciel peut faire le premier passage. Avec son profil par défaut, ONYRI Sanitize reconnaît le pays du document d'après son contenu, parmi 11 pays, dont la France et la Belgique. Il applique alors les formats de ce pays : numéros d'identité nationaux, codes postaux. Mais masquer les identifiants directs n'est qu'une étape. Que le résultat soit anonyme dépend du contexte et du destinataire : ce jugement vous appartient.

Si l'enjeu est élevé, comme des données de santé ou une diffusion publique, consultez votre délégué à la protection des données (DPO) ou un avocat. Ils savent quelle autorité vous contrôle.

Les lignes directrices européennes vont-elles rapprocher les règles ?

Peut-être. Le Comité européen de la protection des données (CEPD) a adopté le 7 juillet 2026 un projet de lignes directrices 02/2026 sur l'anonymisation. En octobre 2026, la consultation publique court jusqu'au 30 octobre. Le projet évalue l'anonymat du point de vue de chaque partie pour qui les données doivent être anonymes. Il dit aussi qu'anonymiser exige une base légale (article 6 du RGPD). Une fois définitif, il pourrait servir de référence commune.

Le CEPD travaille dans le cadre du RGPD : l'ICO et le PFPDT gardent leurs propres lois. Hors d'Europe, d'autres lois s'appliquent, par exemple en Californie et au Québec. Un autre article les présente.

Questions fréquentes

Sources et références