- L’anonymisation signifie la suppression de la référence à la personne ; l’impossibilité absolue de ré-identification n’est pas nécessaire, mais l’impossibilité pratique suffit.
- L’anonymisation est un traitement de données à caractère personnel et nécessite une base juridique ; elle peut être compatible avec la finalité initiale.
- L’anonymisation peut remplacer l’effacement si la référence à la personne est effectivement supprimée et si les données ont été collectées à l’origine de manière licite.
- En cas d’anonymisation, les risques sont souvent élevés ; des règles spécifiques, des obligations de transparence et, en règle générale, une analyse d’impact sur la protection des données sont nécessaires.
Le Commissaire fédéral à la protection des données et à la liberté d’information (BfDI ; responsable de la protection des données publiques, mais aussi privées dans le domaine des télécommunications [TC]) a publié – après une audition publique – un document de position sur l’anonymisation selon le RGPD, en tenant compte en particulier du secteur des TC.
Notion d’anonymisation
Le BfDI se penche d’abord sur le Notion d’anonymisation que le RGPD ne définit pas expressément. Il faut partir de la notion de données personnelles : est anonyme ce qui ne constitue pas des données personnelles. Comme pour la définition des données personnelles, il n’existe donc pas de critère absolu :
Une anonymisation absolue, telle que personne ne puisse rétablir la référence à la personne, n’est souvent pas possible et n’est généralement pas exigée par la législation sur la protection des données. En règle générale, il suffit que le lien avec la personne soit supprimé. est supprimée de telle sorte qu’une ré-identification est pratiquement impossible, car le lien avec la personne ne peut être rétabli qu’au prix d’un effort disproportionné en termes de temps, de coûts et de main-d’œuvre.
Base juridique de l’anonymisation sans effacement
Le processus d’anonymisation lui-même constitue une Traitement des données personnelles et nécessite – selon le RGPD – une base juridique. La question se pose notamment de savoir quand l’anonymisation constitue encore une finalité compatible et est couverte par la base juridique initiale.
Dans ce contexte, il est particulièrement réjouissant de constater que le BfDI part du principe que une finalité compatible peut être fondée sur la base juridique de la finalité d’origine et ne nécessite alors pas de base juridique autonome. Cela peut se fonder sur la deuxième phrase du considérant 50, mais est controversé dans la doctrine.
Dans ce sens, l’anonymisation est compatible si les critères de l’article 6, paragraphe 4 du RGPD sont remplis. Dans ce cas, le BfDI affirme que l’objectif de l’anonymisation n’est pas la suppression de la référence à la personne, mais “l’intérêt réel sous-jacent du responsable du traitement” ; celui-ci doit donc être pris en compte dans la mise en balance. A mon avis, c’est faux, car l’intérêt sous-jacent ne se rapporte justement pas au traitement de données personnelles et ne doit donc pas être pris en compte du point de vue de la protection des données. Du point de vue du BfDI, il serait par exemple permis d’anonymiser les données des clients afin de déterminer la répartition des services par région et par cohorte d’âge.
L’anonymisation comme équivalent de la suppression
Le BfDI précise en outre que l’anonymisation est autorisée si l’effacement l’est également, car l’anonymisation est en principe équivalente à l’effacement :
Selon la systématique du RGPD, l’effacement des données n’est donc apparemment qu’une possibilité parmi d’autres de satisfaire aux exigences de l’article 5, paragraphe 1, point e), du RGPD. Il n’est pas nécessaire si la référence à la personne peut être efficacement supprimée par anonymisation. […] Il s’ensuit que dans le cas où il n’y a plus que des informations anonymisées, c’est-à-dire des informations sans référence à des personnes, les obligations découlant du RGPD et, par conséquent, l’obligation d’une éventuelle limitation plus importante de la conservation prévue à l’article 5, paragraphe 1, point e), du RGPD ne s’appliquent pas.
On pourrait argumenter contre la possibilité de satisfaire à l’obligation d’effacement par l’anonymisation en arguant du fait que, par rapport à l’effacement, l’anonymisation laisse subsister un risque résiduel de ré-identification. En revanche, on peut affirmer que les deux processus – suppression et anonymisation – entraînent une suppression de la référence à la personne et que même la suppression n’entraîne pas nécessairement une destruction définitive des données. Le fait qu’il s’agisse de la La Commission estime que l’effacement et la destruction sont deux opérations de traitement alternatives, est également clarifié par la formulation “l’effacement ou la destruction” de l’article 4, point 2, du RGPD. Ce raisonnement peut également être appliqué au droit à l’effacement prévu à l’article 17 du RGPD.
Du point de vue du BfDI, l’obligation d’effacer les données à caractère personnel peut être ne sont satisfaites par l’anonymisation que si les données à caractère personnel ont été collectées légalement (cf. article 17, paragraphe 1, point a) du RGPD).
Ainsi, d’ailleurs l’autorité autrichienne de protection des données a également décidé.
Plus d’informations
Enfin, le BfDI attire l’attention sur les dispositions légales spéciales relatives à l’anonymisation, en l’occurrence la législation allemande sur les télécommunications, sur l’obligation de transparence du responsable du traitement et sur les analyses d’impact relatives à la protection des données. Sur ces dernières :
En cas d’anonymisation, le responsable doit en général, partir du principe qu’il existe un risque élevéEn effet, l’anonymisation est régulièrement soumise au critère de “traitement à grande échelle” et, au moins actuellement, au critère des “nouvelles technologies”. […] Une analyse d’impact relative à la protection des données doit généralement être effectuée avant l’anonymisation.