Par une décision en date du 13 février 2026, le Conseil d’État juge que des données pseudonymisées ne sont anonymes que si le risque d’identification est insignifiant et l’identification irréalisable en pratique^[1].

 

Les faits, le litige et la procédure

La société GERS exploite deux bases alimentées par les logiciels des professionnels de santé. La base « Thin » reçoit les données des médecins équipés du logiciel « Crossway », édité par la société Cegedim Santé, la base « Gers Etudes clients » reçoit celles des officines de pharmacie, via un module de la société Santestat. Fin mars 2021, la première comptait 13,4 millions de consultations et 4 millions de codes patients, la seconde 78 millions d’identifiants clients^[2].

La formation restreinte de la Commission nationale de l’informatique et des libertés (ci-après « CNIL ») a jugé ces données non anonymes et les traitements soumis à autorisation^[3]. Elle a prononcé trois amendes : 800 000 euros contre la société GERS, 200 000 euros contre elle au titre de la base de données exploitée via le module de la société Santestat, absorbée en cours de procédure par la société GERS, et 800 000 euros contre la société Cegedim Santé. Cette dernière sanction est publiée sous forme nominative pendant deux ans^[4]. Les sociétés ont demandé l’annulation de ces sanctions, soutenant qu’un fichier réduit à un code est anonyme^[5].

 

Le seuil de l’anonymat : un risque d’identification insignifiant

Le Conseil d’État se fonde sur les définitions de la donnée à caractère personnel et de la pseudonymisation posées par le règlement général sur la protection des données (ci-après « RGPD ») et notamment son considérant 26^[6]. Ces définitions, telles qu’interprétées par la Cour de justice de l’Union européenne (CJUE), livrent un critère unique pour distinguer pseudonymisation d’anonymisation^[7]. Le Conseil d’État juge ainsi que :

« une donnée ne peut être considérée comme ayant été rendue anonyme par une pseudonymisation que si le risque d’identification est insignifiant, une telle identification étant irréalisable en pratique, notamment parce qu’elle impliquerait un effort démesuré en termes de temps, de coût et de main d’œuvre »^[8].

En l’occurrence, les fichiers des bases de données comportaient l’âge, le sexe, la catégorie socio-professionnelle, les pathologies, les médicaments prescrits ou achetés, la date et parfois l’heure exacte de la visite ou de l’achat. Ils portaient aussi les identifiants ADELI et RPPS des prescripteurs, qui peuvent donner accès à l’identité du médecin par un moteur de recherche^[9].

Selon la formation restreinte de la CNIL, un tableur d’usage courant et la nomenclature communiquée par les sociétés ont suffi à reconstituer des parcours de soins et à individualiser des clients, c’est-à-dire à les isoler dans le fichier. Le risque de réidentification a donc été jugé élevé, notamment lorsque les traitements prescrits sont rares^[10]. Le Conseil d’État en déduit que la CNIL a mené une évaluation concrète du risque et refuse en outre le renvoi préjudiciel sollicité, faute de difficulté sérieuse^[11].

 

La portée : un standard européen transposé au contentieux des sanctions

Le critère appliqué émane de l’arrêt OC c/ Commission, rendu le 7 mars 2024 par la Cour de justice. La Cour y a jugé qu’un communiqué de l’Office européen de lutte antifraude, qui ne nommait pas la chercheuse visée, l’identifiait néanmoins par son genre, sa nationalité, l’activité de son père, le montant de la subvention et la localisation de son université^[12].

Le Conseil d’État l’applique aux données en cause et écarte le caractère insignifiant du risque au vu des paramètres suivants, qui forment une grille pour tout organisme se prévalant de l’anonymat de ses fichiers^[13] :

• le volume et la finesse des données conservées, dates et heures comprises ;
• les identifiants indirects, dont les numéros professionnels publiquement consultables ;
• les informations détenues par ailleurs et les données tierces croisables ;
• le temps et le coût réels d’une réidentification, outils courants compris.

 

Conclusion

La décision du Conseil d’Etat rappelle donc la distinction entre l’anonymat et le pseudonymat, qui doit être appréciée sur l’ensemble du fichier et sur ce qui peut lui être adjoint^[14].

 

______

[1] CE, 10e et 9e ch. réunies, 13 février 2026, n° 498628, point 9.

[2] CE, 13 février 2026, n° 498628, point 4.

[3] CE, 13 février 2026, n° 498628, point 5.

[4] CE, 13 février 2026, n° 498628, point 1, visant les délibérations n° SAN-2024-010 et n° SAN-2024-011 du 28 août 2024 et n° SAN-2024-013 du 5 septembre 2024, et point 3, la société Santestat ayant été dissoute et son patrimoine transmis à la société GERS le 7 mai 2024. Seule la troisième délibération a été rendue publique : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000050202759

[5] CE, 13 février 2026, n° 498628, points 1, 2 et 11.

[6] CE, 13 février 2026, n° 498628, points 6 à 8, reproduisant l’article 4, points 1, 15 et 5, du RGPD, que la décision désigne comme des paragraphes, ainsi que le considérant 26. Le point 6 vise par erreur le « règlement 2016/680 », alors que l’intitulé cité est celui du règlement (UE) 2016/679.

[7] CE, 13 février 2026, n° 498628, point 9.

[8] CE, 13 février 2026, n° 498628, point 9, solution reprise au résumé publié aux tables du recueil Lebon.

[9] CE, 13 février 2026, n° 498628, points 10 et 11, les identifiants des prescripteurs étant relevés au point 11 s’agissant des données transmises par les pharmacies.

[10] CE, 13 février 2026, n° 498628, point 11.

[11] CE, 13 février 2026, n° 498628, point 12.

[12] CJUE, 6e ch., 7 mars 2024, OC c/ Commission, C-479/22 P, points 51, 60 et 61 : https://eur-lex.europa.eu/legal-content/fr/TXT/?uri=CELEX:62022CJ0479

[13] CE, 13 février 2026, n° 498628, points 10 à 12, appliquant le critère énoncé au point 9.

[14] CE, 13 février 2026, n° 498628, points 9 et 11.