L'action d'application de l'EDPB en 2025
Le cadre d'application coordonné (CEF) de l'European Data Protection Board pour 2025 a ciblé l'article 17 du RGPD — le droit à l'effacement. Trente-deux autorités de protection des données à travers l'UE et l'EEE ont simultanément enquêté sur la manière dont les organisations répondent aux demandes de droit à l'effacement. L'approche coordonnée visait à identifier des échecs systémiques plutôt que des cas isolés.
Les résultats ont identifié sept défis de conformité récurrents au sein des organisations enquêtées :
- Procédures internes mal documentées pour le traitement des demandes d'effacement
- Rejet excessivement large de demandes légitimes (utilisation trop large des exceptions permises)
- Charges indues imposées aux individus lorsqu'ils soumettent des demandes d'effacement
- Incapacité à localiser toutes les données personnelles à travers les systèmes lors du traitement d'une demande d'effacement
- Retards excessifs dans le traitement des demandes au-delà du délai de réponse de 30 jours du RGPD
- Communication insuffisante aux personnes concernées sur l'issue de leurs demandes
- Techniques d'anonymisation inefficaces utilisées comme alternative à la suppression — spécifiquement signalées comme des organisations utilisant une "anonymisation" techniquement défectueuse qui laisse les données ré-identifiables
Neuf APD ont lancé des enquêtes formelles sur la base des résultats du CEF. Le septième défi récurrent — l'anonymisation inefficace — est directement pertinent pour les organisations qui utilisent l'anonymisation comme leur principale stratégie de minimisation des données.
L'alternative de l'anonymisation à la suppression
Le droit à l'effacement du RGPD ne nécessite pas la suppression dans tous les cas. Le considérant 65 note que l'effacement peut être réalisé par l'anonymisation lorsque la suppression n'est pas techniquement réalisable (par exemple, dans des bandes de sauvegarde ou des systèmes d'analyse intégrés où la suppression d'enregistrements individuels nécessiterait une reconstruction du système).
Les résultats du CEF de l'EDPB indiquent que cette alternative est abusée : les organisations revendiquent "l'anonymisation" pour une transformation des données qui laisse les données techniquement ré-identifiables — utilisant le terme pour éviter le fardeau opérationnel de la suppression réelle plutôt que pour atteindre le résultat de protection des données que l'anonymisation est censée fournir.
La distinction que l'EDPB établit : la véritable anonymisation — où le lien entre les données et l'individu ne peut être rétabli par aucun moyen disponible pour le responsable du traitement ou tout tiers — retire les données du champ d'application du RGPD et satisfait la demande d'effacement. La pseudonymisation — où la ré-identification est possible avec la clé appropriée — ne satisfait pas la demande d'effacement ; les données personnelles de la personne concernée existent toujours et doivent être supprimées ou la clé doit être détruite.
Stratégie de conformité pratique
Pour les organisations utilisant l'anonymisation comme alternative à la suppression dans les systèmes d'analyse :
L'architecture correcte sépare l'ingestion des données (données personnelles brutes) de l'analyse des données (dérivés anonymisés). Les données personnelles dans la couche d'ingestion sont soumises aux demandes d'effacement — lorsqu'une personne concernée exerce ses droits en vertu de l'article 17, les données personnelles dans la couche d'ingestion sont supprimées. Les dérivés anonymisés dans la couche d'analyse — si l'anonymisation était complète et irréversible — n'ont pas besoin d'être modifiés car ils ne sont plus des données personnelles.
Cette architecture exige que l'anonymisation à la frontière entre l'ingestion et l'analyse soit techniquement solide : irréversible (pas de tokenisation), complète (toutes les catégories d'identifiants traitées) et documentée (l'organisation peut démontrer à une APD que la méthode d'anonymisation répond aux normes de l'EDPB). L'entreprise de vente au détail qui anonymise l'historique d'achat des clients avant le traitement analytique, remplaçant les noms et les coordonnées par des jetons sous cryptage réversible, a pseudonymisé (et non anonymisé) les données — l'ensemble de données analytiques contient toujours des données personnelles qui sont soumises à des demandes d'effacement.
Sources :