Règlement Général sur la Protection des Données (RGPD)
Accéder directement à la conformité de la méthode Avatar concernant le RGPD
Le Règlement Général sur la Protection des Données (RGPD) est une loi européenne complète visant à protéger les données personnelles des individus. Il s’applique à toutes les organisations qui traitent les données personnelles des résidents de l’UE, quel que soit le lieu où se trouve l’organisation.
Qu’est-ce que les données personnelles ?
Selon le RGPD, les données personnelles désignent :
« Toute information se rapportant à une personne physique identifiée ou identifiable (« sujet de données ») ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale. »
Exemples : nom, email, numéro de téléphone, adresse IP, informations financières, dossiers de santé.
Base légale du traitement des données personnelles
Selon l’Article 6 du RGPD, le traitement des données personnelles est légal uniquement s’il remplit une des conditions suivantes :
- Consentement : la personne concernée a donné son consentement explicite.
- Nécessité contractuelle : le traitement est nécessaire à l’exécution d’un contrat.
- Obligation légale : respect d’une obligation légale.
- Intérêts vitaux : traitement nécessaire pour protéger la vie ou la santé.
- Intérêt public : traitement nécessaire à une mission d’intérêt public.
- Intérêts légitimes : l’organisation a un intérêt légitime, à condition qu’il ne prévale pas sur les droits de la personne.
Pseudonymisation vs Anonymisation
- Pseudonymisation : les données sont modifiées de façon à ne pas pouvoir être attribuées à une personne sans informations complémentaires. En pratique on retire ou remplace les identifiants directs par une valeur unique. Cependant, les données pseudonymisées restent des données personnelles au sens du RGPD.
- Anonymisation : les données sont transformées de manière à devenir irréversiblement non identifiables. Les données anonymisées ne sont plus soumises au RGPD.
Voir notre article de blog pour plus de détails →
Traitement des données sensibles
L’Article 9 du RGPD définit les données sensibles comme celles relatives à la race, religion, opinions politiques, génétique, biométrie, santé ou orientation sexuelle. Le traitement de ces données est généralement interdit, sauf exceptions :
- Consentement explicite
- Recherche médicale ou scientifique
- Raisons de santé publique
- Réclamations juridiques
Statut du processus d’anonymisation
Le Comité Européen de la Protection des Données (CEPD), anciennement Groupe de travail Article 29 (WP29), considère que :
« Le processus d’anonymisation, qui consiste en un traitement supplémentaire des données personnelles visant à rendre ces données anonymes, constitue un traitement ultérieur. »
Cette interprétation souligne que l’anonymisation n’est pas un traitement initial mais une transformation additionnelle appliquée aux données personnelles.
Les lignes directrices 02/2026 du CEPD sur l'anonymisation sont un projet soumis à consultation publique jusqu'au 30 octobre 2026. Elles ne sont pas définitives et peuvent évoluer avant leur adoption finale. Les points ci-dessous qui s'y réfèrent décrivent ce projet.
Le projet de lignes directrices 02/2026 du CEPD sur l’anonymisation renforce une lecture plus précise : la question centrale n’est pas seulement de savoir si une transformation a été appliquée, mais si le jeu de données résultant reste identifiable dans le contexte pertinent, en tenant compte :
- de la nature et de la sensibilité des données,
- des attaquants plausibles et de leurs moyens,
- du contexte d’usage et de l’environnement de partage,
- et du risque résiduel de ré-identification après application de mesures techniques et organisationnelles.
Il s’agit donc d’une évaluation contextuelle et fondée sur le risque, et non d’un test binaire de type “oui / non”.
Un point essentiel de ce projet de lignes directrices est le suivant : un critère n’a pas besoin d’être protégé à 100 % de manière absolue pour qu’un jeu de données soit considéré comme suffisamment anonyme dans son contexte d’usage. La question n’est pas de savoir si une métrique est parfaite, mais si le risque résiduel de ré-identification reste suffisamment faible pour le cas d’usage réel, compte tenu du modèle d’attaquant, des connaissances externes plausibles et des protections mises en place.
De même, un résultat faible sur un critère ne signifie pas automatiquement que les données ne sont pas anonymes. Une métrique peut signaler un risque plus élevé dans un scénario d’attaque précis, mais la conclusion doit être faite au regard du contexte : la vraisemblance du scénario, la crédibilité des capacités de l’attaquant, les connaissances externes disponibles et les mesures de sécurisation complémentaires.
Le projet précise aussi que le critère d’inférence ne doit pas être compris comme une notion abstraite ou vague. Il s’agit de la capacité réaliste d’inférer des informations sur un individu ou un petit groupe à partir d’informations externes, de raisonnements probabilistes et d’outils analytiques. Il s’évalue donc à travers des modèles d’attaque réalistes, et non à partir d’hypothèses théoriquement impossibles.
Dans le projet de lignes directrices du CEPD, l’évaluation de l’anonymisation est généralement présentée selon deux approches complémentaires :
- Approche simplifiée : une évaluation prudente, fondée sur le pire cas, utilisée lorsque les données sont exposées à un public large, externe ou peu maîtrisé. C’est le point de référence adapté aux scénarios de diffusion stricte, comme les données ouvertes ou la diffusion large, où le responsable de traitement peut raisonnablement supposer l’existence d’un attaquant motivé disposant d’informations externes.
- Approche contextuelle : une évaluation adaptée au cas concret, tenant compte du destinataire, de la finalité, de la sensibilité des données, des connaissances antérieures plausibles, des mesures de protection et du cadre d’usage réel. C’est l’approche la plus précise lorsque les données sont partagées dans un environnement contrôlé, avec un destinataire connu et une finalité définie.
Ces deux approches ne sont pas contradictoires : l’approche simplifiée fournit une référence robuste pour les situations à haut risque, tandis que l’approche contextuelle permet une appréciation plus fine quand les conditions réelles d’usage sont connues et maîtrisées.
Selon l’Article 5 du RGPD (lien), les données personnelles ne peuvent pas être traitées à des fins incompatibles avec celles initialement prévues.
Autrement dit, toute nouvelle finalité de traitement doit être compatible avec la finalité initiale communiquée aux personnes lors de la collecte. Si elle est compatible, ce traitement ultérieur est permis sous le RGPD.
Moyens raisonnables et modèle d’attaque
Le Considérant 26 du RGPD précise que les informations sont considérées comme anonymes lorsque « la personne concernée n’est pas ou n’est plus identifiable », en tenant compte de tous les moyens raisonnablement susceptibles d’être utilisés, compte tenu des coûts, du temps nécessaire et des technologies disponibles à la date du traitement.
C’est un point essentiel : le standard n’est ni « tous les moyens imaginables dans l’absolu », ni une exigence d’impossibilité théorique totale. Il s’agit d’un test de modèle d’attaque raisonnable.
Le projet de lignes directrices du CEPD/EDPB est directement pertinent ici : voir notamment la section consacrée aux moyens « raisonnablement susceptibles d’être utilisés » dans les Guidelines 02/2026 sur l’anonymisation (projet, consultation publique jusqu'au 30 octobre 2026).
En pratique, la question est donc :
- qui est l’attaquant probable ?
- quelles informations externes sont raisonnablement accessibles ?
- quelles possibilités de rapprochement existent ?
- quel est le coût et le temps nécessaires pour les exploiter ?
- quels outils et méthodes sont disponibles pour un acteur motivé ?
Cela signifie qu’un jeu de données peut être considéré comme anonyme dans un environnement contrôlé et à finalité limitée, même si un modèle de diffusion plus ouvert ou plus large demanderait une évaluation plus stricte. L’appréciation est donc contextuelle et dépend du cas d’usage réel et des protections mises en place.
Cette notion de moyens raisonnables doit donc être traitée comme une dimension entière de l’évaluation juridique, et non comme une remarque secondaire. Elle est centrale pour l’évaluation de l’individualisation, de la corrélation et de l’inférence.
Pour une grille de lecture pratique sur la manière dont ce point est évalué dans les cas concrets, voir Comment évalue-t-on si un moyen est raisonnable ?.
Reconnaissance juridique de l’anonymisation
La notion de « donnée à caractère personnel » définie par l’Article 4(1) du RGPD n’est pas illimitée : elle suppose que la personne concernée soit identifiée ou identifiable. La Cour de justice de l'Union européenne CJUE a rappelé ce principe (arrêt SRB c. EDPS, 4 septembre 2025), confirmant que l’identifiabilité reste le critère central de qualification.
Le Considérant 26 du RGPD précise que les informations sont considérées comme anonymes lorsque « la personne concernée n’est pas ou n’est plus identifiable », en tenant compte de tous les moyens raisonnablement susceptibles d’être utilisés, compte tenu des coûts, du temps nécessaire et des technologies disponibles à la date du traitement.
C’est ici que le projet de lignes directrices du CEPD est important : une donnée n’est pas considérée comme anonyme simplement parce qu’une étape d’anonymisation a été appliquée. Elle l’est seulement lorsque le risque résiduel de ré-identification reste suffisamment faible dans le contexte réel d’usage.
Ainsi, le caractère anonyme d’une donnée dépend :
- de la nature des données traitées,
- de leur niveau de sensibilité,
- du contexte d’usage,
- et des scénarios d’attaque réalistes qui pourraient être mis en œuvre.
Un processus d’anonymisation doit donc être évalué et documenté afin de démontrer que le risque résiduel de ré-identification demeure raisonnable au regard du contexte et des finalités.
L’évaluation technique du risque doit notamment prendre en compte les trois critères établis par le CEPD :
- Individualisation : possibilité d’isoler un individu unique au sein d’un ensemble de données,
- Corrélation : possibilité de relier deux ensembles de données concernant le même individu,
- Inférence : possibilité de déduire de nouvelles informations sensibles sur un individu.
En complément, un PIA (Privacy Impact Assessment) doit être réalisé afin d’évaluer la probabilité de survenue d’attaques potentielles contre le dispositif d’anonymisation ainsi que l’impact en cas de succès. De manière schématique, le rapport technique évalue le risque résiduel de ré-identification lié à certaines menaces, tandis que le PIA mesure la probabilité et la gravité de ces menaces dans le contexte d’usage.
Lorsque ce risque résiduel est jugé trop élevé, des mesures techniques et organisationnelles supplémentaires peuvent être mises en place afin de renforcer la robustesse du dispositif. Ces mesures peuvent inclure l’accès contrôlé, le chiffrement, la limitation de durée d’accès, la minimisation des données, ou encore le filtrage des variables à haut risque.
Lorsque tous ces critères sont satisfaits pour le cas d’usage visé, les données peuvent être considérées comme hors du champ d’application du RGPD.
Statut légal de la méthode Avatar
Les données synthétiques générées avec la méthode Avatar ne sont plus considérées comme des données personnelles et échappent donc au champ d’application du RGPD. Voici pourquoi :
Le CEPD (ancien WP29) reconnaît que l’anonymisation, en tant que traitement ultérieur des données personnelles, peut être considérée comme compatible avec la finalité initiale, sous réserve que le processus respecte les critères définis dans l’Avis 05/2014 (lien).
La méthode d’anonymisation développée par Octopize a reçu une certification de conformité CNIL, confirmant qu’il s’agit d’une véritable technique d’anonymisation.
De plus, l’anonymisation améliore la sécurité des données en rendant l’identification irréversible. Elle est donc considérée comme une mesure technique et organisationnelle de sécurité, et non comme une modification substantielle du traitement.
- L’anonymisation des données personnelles de santé peut être considérée comme un traitement compatible avec les finalités originales.
- L’anonymisation ne constitue pas une modification substantielle du traitement selon le RGPD.
- Aucune notification ou consentement supplémentaire n’est nécessaire lors de la mise en œuvre de l’anonymisation.
- Les données avatarisées issues de ce processus ne sont plus des données personnelles et sont donc hors du champ d’application du RGPD.
Les données générées avec la méthode Avatar ne sont pas considérées comme anonymes par défaut. Leur anonymat est systématiquement et automatiquement évalué et documenté via un processus rigoureux comprenant :
- Un rapport technique mesurant le risque résiduel de ré-identification basé sur les critères du CEPD (Individualisation, Corrélation, Inférence) et des métriques simulant des scénarios d’attaque de l’état de l’art.
- Une Analyse d'Impact sur la Protection des Données (AIPD) évaluant la probabilité et la gravité de ces attaques en fonction de la sensibilité des données et du contexte d’usage.