RGPD : le Conseil d’État précise les conditions d’une anonymisation effective
Publié le :
23/02/2026
23
février
févr.
02
2026
Dans sa décision du 13 février 2026 (CE du 13 février 2026, n° 498628), le Conseil d’État précise la frontière entre pseudonymisation et anonymisation.
En se fondant sur l’article 4 et le considérant 26 du règlement (UE) 2016/679, il rappelle qu’une donnée ne peut être qualifiée d’anonyme que si la personne concernée n’est pas ou plus identifiable.
L’analyse doit être concrète : il convient d’apprécier si des moyens raisonnablement susceptibles d’être utilisés, au regard des coûts, du temps et des technologies disponibles, permettraient une réidentification.
Cette approche s’inscrit dans le prolongement de la jurisprudence de la CJUE (7 mars 2024, C-479/22).
La pseudonymisation ne fait pas disparaître le risque d’identification
En l’espèce, les données issues de cabinets médicaux et d’officines étaient associées à des codes « patients » ou « clients ». Toutefois, elles comportaient également des informations fines : âge, pathologies, prescriptions, dates précises d’actes, identifiants de professionnels de santé.
Le Conseil d’État valide l’analyse selon laquelle ces éléments permettaient, par recoupements et à l’aide d’outils courants, d’individualiser des parcours de soins. La possibilité d’identifier indirectement une personne, même sans son nom, suffisait à exclure la qualification de données anonymes.
La pseudonymisation constitue ainsi une mesure de sécurité, mais non un mécanisme d’exclusion du champ d’application du RGPD.
Un standard élevé en matière de données de santé
La décision confirme que, s’agissant de données de santé, catégories particulièrement sensibles au sens de l’article 9 du RGPD, le seuil d’exigence est élevé.
L’anonymisation suppose une véritable irréversibilité de l’identification. Dès lors qu’un risque de réidentification demeure raisonnablement possible, les données doivent être regardées comme des données à caractère personnel, soumises à l’ensemble des obligations du RGPD.
Cette clarification impose aux acteurs du secteur de documenter rigoureusement leurs méthodes d’anonymisation et d’intégrer une analyse réaliste du risque de recoupement dès la conception des traitements.
Historique
-
Cession de fonds et distribution sélective : le transfert n’est jamais automatique !
Publié le : 23/02/2026 23 février févr. 02 2026Brèves Juridiques / Droit des affaires et des sociétésBrèves JuridiquesPar un arrêt ayant eu l’honneur de la publication au bulletin et en date du 1...
-
RGPD : le Conseil d’État précise les conditions d’une anonymisation effective
Publié le : 23/02/2026 23 février févr. 02 2026Brèves Juridiques / Droit publicBrèves JuridiquesDans sa décision du 13 février 2026 (CE du 13 février 2026, n° 498628), le Co...
-
La pluriactivité infirmière
Publié le : 23/02/2026 23 février févr. 02 2026Fiches pratiquesFiches pratiques / Divers
La pluriactivité infirmière est une véritable réalité existante dans l’exerci...