En protection des données européenne, la réponse prudente a longtemps été que les données pseudonymisées restent des données personnelles tant que quelqu'un, où que ce soit, détient la clé. Le projet de lignes directrices du CEPD sur la pseudonymisation de janvier 2025 le répète, même lorsque les données et la clé sont entre des mains différentes. Deux textes plus récents ont rendu cette réponse plus précise. Le 4 septembre 2025, la Cour de justice a tranché l'affaire EDPS/SRB (C-413/23 P), et le 7 juillet 2026 le Comité européen de la protection des données (CEPD) a adopté son projet de lignes directrices 02/2026 sur l'anonymisation, ouvert aux commentaires jusqu'au 30 octobre 2026 à 23 h 59 CET. Lus ensemble, ils expliquent quand un même fichier peut être une donnée personnelle pour vous et anonyme pour un autre acteur, et pourquoi cela sert peu lorsque cet autre acteur est un prestataire qui travaille pour vous.
Vous trouverez ci-dessous ce que disent les deux textes, avec les références aux paragraphes, puis la question pratique pour les cabinets d'avocats, les experts-comptables, les équipes RH et toute personne qui colle des documents dans un outil d'IA : pseudonymiser de façon réversible ou caviarder définitivement ?
L'essentiel en un coup d'œil
| Élément | Fait vérifié | Source |
|---|---|---|
| Document du CEPD | Lignes directrices 02/2026 sur l'anonymisation, version 1.0 | PDF du CEPD, couverture |
| Adoption | 7 juillet 2026, « pour consultation publique » | historique des versions, p. 1 |
| Consultation | du 8 juillet au 30 octobre 2026, 23 h 59 CET (115 jours) | page de consultation du CEPD |
| Longueur | 103 paragraphes, 25 exemples, une annexe avec organigramme | PDF du CEPD |
| Remplace | Avis 05/2014 du groupe de travail « Article 29 » | par. 2 |
| Texte associé | Lignes directrices 01/2025 sur la pseudonymisation, adoptées le 16 janvier 2025, consultation close le 14 mars 2025, version finale pas encore publiée | page de consultation du CEPD |
| Arrêt | CJUE, première chambre, C-413/23 P, EDPS/SRB, 4 septembre 2025 | en-tête de l'arrêt |
| Données de l'affaire | 23 822 commentaires de 2 855 personnes ; 1 104 commentaires transmis à Deloitte avec un code aléatoire de 33 chiffres | points 23 à 26 |
| Législation | Digital Omnibus, COM(2025) 837 : le mandat du Conseil du 21 octobre 2026 supprime le nouveau texte de l'art. 4, point 1 ; le Parlement n'a pas encore voté | doc. du Conseil 14756/26 ; Observatoire législatif du PE |
Une précision s'impose, car plusieurs commentaires présentent le texte de 2026 comme des orientations sur « la pseudonymisation et l'anonymisation ». Le titre et le contenu portent uniquement sur l'anonymisation. Le mot « pseudonymisation » n'apparaît pas dans le document ; les pseudonymes sont évoqués dans un seul exemple et dans un paragraphe consacré aux données manifestement non anonymes. La pseudonymisation a son propre projet, les lignes directrices 01/2025, que le texte de 2026 ne cite pas.
Ce que la Cour a décidé dans l'affaire SRB
Après la résolution de Banco Popular en 2017, le Conseil de résolution unique (SRB) a invité les actionnaires et créanciers concernés à commenter sa décision préliminaire. Il a reçu 23 822 commentaires de 2 855 participants, écarté 20 101 commentaires identiques et conservé 3 730 commentaires individuels. Parmi eux, 1 104 portaient sur la valorisation et ont été transmis à Deloitte le 17 juin 2019 (points 24 à 26). Chaque commentaire portait un identifiant aléatoire de 33 chiffres, et seul le SRB pouvait relier ce code aux pièces d'identité recueillies lors de l'inscription (points 23 et 28). Certains participants ont reproché à la notice d'information de ne pas mentionner Deloitte parmi les destinataires.
La Cour a posé quatre principes qui valent au-delà de cette affaire.
Les opinions sont des données personnelles de la personne qui les exprime. Un avis personnel est « nécessairement étroitement lié à cette personne » (point 58), de sorte qu'il n'y a pas lieu d'analyser séparément sa finalité ou son effet.
Les données pseudonymisées ne sont pas automatiquement personnelles pour tout le monde. La pseudonymisation est une mesure de réduction des risques et ne fait pas partie de la définition des données personnelles (point 72). Puisque la clé existe, les données pseudonymisées ne peuvent pas être considérées comme anonymes « dans tous les cas » (point 73). Il est tout aussi erroné de les considérer comme personnelles « dans tous les cas et pour toute personne » (point 86). Pour un destinataire, les données peuvent être non personnelles si deux conditions sont réunies : le destinataire ne peut pas lever les mesures techniques et organisationnelles, et ces mesures empêchent réellement l'attribution, y compris par recoupement avec d'autres informations dont il dispose (point 77).
Les transferts ultérieurs ramènent les données dans le champ du RGPD. S'il ne peut être exclu qu'un destinataire ultérieur dispose de moyens de réidentification, les données sont personnelles pour ce transfert et pour le traitement de ce destinataire (point 85).
La transparence s'apprécie du côté du responsable du traitement, au moment de la collecte. Le SRB devait nommer Deloitte dans sa notice d'information lorsqu'il a recueilli les commentaires, « que ces données soient ou non des données à caractère personnel » du point de vue de Deloitte (points 111 et 112). Sur cette base, la Cour a rejeté le moyen principal du SRB, annulé l'arrêt du Tribunal de 2023 et renvoyé l'affaire uniquement pour un moyen distinct relatif à la bonne administration (points 118 à 122).
L'arrêt interprète le règlement 2018/1725 sur les institutions de l'UE, dont la Cour lit la définition des données personnelles de la même manière que l'article 4, point 1, du RGPD (point 52).
Ce que le projet du CEPD ajoute
Le CEPD transforme le raisonnement de l'arrêt SRB en test général. Une information est anonyme si elle ne se rapporte pas à une personne ou si la personne n'est pas identifiable, et « ces réponses peuvent varier d'une entité à l'autre » (par. 6). La question directrice de toute évaluation est « pour qui les données doivent-elles être anonymes ? » (par. 12). Plusieurs paragraphes réduisent ensuite la marge que laisse cette approche relative.
Les sous-traitants héritent de la perspective du responsable du traitement. Si une entité traite des données pour le compte d'un responsable pour lequel elles sont personnelles, les données sont personnelles aussi pour cette entité, qui est un sous-traitant au sens du RGPD (par. 15). Le CEPD l'illustre par un détaillant qui envoie des extraits à une agence d'analyse agissant pour son compte : données personnelles pour les deux (exemple 3). Seul un destinataire qui détermine lui-même les finalités et les moyens, comme un institut de recherche indépendant, est évalué selon sa propre perspective (exemple 4).
Une probabilité insignifiante suffit. L'identification n'a pas à être impossible, mais sa probabilité « doit être insignifiante dans la réalité » (par. 22), et les moyens ne sont écartés que s'ils sont impossibles, disproportionnés en temps, en coût et en main-d'œuvre, ou interdits par la loi (par. 26).
Les contrats ne sont pas la loi. Une interdiction contractuelle de réidentifier n'est pas une interdiction légale et ne peut que compléter les mesures techniques (par. 34). L'absence de motivation à réidentifier n'est pas non plus un argument fiable (par. 31).
La réidentification coûte de moins en moins cher. La plupart des techniques documentées fonctionnent sur du matériel courant, et le CEPD s'attend à ce que l'IA agentique « réduise encore le temps et les coûts » de la réidentification (par. 92). Les modèles d'IA peuvent aussi être sollicités pour révéler des informations sur des personnes (par. 82).
Trois critères. Les données réussissent le test si aucun enregistrement ne peut être isolé, si aucun lien n'est possible avec d'autres données et si aucune inférence n'est possible ; lorsque les trois critères sont remplis, les données « peuvent être considérées en toute sécurité comme anonymes » (par. 52). Le test peut être mené de façon contextuelle, entité par entité, ou de façon simplifiée, qui ignore les différences entre entités et reste plus prudente (par. 45 à 47).
Mots et registres. Les responsables du traitement ne devraient pas qualifier des données d'« anonymes », de « désidentifiées » ou de « dépersonnalisées » lorsque les personnes restent identifiables (par. 40), et ils devraient documenter le processus d'anonymisation et ses tests, puis conserver cette documentation (par. 41). Les évaluations réalisées selon l'avis de 2014 n'ont pas à être refaites (note 3).
Comment les projets de 2025 et de 2026 s'articulent
Les deux projets du CEPD ont été rédigés de part et d'autre de l'arrêt, et cela se voit. Les lignes directrices 01/2025 affirment que les données pseudonymisées restent personnelles même lorsque les données et les informations supplémentaires « ne sont pas entre les mains de la même personne » (par. 22). La Cour a ensuite jugé que les données pseudonymisées ne sont pas personnelles « dans tous les cas et pour toute personne ». Le projet de 2026 suit la Cour et cite l'arrêt SRB dans dix notes, mais il ne mentionne pas le texte de 2025, lequel n'a pas été finalisé. Tant que les lignes directrices sur la pseudonymisation ne sont pas mises à jour, les organisations liront le texte 01/2025 pour les mécanismes de la pseudonymisation (domaines de pseudonymisation, secrets, tables de correspondance) et le texte 02/2026 avec l'arrêt SRB pour savoir pour qui les données sont personnelles.
Le terrain d'entente est plus large que la tension ne le laisse penser. Les deux textes s'accordent sur le fait que le responsable du traitement qui détient la clé traite toujours des données personnelles (synthèse des lignes directrices 01/2025 ; 02/2026, par. 37), qu'une table de correspondance est elle-même une donnée personnelle à protéger (01/2025, par. 93), et que la pseudonymisation est utile comme garantie au titre des articles 25 et 32 du RGPD même lorsqu'elle ne fait pas sortir les données du champ d'application.
Le Digital Omnibus : le législateur s'empare de la question
L'approche relative est désormais aussi devant le législateur de l'UE. Le 19 novembre 2025, la Commission a proposé le Digital Omnibus, COM(2025) 837 (procédure 2025/0360 (COD)), qui ajouterait trois phrases à la définition des données personnelles de l'article 4, point 1, du RGPD. La phrase centrale prévoit qu'une information « n'est pas personnelle pour une entité donnée lorsque cette entité ne peut pas identifier la personne physique », compte tenu des moyens raisonnablement susceptibles d'être utilisés par cette entité. La dernière ajoute que l'information ne devient pas personnelle pour cette entité du seul fait qu'un éventuel destinataire ultérieur pourrait identifier la personne (article 3, point 1, de la proposition). La Commission présente cette modification comme une codification de la jurisprudence sur la pseudonymisation (exposé des motifs, p. 10 et 11), et un nouvel article 41 bis lui permettrait de décider par acte d'exécution quand des données pseudonymisées cessent d'être personnelles pour certaines entités.
Le CEPD et le Contrôleur européen ont rejeté ces deux idées dans l'avis conjoint 2/2026 du 10 février 2026. À leurs yeux, le texte retient « un seul élément d'une seule affaire » (par. 15), et sa dernière phrase va au-delà de l'arrêt SRB, dans lequel la Cour a confirmé que des données mises à la disposition d'un destinataire en mesure d'identifier deviennent personnelles pour ce destinataire et, indirectement, pour celui qui les a mises à disposition (par. 16, citant les points 84 et 85 de l'arrêt). Ils ont exhorté les colégislateurs à ne pas adopter la modification (par. 21), demandé la suppression de l'article 41 bis (par. 25) et indiqué que les questions ouvertes relèvent des orientations du CEPD (par. 19). L'une des questions qu'ils énumèrent, celle de savoir si un destinataire qui ne peut identifier personne mais travaille pour le compte d'un responsable est un sous-traitant (note 29), est celle à laquelle les lignes directrices 02/2026 répondent ensuite au par. 15.
Le Conseil suit une autre voie que la Commission. Son mandat de négociation, arrêté par le Coreper le 21 octobre 2026 (document du Conseil 14756/26), supprime les nouvelles phrases de l'article 4, point 1, et remplace l'article 41 bis par un nouvel article 25 bis sur la pseudonymisation. Les données pseudonymisées ne sont pas personnelles pour un tiers qui ne peut pas identifier la personne (article 25 bis, par. 2) ; si ce tiers les transmet à quelqu'un qui le peut, le transfert comme le traitement ultérieur portent sur des données personnelles (25 bis, par. 3) ; et pour un sous-traitant agissant pour le responsable du traitement, ce sont toujours des données personnelles (25 bis, par. 4). Au lieu d'actes d'exécution, le CEPD rendrait un avis sur la pseudonymisation et l'anonymisation (25 bis, par. 6). Au Parlement européen, les commissions ITRE et LIBE réunies disposent d'un projet de rapport mais n'avaient pas voté au 27 octobre 2026 : les trilogues n'ont pas commencé et rien de tout cela n'est encore du droit.
| Texte | Date et statut | Ce qu'il dit des données pseudonymisées |
|---|---|---|
| CJUE, EDPS/SRB, C-413/23 P | Arrêt, 4 septembre 2025 | Pas personnelles « dans tous les cas et pour toute personne » (point 86) |
| CEPD, lignes directrices 01/2025 | Projet du 16 janvier 2025, non finalisé | Personnelles même si données et clé sont entre des mains différentes (par. 22) |
| CEPD, lignes directrices 02/2026 | Projet du 7 juillet 2026, commentaires jusqu'au 30 octobre 2026 | Test relatif, mais toujours personnelles pour un sous-traitant (par. 15) |
| Commission, Digital Omnibus, COM(2025) 837 | Proposition, 19 novembre 2025 | Formulation relative à l'art. 4, point 1 ; actes d'exécution au titre de l'art. 41 bis |
| Avis conjoint 2/2026 du CEPD et du Contrôleur européen | 10 février 2026 | Ne pas adopter la nouvelle définition ; supprimer l'art. 41 bis (par. 21, 25) |
| Mandat du Conseil, doc. 14756/26 | Coreper, 21 octobre 2026 | Art. 4, point 1 inchangé ; nouvel art. 25 bis, personnelles pour les sous-traitants (25 bis, par. 4) |
| Parlement européen, ITRE et LIBE | Projet de rapport, pas de vote en commission au 27 octobre 2026 | Aucune position adoptée |
Mis côte à côte, les textes convergent davantage que le débat ne le suggère. La Cour a admis que l'identifiabilité dépend de celui qui détient les données (SRB, point 86). Le CEPD en a tiré un test qui maintient les prestataires de services dans le champ du RGPD (02/2026, par. 15). Le texte du Conseil inscrirait les mêmes limites dans le règlement lui-même. La seule formulation qui aurait traité plus souplement les transferts ultérieurs, la troisième phrase de la Commission, n'a le soutien ni des autorités de contrôle ni du Conseil. Pour qui doit décider aujourd'hui comment préparer un document destiné à un outil d'IA ou à un tiers, l'arrêt SRB et les deux projets du CEPD restent la référence.
Pseudonymisation réversible ou anonymisation définitive
La plupart des travaux sur les documents relèvent de l'un de deux schémas, et l'arrêt SRB ne change rien à celui qui convient à une tâche donnée.
La pseudonymisation réversible remplace les noms, identifiants et autres détails par des marqueurs cohérents, tandis que le responsable du traitement conserve une table de correspondance. C'est le bon choix lorsque vous avez besoin de retrouver les valeurs réelles : rédiger une réponse, analyser un contrat, résumer un dossier avec un assistant d'IA, ou transmettre un dossier de travail à un collègue qui devra savoir plus tard qui est qui. Pour vous, le document reste une donnée personnelle. Il l'est aussi pour un prestataire qui le traite pour votre compte (par. 15), de sorte qu'un contrat de sous-traitance reste nécessaire. La pseudonymisation apporte la minimisation et la sécurité : le prestataire voit beaucoup moins, et une fuite ou un usage abusif de son côté expose des marqueurs plutôt que des identités.
L'anonymisation définitive ou le caviardage supprime l'information sans laisser aucune clé nulle part, métadonnées du document comprises. C'est le bon choix lorsque le document sort de votre contrôle vers un destinataire indépendant : publication, communication à une partie adverse ou à un tribunal, réponse à une demande d'accès qui doit protéger des tiers, jeu de données de recherche ou d'entraînement. C'est ici que l'arrêt SRB et le texte 02/2026 comptent le plus, car la perspective du destinataire est déterminante, et les trois critères indiquent quoi vérifier : si un enregistrement se distingue encore, s'il peut être relié à d'autres sources, et si l'on peut en déduire quelque chose de précis.
| Situation | Qui le reçoit | Choix habituel | Donnée personnelle pour le destinataire ? |
|---|---|---|---|
| Rédaction ou analyse avec un service d'IA agissant pour vous | Sous-traitant | Pseudonymisation réversible | Oui (par. 15) ; contrat de sous-traitance nécessaire |
| Dossier de travail partagé au sein du cabinet | Votre propre personnel | Pseudonymisation réversible | Oui, mais l'exposition est réduite |
| Dépôt au tribunal, publication, communication à une contrepartie | Tiers indépendant | Caviardage définitif | Seulement si la réidentification est raisonnablement probable (par. 21, 22) |
| Jeu de données pour un chercheur indépendant | Tiers indépendant | Anonymisation testée sur les trois critères | Apprécié selon la perspective du destinataire (exemple 4) |
Ce que cela signifie en pratique
Cabinets d'avocats. Les conclusions et pièces destinées à un tribunal ou à une partie adverse exigent un caviardage définitif, et le test consiste à savoir si la partie adverse, un journaliste ou tout autre lecteur du dossier peut encore identifier la personne (le par. 30 cite parmi les acteurs à considérer les journalistes d'investigation, les collègues et les voisins). Les détails en texte libre sont le point faible habituel : une fonction, une date et une ville peuvent désigner quelqu'un même sans nom, et c'est précisément le problème de l'isolement d'un enregistrement. Pour la rédaction interne avec des outils d'IA, la pseudonymisation réversible tient les noms des clients hors des systèmes du prestataire tout en permettant de les rétablir.
Experts-comptables et conseillers fiscaux. Les grands livres et les exports de paie sont des données structurées, de sorte que les trois critères s'appliquent presque à la lettre : une colonne contenant un numéro fiscal ou un IBAN est un identifiant, et la combinaison d'un salaire, d'une date d'entrée et d'un service peut isoler un enregistrement. Pseudonymiser au niveau des colonnes préserve l'arithmétique tout en supprimant les identifiants. Lorsque des fichiers partent chez un réviseur externe qui agit pour vous, rappelez-vous que ce réviseur est un sous-traitant et que les données restent personnelles.
RH. Les enquêtes auprès des salariés et les investigations internes sont une source récurrente de faux anonymat. Le CEPD donne l'exemple d'une enquête d'équipe dont les scores agrégés révèlent malgré tout ce que pensait chaque membre (exemple 17), et l'arrêt SRB confirme que les opinions sont des données personnelles de leur auteur. Si les résultats sont partagés avec les managers, les seuils d'agrégation et la suppression des petits groupes comptent davantage que le retrait des noms.
Toute personne qui envoie des documents à des outils d'IA. Un fournisseur d'IA qui traite vos requêtes selon vos instructions est, selon la lecture du CEPD, un sous-traitant pour lequel les données restent personnelles. La pseudonymisation ne supprime pas cette relation, mais elle change ce qui est exposé. Deux points méritent l'attention : la table de correspondance quitte-t-elle jamais votre contrôle, et le fournisseur conserve-t-il les données saisies ou s'en sert-il pour l'entraînement. La mise en garde du CEPD sur les requêtes qui poussent des modèles d'IA à extraire des informations sur des personnes (par. 82) rappelle que ce qui entre peut ressortir.
Des outils comme Redactic appliquent les deux schémas sur un même fichier : des marqueurs réversibles pour le travail avec l'IA, les valeurs réelles n'étant rétablies que dans le navigateur de l'utilisateur, et un caviardage définitif avec suppression des métadonnées pour les documents qui quittent l'organisation, ainsi qu'un certificat de caviardage avec les empreintes des documents pour chaque opération, utile pour la tenue des registres décrite au par. 41.
Pour utiliser l'IA sans transmettre de noms ni d'identifiants, Redactic peut préparer vos documents pour l'IA : les valeurs détectées deviennent des marqueurs, et les vrais noms reviennent dans votre navigateur à l'arrivée de la réponse.
Questions fréquentes
Les données pseudonymisées restent-elles des données personnelles après l'arrêt SRB ?
Pour le responsable du traitement qui détient la clé, toujours. Pour un destinataire, cela dépend : les données peuvent ne pas être personnelles pour un destinataire indépendant qui ne peut ni lever la pseudonymisation ni réidentifier par recoupement (SRB, points 77 et 86), mais elles le restent pour tout sous-traitant qui travaille pour le compte du responsable (02/2026, par. 15).
Les lignes directrices 02/2026 portent-elles sur la pseudonymisation ?
Non, elles portent sur l'anonymisation. La pseudonymisation relève des lignes directrices 01/2025, adoptées pour consultation le 16 janvier 2025 et pas encore définitives.
Quand la consultation du CEPD se termine-t-elle et comment y répondre ?
Le 30 octobre 2026 à 23 h 59 CET, au moyen du formulaire de la page de consultation du CEPD. Les réponses sont publiées sur le site du CEPD.
Un contrat qui interdit la réidentification rend-il les données anonymes pour le destinataire ?
À lui seul, non. Selon le CEPD, une interdiction contractuelle n'est pas une interdiction légale et ne peut que compléter les mesures techniques (par. 34).
Le Digital Omnibus changera-t-il la définition des données personnelles dans le RGPD ?
Pas encore, et sans doute pas dans la forme proposée à l'origine. La proposition de la Commission COM(2025) 837 ajouterait un critère relatif à l'article 4, point 1, du RGPD. Le CEPD et le Contrôleur européen ont demandé aux colégislateurs de ne pas l'adopter (avis conjoint 2/2026, par. 21), et le mandat de négociation du Conseil du 21 octobre 2026 le supprime au profit d'un nouvel article 25 bis, selon lequel les données pseudonymisées restent personnelles pour les sous-traitants et pour les transferts ultérieurs à toute personne en mesure d'identifier. Le Parlement européen n'a pas encore arrêté sa position, de sorte que les trilogues n'ont pas commencé. Tant qu'aucun texte n'est adopté, l'arrêt SRB et les lignes directrices du CEPD font référence.
Dois-je refaire les évaluations d'anonymisation réalisées selon l'avis de 2014 ?
Non, d'après la note 3, même si une réévaluation périodique est recommandée parce que la réidentification devient plus facile avec le temps (par. 35).
Si vous travaillez avec des documents de clients, de salariés ou de patients et souhaitez essayer les deux approches sur vos propres fichiers, vous pouvez commencer sur redactic.eu. La détection et le caviardage s'exécutent sur une infrastructure contrôlée par Redactic en Europe, et les tâches d'IA optionnelles constituent une étape distincte qui travaille sur le texte préparé.
Comment citer cet article
Redactic. « Pseudonymisées ou anonymes ? CEPD 02/2026 et arrêt SRB ». redactic.eu, octobre 2026. https://redactic.eu/fr/blog/pseudonymisation-anonymisation-lignes-directrices-cepd-02-2026-srb/
Sources primaires : CEPD, lignes directrices 02/2026 sur l'anonymisation (v1.0, 7 juillet 2026) ; CEPD, lignes directrices 01/2025 sur la pseudonymisation (16 janvier 2025) ; CJUE, C-413/23 P, EDPS/SRB, 4 septembre 2025 ; Commission européenne, Digital Omnibus, COM(2025) 837 final, 19 novembre 2025 ; CEPD et Contrôleur européen, avis conjoint 2/2026, 10 février 2026 ; Conseil de l'UE, doc. 14756/26 (mandat de négociation), 22 octobre 2026.
Guides associés
- Caviardage des données personnelles : guide RGPD et IA 2026
- Shadow AI en RH : l'IA sans enfreindre le RGPD (2026)
- Caviardage de contrats et pièces de procédure : guide 2026
- Caviardage pour experts-comptables : paie et RGPD (2026)
Découvrez comment Redactic le met en pratique : Redactic, caviardage de documents · Pages de confiance et DPA.