CE8 février 2017CE, 10-9 chambres réunies, 8 février 2017, Société JCDecaux France, n° 393714, T., point 7(source)

Conditions d’anonymisation d’une donnée à caractère personnel

Il résulte de la définition de la donnée à caractère personnel donnée par les dispositions de l’article 2 de la loi n°78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dans sa version applicable au litige qu’une telle donnée ne peut être regardée comme rendue anonyme que lorsque l’identification de la personne concernée, directement ou indirectement, empêche toute possibilité d’être identifiée par le responsable du traitement ou par un tiers. Tel n’est pas le cas lorsqu’il demeure possible d’individualiser une personne ou de relier entre elles des données résultant de deux enregistrements qui la concernent.

• anonymisation
• archivage intermédiaire

CNIL23 juin 2022CNIL, FR, 23 juin 2022, Clôture d'injonction, Société X, n° SAN-2022-012, non publié(source)

Mesures permettant d'assurer une anonymisation effective

Constitue une mesure de nature à ne plus permettre la réidentification des personnes, la mise en place d'une procédure d'anonymisation automatique des données clients à l'issue de la période d'archivage intermédiaire, par laquelle les données – nom, prénom, numéro de téléphone, adresse électronique, adresse postale et coordonnées bancaires – sont remplacées par des données non identifiantes qui correspondent à une série de « X ». D'autres données sont supprimées, et seules sont conservées les données clients correspondant à la civilité, au code postal et à la ville. Ces dernières données, seules ou en lien avec d’autres données accessibles par le responsable de traitement ou des tiers, ne permettent pas, en l'espèce, de réidentifier la personne concernée.

• anonymisation
• pseudonymisation

CNIL11 juin 2020CNIL, SP, 11 juin 2020, Avis sur projet de décret, n° 2020-062, non publié

Distinction anonymisation et pseudonymisation – Sens restrictif du terme anonymisation pour le RGPD

Il y a lieu, lorsque des dispositions législatives ou réglementaires font référence à la notion d’anonymisation, de rechercher quelle est l’intention de l’auteur du texte pour comprendre la portée de ses exigences, et notamment si les dispositions en cause exigent une anonymisation au sens du RGPD ou une pseudonymisation, par occultation des données directement identifiantes. La Commission invite le législateur et le pouvoir réglementaire à tenir systématiquement compte de la distinction posée par le RGPD et à employer le mot d’anonymisation dans le seul sens restrictif que lui donne le RGPD.