Glossaire · Glossaire · Notions RGPD
Considérant 26 du RGPD : la frontière entre donnée personnelle et anonyme
Équipe Anonimatum
En bref
Le considérant 26 du RGPD indique comment savoir si une personne est identifiable : en tenant compte de l’ensemble des moyens raisonnablement susceptibles d’être utilisés. Si elle ne l’est pas, l’information est anonyme et le RGPD ne s’applique pas.
Peu de phrases du RGPD ont autant de portée pratique que le considérant 26. C’est lui qui détermine si un document dont on a retiré les noms relève encore du règlement. Les considérants ne sont pas des règles autonomes, mais ils éclairent l’interprétation des articles, et la Cour de justice s’y réfère constamment.
Cette fiche explique ce qu’il dit, comment les juridictions l’ont appliqué et ce qu’il implique lorsqu’il s’agit de protéger un PDF, un contrat ou une décision plutôt qu’une base de données.
Ce que dit le considérant 26
Le texte enchaîne quatre idées :
- Les principes de protection des données s’appliquent à toute information concernant une personne physique identifiée ou identifiable.
- Les données pseudonymisées qui pourraient être attribuées à une personne au moyen d’informations supplémentaires concernent une personne identifiable.
- Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens raisonnablement susceptibles d’être utilisés, comme l’individualisation, par le responsable du traitement ou par toute autre personne.
- Les principes ne s’appliquent pas aux informations anonymes ni aux données rendues anonymes, y compris à des fins statistiques ou de recherche.
C’est le miroir de la définition des données personnelles de l’article 4 : il trace la limite entre donnée personnelle et information anonyme.
Les facteurs objectifs : coût, temps et technologie
Pour apprécier quels moyens sont raisonnablement susceptibles d’être utilisés, le considérant renvoie à des facteurs objectifs, appliqués ici à un document fictif.
| Facteur | Question pratique | Exemple fictif |
|---|---|---|
| Coût | Combien coûterait l’identification ? | Consulter un registre public gratuit ne coûte rien |
| Temps | Quel effort faudrait-il ? | Une recherche en ligne de cinq minutes |
| Technologies disponibles | Quels outils existent aujourd’hui ? | Copier le texte caché sous un rectangle noir |
| Évolution technologique | Que sera-t-il possible demain ? | OCR ou IA capables de lire une écriture manuscrite |
| Qui peut tenter | Le responsable ou toute autre personne ? | Un voisin qui connaît les faits relatés |
Ce qu’ont jugé les juridictions : Breyer et CRU
Dans l’arrêt Breyer (C-582/14, 19 octobre 2016), la Cour de justice a jugé qu’une adresse IP dynamique peut constituer une donnée personnelle pour l’exploitant d’un site internet qui dispose de moyens légaux lui permettant d’identifier l’utilisateur grâce aux informations détenues par le fournisseur d’accès. Il n’est pas nécessaire que toutes les informations soient entre les mains d’une seule entité.
Dans l’arrêt C-413/23 P (Contrôleur européen de la protection des données contre CRU, 4 septembre 2025), la Cour a précisé que l’identifiabilité s’apprécie du point de vue de chaque entité. Des données pseudonymisées peuvent ne pas être personnelles pour un destinataire sans moyens raisonnables de réidentification, tout en le restant pour celui qui les a pseudonymisées. Les lignes directrices 02/2026 du Comité européen de la protection des données sur l’anonymisation, en consultation jusqu’au 30 octobre 2026, prolongent ce raisonnement.
Ce que cela change pour les documents
Dans un document, la question n’est pas seulement de savoir si le nom apparaît, mais si l’ensemble permet de savoir de qui l’on parle. Une décision fictive évoquant « la seule pharmacienne d’une commune de 300 habitants » identifie quelqu’un même sans son nom. Il faut donc traiter aussi les identifiants indirects : fonctions, dates, lieux, plaques d’immatriculation, numéros de dossier, ainsi que les métadonnées.
Le destinataire compte aussi : une transmission interne n’est pas une mise en ligne, où chacun peut croiser d’autres sources. Et l’occultation doit être réelle : si le texte subsiste sous le rectangle noir, il se récupère par des moyens triviaux et il n’y a pas d’anonymisation. Anonimatum détecte identifiants directs et indirects avec une IA propre hébergée dans l’UE, permet de les relire et supprime texte et métadonnées ; voir anonymiser des documents selon le RGPD.
Questions fréquentes
Le considérant 26 est-il contraignant ?
Les considérants ne créent pas d’obligations par eux-mêmes, mais ils servent à interpréter les articles du RGPD et la Cour de justice s’y appuie régulièrement.
Le considérant 26 exige-t-il un risque nul ?
Non. L’identification ne doit pas être raisonnablement probable compte tenu du coût, du temps et des technologies disponibles. Le risque résiduel de réidentification doit rester négligeable.
S’applique-t-il aux personnes décédées ?
Le RGPD ne s’applique pas aux données des personnes décédées (considérant 27), mais la loi Informatique et Libertés permet de donner des directives sur le sort de ses données après la mort.
Retirer le nom suffit-il ?
Rarement. Le contexte, les identifiants indirects et les métadonnées permettent souvent de retrouver la personne.
Rendez vos documents réellement anonymes
Consultez les offres et repérez identifiants directs et indirects dans vos PDF, Word et Excel, avec une relecture humaine avant suppression.