Un sous-traitant reçoit un e-mail de la CNIL lui demandant de prouver comment il anonymise les données qu’il exploite pour entraîner un modèle de scoring. Jusqu’ici, retirer les noms et prénoms suffisait à ses yeux. Depuis les nouvelles règles européennes publiées en 2026, ce n’est plus le cas. Le cadre de protection des données personnelles en Europe se durcit sur plusieurs fronts simultanés, et les entreprises qui n’ont pas bougé depuis 2018 se retrouvent exposées.
Anonymisation des données personnelles : le nouveau test du CEPD
En juillet 2026, le Comité européen de la protection des données (CEPD) a publié ses Guidelines 02/2026 sur l’anonymisation, ouvertes à consultation publique jusqu’au 30 octobre 2026. C’est la première mise à jour majeure de la doctrine européenne sur ce sujet depuis plus de dix ans.
Le changement concret tient en un test en deux ou trois étapes. Pour qu’un jeu de données sorte du champ du RGPD, il faut démontrer trois choses : qu’on ne peut pas isoler un enregistrement individuel, qu’on ne peut pas corréler ce jeu avec d’autres sources, et qu’on ne peut pas en inférer d’information significative sur une personne.
En pratique, une part importante des jeux qualifiés « anonymes » devra être réévaluée. Des techniques comme la simple suppression d’identifiants directs (nom, e-mail, numéro de téléphone) ne passent plus le test si d’autres champs permettent un croisement. On pense aux données de géolocalisation horodatées, aux historiques d’achat détaillés ou aux métadonnées de navigation.
Pour les équipes data, cela signifie reprendre les fiches de traitement existantes et vérifier, jeu par jeu, si la qualification « anonyme » tient toujours. Si elle ne tient pas, le traitement retombe sous le régime complet du règlement européen : base légale, registre, durée de conservation, droits des personnes.
Web scraping et IA : les lignes directrices du CEPD sur la collecte de données
L’autre front concerne directement les systèmes d’intelligence artificielle. Le CEPD a aussi publié des lignes directrices encadrant l’utilisation de données personnelles dans les grands corpus d’entraînement. Le texte exige que les responsables de traitement identifient une base légale valide avant toute collecte, respectent le principe de minimisation et tiennent compte des signaux d’opposition comme le fichier robots.txt ou les mécanismes de désindexation.
Pour une entreprise qui aspire des contenus web afin d’alimenter un modèle, ignorer un robots.txt peut désormais constituer un manquement documenté. Les lignes directrices demandent aussi d’intégrer des mécanismes de suppression permettant à une personne de faire retirer ses données d’un jeu d’entraînement, même après ingestion.
Ce point pose un défi technique réel. Supprimer une donnée d’un modèle déjà entraîné n’est pas aussi simple que supprimer une ligne dans une base relationnelle. Les retours varient sur la faisabilité opérationnelle de cette exigence, mais l’obligation de moyens est clairement posée.
Digital Omnibus : simplification administrative et guichet unique cybersécurité
La Commission européenne a présenté son projet de révision structurelle baptisé « Digital Omnibus », qui touche plusieurs textes simultanément (RGPD, ePrivacy, Data Act). L’objectif affiché est double : alléger la charge administrative des entreprises, notamment les PME, et renforcer la coordination en cas d’incident de sécurité.
La mesure la plus concrète pour les équipes terrain est la création d’un guichet unique pour les incidents de cybersécurité. Aujourd’hui, une violation de données peut obliger à notifier plusieurs autorités selon les textes applicables. Le Digital Omnibus vise à centraliser ces notifications.
La proposition n’a pas été adoptée telle quelle. Le CEPD a rejeté plusieurs modifications jugées trop permissives, notamment :
- La redéfinition de la notion de « donnée personnelle », que le Comité considère comme un risque de rétrécissement du champ de protection au détriment des utilisateurs
- L’élargissement de l’intérêt légitime comme base légale pour entraîner des modèles d’IA, rejeté au motif qu’il affaiblirait le consentement
- Certaines simplifications sur les notifications de violations et les analyses d’impact, jugées prématurées sans garanties supplémentaires
Le résultat est un compromis : la doctrine dite « d’Helsinki », adoptée lors de la session plénière du CEPD en juillet 2025, l’a emporté. Plutôt que modifier le texte du RGPD, les autorités privilégient la publication d’outils pratiques pour aider les entreprises à se conformer au règlement tel qu’il existe.
Conformité RGPD en 2026 : ce qui change pour les contrôles terrain
Les autorités nationales, CNIL en tête, ont annoncé un resserrement des contrôles sur les grandes bases de données et les sous-traitants. L’accent est mis sur les mesures de sécurité techniques vérifiables, pas seulement sur la documentation juridique.
Concrètement, lors d’un contrôle, on ne demande plus uniquement de montrer un registre de traitements à jour. On veut voir les preuves : journaux de chiffrement, politique de rotation des clés, procédure testée de réponse à incident, traces d’audit sur les accès aux données sensibles.
Pour les organisations qui traitent des volumes significatifs de données à caractère personnel, la conformité devient un sujet continu. Un audit annuel ne suffit plus si les pratiques quotidiennes ne suivent pas.
- Vérifier que chaque jeu de données qualifié « anonyme » passe le nouveau test du CEPD (isolement, corrélation, inférence)
- Documenter les bases légales utilisées pour tout traitement lié à l’IA, y compris le web scraping
- Mettre en place une procédure de notification centralisée en anticipation du guichet unique cybersécurité
- Tester réellement les procédures de réponse à incident, pas seulement les rédiger
Le cadre européen de protection des données ne change pas de philosophie, mais exige des preuves. Les entreprises qui avaient traité le RGPD comme un projet ponctuel en 2018 découvrent qu’il s’agit d’un processus permanent. Les nouvelles lignes directrices du CEPD sur l’anonymisation et l’IA transforment des zones grises en obligations documentées, et les contrôles à venir porteront sur la réalité des pratiques, pas sur l’épaisseur du dossier de conformité.
