Anonymisation imparfaite et entrepôts de données de santé sauvages, l’engrenage

Le fil conducteur de ces décisions mérite d’être souligné : c’est parce que les données ne peuvent pas être regardées comme anonymes que leur rassemblement dans une base centralisée constitue un entrepôt de données de santé, illicite faute d’avoir été précédé des formalités requises. L’anonymisation imparfaite (1) emporte ainsi la qualification d’entrepôt « sauvage » (2), sachant que l’autorisation obtenue impose à l’opérateur le strict respect de son périmètre (3).

1. Requalification de l’anonymisation en pseudonymisation

La CJUE rappelle qu’une donnée demeure à caractère personnel dès lors qu’elle se rapporte à une personne physique directement ou indirectement identifiable, y compris au moyen d’informations supplémentaires raisonnablement accessibles au responsable du traitement ou à toute autre personne^[3]. L’appréciation repose sur un test de vraisemblance du risque de ré-identification, conduit du point de vue de chaque entité concernée^[4]. L’anonymisation suppose un résultat rendant impossibles l’individualisation (singling out), la corrélation (linkability) et l’inférence (inference), trois critères établis par le G29 dans son avis 05/2014 sur les techniques d’anonymisation, que le CEPD a rappelés dans ses lignes directrices 02/2026⁵⁶. Les lignes directrices du CEPD proscrivent l’usage des termes « anonyme » ou « dépersonnalisé » lorsque les personnes restent identifiables et imposent de documenter et de tester l’efficacité du processus d’anonymisation.

Appliquant les trois critères susvisés, la CNIL a sanctionné en 2024 des éditeurs de logiciels médicaux et des exploitants de données statistiques de santé (sociétés GERS, Santestat et Cegedim Santé) qui considéraient ne traiter que des données anonymes mais alimentaient des bases longitudinales de patients à partir des logiciels des professionnels de santé^[7]. L’attribution à chaque patient d’un identifiant technique stable permettant de suivre ses consultations, diagnostics et prescriptions successifs, relève de la pseudonymisation au sens de l’article 4, point 5, du RGPD, et non de l’anonymisation puisque le risque de réidentification demeure^[8].

La conséquence est immédiate : les données restent des données de santé à caractère personnel et leur traitement est soumis au RGPD et à la loi n° 78-17 du 6 janvier 1978.

2. Requalification en entrepôt sauvage

La requalification fait basculer l’ensemble du dispositif dans un régime de formalités préalables. En droit français, la constitution d’un entrepôt réunissant des données de santé doit, soit être strictement conforme au référentiel « entrepôts de données de santé » de la CNIL et donner lieu à une déclaration de conformité, soit faire l’objet d’une autorisation de la CNIL en application de l’article 66, IV de la loi du 6 janvier 1978^[9] si elle ne repose pas sur le consentement des personnes concernées.

Or l’opérateur qui considère traiter des données anonymes considère être exonéré de formalités. C’est ainsi qu’anonymisation imparfaite et entrepôt sauvage sont inextricablement liés : l’extraction massive et continue de données de santé pseudonymisées depuis leurs producteurs vers des serveurs les rassemblant, sans formalités préalables, caractérise l’entrepôt sauvage^[10].

Les manquements s’enchaînent alors en cascade : traitement de données sensibles sans base de licéité adéquate ni exception au titre de l’article 9 du RGPD, absence d’information individuelle des patients, méconnaissance du régime propre aux traitements de données de santé. Saisi par les sociétés sanctionnées, le Conseil d’État a confirmé la légalité de ces sanctions, y compris la motivation des amendes.

3. Autorisation CNIL de constitution d’un entrepôt de données de santé : un périmètre fixe et strict

La délibération IQVIA Operations France du 26 mai 2026 illustre l’autre versant de cette jurisprudence : la société incriminée disposait d’autorisations pour ses entrepôts LRX et EMR, et a pourtant été lourdement sanctionnée^[11].

La formation restreinte a retenu que l’opérateur qui définit le module d’extraction intégré aux logiciels des pharmaciens et des médecins et détermine les flux alimentant ses bases, est responsable de traitement pour l’ensemble de la chaîne de collecte et de transmission, nonobstant l’intervention de tiers de confiance ou la responsabilité propre des professionnels de santé. Elle a ensuite jugé que le non-respect des protocoles techniques approuvés, les défaillances dans l’information des personnes au stade de la collecte ou l’utilisation de flux hors du périmètre autorisé constituent autant de violations directes des conditions de l’autorisation, soulignant que ce n’est pas le dossier de demande d’autorisation qui fixe le périmètre de l’autorisation mais les termes de l’autorisation elle-même. Enfin, elle indique que les mesures techniques et organisationnelles approuvées dans le cadre d’une autorisation ne sauraient dispenser le responsable du traitement de les mettre à jour pour assurer la conformité à l’état de l’art.

Le cadre procédural renforce encore l’exposition des opérateurs. La présidente de la CNIL peut saisir directement la formation restreinte, sans mise en demeure préalable. L’autorité n’est pas tenue de ventiler le montant de l’amende par manquement, dès lors qu’elle énonce les critères de l’article 83 du RGPD (gravité, négligence, sensibilité des données, nombre de personnes concernées). Enfin, la publication nominative des délibérations pendant deux ans constitue une sanction complémentaire jugée proportionnée^[12].

Pour les acteurs de la réutilisation des données de santé, l’enseignement est clair : l’anonymisation doit être démontrée, documentée par une analyse de risques de réidentification et périodiquement réévaluée, et non simplement affirmée. Dans le doute, la prudence commande de traiter les données comme personnelles et d’accomplir les formalités applicables à l’entrepôt, et à chacune des réutilisations. À défaut, une anonymisation imparfaite transforme mécaniquement une base statistique en entrepôt « sauvage » !