Le 8 juillet 2026, lors de sa dernière plénière, le Comité européen de la protection des données (CEPD), a mis en consultation publique deux projets de guidelines EDPB anonymisation et web scraping pour l’IA générative, tout en adoptant la version finale de sa guideline sur la blockchain. Trois textes, deux statuts différents : voici ce que chaque DPO doit en retenir.
Le CEPD (Comité européen de la protection des données), ou EDPB (European Data Protection Board) en anglais, est l’organe indépendant de l’Union européenne institué par le RGPD (articles 68 à 76), qui a succédé à l’ancien groupe de l’article 29. Il réunit chaque mois, en session plénière, les chefs des autorités de contrôle de chaque État membre — dont la CNIL pour la France — ainsi que le Contrôleur européen de la protection des données. Sa mission : garantir une application cohérente du RGPD dans toute l’UE, notamment en adoptant des lignes directrices, recommandations et avis. C’est cette instance qui a publié les trois textes du 8 juillet 2026 présentés dans cet article.
Un point de statut essentiel avant de commencer
Sur les trois textes publiés le 8 juillet, un seul est aujourd’hui définitif : la guideline sur la blockchain, qui achève son propre cycle de consultation publique. Les deux autres — anonymisation et web scraping pour l’IA générative — restent des projets ouverts à consultation jusqu’au 30 octobre 2026. Concrètement, elles orientent déjà les pratiques attendues par les autorités de contrôle, mais leur contenu peut encore évoluer avant adoption finale. Il serait donc prématuré de les traiter comme des textes figés dans un programme de conformité.
Les guidelines EDPB anonymisation : trois critères mis à jour par la CJUE
Le fondement de ce projet de lignes directrices est l’arrêt de la Cour de justice de l’UE du 4 septembre 2025 (affaire C-413/23 P, EDPS c/ SRB). Cet arrêt a précisé les conditions dans lesquelles des données peuvent être considérées comme anonymes au sens du RGPD, avec des conséquences directes sur ce que les organisations peuvent légalement considérer hors périmètre de conformité.
Le CEPD retient trois critères cumulatifs pour établir l’anonymisation :
- Pas d’isolation : il ne doit pas être possible d’isoler un individu dans un ensemble de données.
- Pas de linkage : il ne doit pas être possible de relier des enregistrements distincts pour identifier un individu.
- Pas d’inférence : il ne doit pas être possible de déduire avec un degré de confiance significatif des informations concernant un individu.
Le projet propose aussi deux méthodes d’évaluation : une approche contextuelle, qui tient compte des différences de capacités entre les personnes susceptibles de réidentifier les données, et une approche simplifiée, plus prudente mais aussi plus rigide, qui ignore ces différences par souci de simplicité. Une organisation qui souhaite écarter des données de son registre des traitements RGPD au motif qu’elles sont anonymisées devra pouvoir démontrer la satisfaction de ces trois critères, quelle que soit l’approche retenue.
Ce que cela change en pratique
- Les techniques de pseudonymisation (hachage, tokenisation) ne suffisent pas à elles seules à satisfaire ces critères si une réidentification reste techniquement possible — un principe déjà posé par la CJUE sur la distinction entre pseudonymisation et anonymisation.
- Les données dites « agrégées » doivent être évaluées en tenant compte des données tierces disponibles (effets de linkage externe).
- L’évaluation du risque de réidentification doit tenir compte des moyens raisonnablement susceptibles d’être utilisés, y compris par des tiers.
Web scraping pour l’IA générative : le RGPD s’applique pleinement
Le deuxième projet de guideline aborde une question centrale pour les développeurs et fournisseurs de modèles d’IA : la collecte de données par web scraping à des fins d’entraînement de modèles génératifs.
La position du CEPD est claire : le RGPD s’applique dès lors que le scraping inclut des opérations de traitement de données personnelles — collecte, stockage, organisation, extraction — même sur des sources publiques. Les organisations doivent justifier :
- Une base légale valide au titre de l’article 6 du RGPD, l’intérêt légitime étant évoqué comme base possible mais soumise à une mise en balance rigoureuse des intérêts, et non automatiquement applicable.
- En cas de traitement de catégories spéciales de données (santé, opinions politiques, données biométriques, etc.), une exception explicite au titre de l’article 9(2) du RGPD.
Sur ce dernier point, le CEPD apporte une précision utile : pour une collecte incidente ou résiduelle de données sensibles (par exemple lorsqu’une donnée de santé apparaît de façon non intentionnelle dans un jeu de données scrapé), la jurisprudence GC & Others (C-136/17) peut s’appliquer — à condition que l’organisation agisse dans le cadre de ses responsabilités et mette en place des mesures techniques et organisationnelles pour limiter la collecte et la diffusion de ces données. Le CEPD rappelle toutefois qu’il n’existe aucune exemption générale à l’article 9 : chaque cas doit être analysé individuellement.
Le texte insiste également sur les principes de limitation des finalités, de transparence et de minimisation des données, et recommande de ne scraper que des sources fiables, d’horodater les collectes et de valider les données avant leur usage en entraînement, pour respecter le principe d’exactitude.
Implications pour les entreprises françaises utilisant l’IA
- Toute organisation qui intègre un modèle d’IA générative entraîné sur des données web doit s’assurer que son fournisseur justifie d’une base légale pour la collecte — un enjeu que les agents IA de conformité intègrent par construction en anonymisant automatiquement les données sensibles avant traitement.
- Les DPO doivent inclure une question sur la provenance des données d’entraînement dans leurs due diligences fournisseurs IA.
- La consultation publique sur ce projet est ouverte jusqu’au 30 octobre 2026 : les organisations peuvent soumettre leurs observations au CEPD.
Blockchain et RGPD : la seule version finale des trois textes
Contrairement aux deux textes précédents, la guideline sur le traitement de données personnelles via les technologies blockchain est bien définitive : elle a été finalisée après sa propre consultation publique, dont le CEPD a également publié le rapport de synthèse et une version « suivi des modifications ». La guidance aide les organisations à évaluer leur architecture blockchain au regard des exigences du RGPD, notamment sur :
- L’identification du responsable de traitement dans les blockchains permissionnées et non permissionnées.
- Le droit à l’effacement (art. 17 RGPD) dans un environnement techniquement immuable.
- Les transferts hors UE implicites liés à la répartition géographique des nœuds.
FAQ — Guidelines EDPB anonymisation et IA générative 2026
Quelle est la différence entre anonymisation et pseudonymisation selon le RGPD ?
La pseudonymisation remplace les identifiants directs par un code, mais le lien avec l’identité reste possible via une clé : les données pseudonymisées restent donc des données personnelles au sens du RGPD. L’anonymisation, en revanche, doit rendre toute réidentification impossible selon les trois critères du CEPD : pas d’isolation, pas de linkage, pas d’inférence. Seules les données véritablement anonymes sortent du périmètre RGPD.
Les nouvelles guidelines EDPB sur l’anonymisation et le web scraping sont-elles déjà obligatoires ?
Non, pas encore sous leur forme actuelle. Ce sont des projets soumis à consultation publique jusqu’au 30 octobre 2026 : leur contenu peut encore être ajusté avant adoption définitive. Seule la guideline sur la blockchain est aujourd’hui en version finale. Cela dit, les autorités de contrôle s’appuient déjà sur la direction donnée par ces projets, qu’il est donc pertinent d’anticiper.
Un modèle d’IA entraîné sur des données web est-il soumis au RGPD ?
Oui, si les données collectées contenaient des données personnelles lors du scraping. Le projet de guideline précise que le RGPD s’applique dès la phase de collecte, même sur des sources publiques. Le fait que le modèle final ne reproduise pas les données à l’identique ne suffit pas à exempter la phase d’entraînement de ces obligations.
Comment participer à la consultation publique sur ces guidelines ?
Les consultations sont ouvertes jusqu’au 30 octobre 2026 directement sur le site de l’EDPB (edpb.europa.eu, rubrique « Public consultations »), une pour l’anonymisation et une pour le web scraping. C’est l’occasion pour les DPO et responsables conformité de faire remonter des contraintes opérationnelles spécifiques à leur secteur.
Que faire si notre organisation utilise une blockchain pour gérer des données personnelles ?
Commencer par identifier l’architecture : blockchain permissionnée (acteurs connus, gouvernance définie) ou non permissionnée (publique, acteurs anonymes) — la réponse du RGPD diffère selon le cas. Anticiper ensuite la question du droit à l’effacement : immuabilité de la blockchain et RGPD ne sont compatibles que via des solutions techniques spécifiques (hachage, stockage hors chaîne).
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
Le 8 juillet 2026, le CEPD a publié trois textes sur l’anonymisation, le web scraping pour l’IA générative et la blockchain. Seule la guideline blockchain est aujourd’hui définitive ; les deux autres restent en consultation jusqu’au 30 octobre 2026. L’anonymisation exige de satisfaire trois critères cumulatifs stricts. Le web scraping pour l’IA générative doit reposer sur une base légale explicite et une vigilance renforcée sur les données sensibles. La blockchain, elle, dispose déjà d’un cadre RGPD stabilisé.
Sources
- EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain — European Data Protection Board, 8 juillet 2026
- Consultation publique — Guidelines 02/2026 sur l’anonymisation — EDPB
- Consultation publique — Guidelines sur le web scraping pour l’IA générative — EDPB
- Le CEPD met en lumière l’anonymisation et le moissonnage pour l’IA générative — CNIL, 9 juillet 2026
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
