Au cœur d'un projet européen de simplification se cache une disposition qui touche au fondement même du RGPD. La proposition suggère d'exclure du champ du règlement les données qui ne seraient pas « raisonnablement » ré-identifiables par celui qui les détient. Derrière la technicité, une idée lourde de conséquences : la « donnée à double visage ». Une même information, personnelle pour un acteur, anonyme pour un autre, selon une appréciation subjective de ses capacités techniques. La CNIL, pourtant favorable à l'objectif de simplification, s'y oppose fermement. Pourquoi cette définition est le déclencheur de tout L'enjeu n'est pas doctrinal. Il est opérationnel. La définition de la donnée personnelle commande l'ensemble des obligations RGPD. Ce qui entre dans le champ appelle base légale, minimisation, durée de conservation, droits des personnes, sécurité. Ce qui en sort échappe à tout. Faire dépendre cette frontière des moyens techniques du détenteur, c'est créer une application asymétrique du droit. La même donnée changerait de statut d'un acteur à l'autre. En rupture avec la jurisprudence de la CJUE, qui retient une conception objective de l'identifiabilité. Le risque d'anonymisation de complaisance Le danger concret porte un nom. Un sous-traitant pourrait déclarer une donnée anonyme au regard de ses propres moyens, la sortir du RGPD, puis la voir ré-identifiée en aval par un tiers mieux outillé. La chaîne de responsabilité se dilue là où le règlement voulait justement l'ancrer. Pour un responsable de traitement, la qualification des données cesserait d'être une analyse juridique stable. Elle deviendrait un pari sur les capacités techniques de chaque maillon. La CNIL réaffirme son autorité Cette bataille s'inscrit dans un mouvement plus large. Mise en retrait dans le premier schéma français de gouvernance de l'IA Act en septembre 2025, la CNIL a retrouvé un rôle de premier plan via un amendement adopté au Sénat en février 2026. Elle prépare depuis 2023 la supervision de ce nouveau cadre et annonce une vigilance accrue sur les systèmes à haut risque. Biométrie, emploi, éducation, immigration. Pour les organisations, le signal est net. Surveiller l'issue de ce débat n'est pas une veille de confort. C'est anticiper le périmètre exact de ses propres obligations.
