Le 8 octobre 2026, la CNIL a autorisé la société BIG DATA SANTE (Octopize) à constituer « ONCOVAL », un jeu de données anonymisées en oncologie destiné à la recherche médicale (délibération 2026-112, publiée le 21 octobre). Douze jours plus tard, le 20 octobre, elle autorisait l’IRDES à mener l’étude OSKAR sur le recours à la kinésithérapie dans les maladies neuromusculaires (décision DR-2026-202). Ces deux textes, parus sur Légifrance en octobre, montrent ce que la CNIL vérifie quand des données de santé anonymisées ou pseudonymisées servent à la recherche : la qualification du traitement, l’information des personnes, le rôle de la plateforme qui héberge, la preuve de l’anonymat.
ONCOVAL : des données de santé anonymisées sous conditions
Octopize utilise un procédé qui génère des profils synthétiques à partir de données réelles. Les sources sont une étude de Roche (25 000 personnes atteintes d’un cancer du sein et 5 000 d’un cancer du poumon, 2015 à 2020) et des données du laboratoire Medipath (500 personnes, 2016 à 2023). Octopize ne reçoit que des données pseudonymisées, sans nom ni NIR : année de naissance, sexe, date de décès le cas échéant, diagnostics, résultats biologiques, poids, taille, chronologie des traitements.
La délibération 2026-112 tranche d’abord une question de qualification. La production d’un jeu anonymisé ne constitue pas une recherche au sens du cadre santé de la loi Informatique et Libertés, et aucune méthodologie de référence ne s’applique. D’où une autorisation spécifique.
Les garanties exigées portent sur la preuve de l’anonymat. Les paramètres doivent être ajustés à chaque jeu et justifiés au regard de l’avis 05/2014 du groupe de l’article 29 sur l’anonymisation. Avant toute ouverture des données, la Plateforme des données de santé, sous-traitante, doit confirmer l’anonymat, puis le réévaluer au moins tous les trois ans. La diffusion s’accompagne de clauses interdisant la réidentification et d’un plan de retrait. Les données pseudonymisées sont supprimées de l’espace sécurisé dans les 24 heures suivant la remise des rapports finaux d’anonymat.
L’information des personnes diffère selon la source : une information publique générale pour les personnes de l’étude Roche, un courrier postal avec un délai d’opposition de 30 jours pour celles de Medipath.
Ce que le responsable de traitement doit retenir
- Un jeu « anonymisé » reste un traitement de données personnelles tant que l’anonymisation n’est pas faite : la production du jeu doit figurer au registre avec sa base légale et ses garanties.
- L’anonymat se démontre par des rapports, se vérifie avant diffusion et se réévalue dans le temps. Un jeu jugé anonyme en 2026 peut ne plus l’être après de nouvelles fuites ou de nouvelles techniques de croisement.
- Le contrat avec le destinataire doit interdire la réidentification et prévoir le retrait des données.
OSKAR : recherche sur le SNDS et information des personnes
La décision DR-2026-202 autorise l’IRDES à exploiter les données de la banque nationale de maladies rares collectées de 2012 à 2024, déjà chaînées avec le SNDS. L’étude suit la MR-004, sauf sur la nature des données et les modalités d’information, examinées à part.
Pour les personnes dont le suivi s’était arrêté avant 2020, la CNIL accepte des mesures d’information publiques à la place d’une information individuelle, jugée disproportionnée. Les personnes suivies après 2020 ont reçu une note individuelle renvoyant vers un portail de transparence. Une note complète doit rester en ligne pendant toute l’étude. La CNIL relève aussi que la répartition des responsabilités avec la Plateforme des données de santé reste à formaliser, en particulier sur la surveillance des traces, la gestion des incidents et les exports de résultats anonymes. Les données sont accessibles trois ans à compter de leur mise à disposition.
Points de contrôle pour un promoteur ou un établissement
- Vérifier si l’étude entre entièrement dans une MR ou si un écart (source de données, modalités d’information) impose une demande d’autorisation.
- Documenter la justification de toute dérogation à l’information individuelle et prévoir la note publique pendant toute la durée de l’étude.
- Écrire la répartition des rôles avec la plateforme d’hébergement : journalisation, incidents, exports.
- Fixer une durée d’accès aux données et la tracer dans le registre.
Les deux textes s’appuient sur l’homologation de la solution de la Plateforme des données de santé, accordée le 22 juillet 2024 pour trois ans. Une équipe qui y travaille doit garder en tête cette échéance de juillet 2027.
Codes de conduite cloud : les agréments CISPE arrivent à échéance
Le code de conduite européen des fournisseurs d’infrastructure cloud (CISPE) a été approuvé par la CNIL le 3 juin 2021. Son respect par les adhérents est vérifié par des organismes de contrôle agréés, dont la mission reste distincte des contrôles de la CNIL. D’après la liste des organismes agréés publiée par la CNIL, les agréments délivrés en 2021 pour cinq ans à EY CertifyPoint, à Bureau Veritas Italia et à l’organisme devenu BYCYB (anciennement LNE) arrivaient tous à échéance entre juin et octobre 2026.
Pour un DPO, l’adhésion d’un hébergeur au code CISPE est un élément utile dans l’évaluation d’un sous-traitant au titre de l’article 28. Elle ne dispense pas d’un contrat conforme ni, pour des données de santé, de l’exigence de certification HDS. Lors de la revue annuelle des sous-traitants, je conseille de vérifier que l’adhésion est toujours en vigueur et qu’un organisme agréé, dont l’agrément est à jour, l’a contrôlée.
Les autres textes du mois
Deux avis lus parmi les publications d’octobre insistent aussi sur la supervision des journaux. Dans son avis 2026-091 sur le fichier SISPoPP du ministère de la justice, la CNIL demande de prioriser la surveillance active des journaux d’événements et d’inscrire la revue des habilitations dans le décret. Dans l’avis 2026-094 sur la collecte de contenus publiés sur les plateformes par l’administration fiscale, elle recommande une surveillance active des journaux applicatifs et l’exclusion des applications de santé et de rencontre.
Les DPO du réseau DPO FRANCE accompagnent établissements de santé, promoteurs et SPST dans leurs projets de recherche, d’entrepôts de données et d’anonymisation. Le logiciel DPO SUITE rassemble registre, AIPD, conformité aux méthodologies de référence et suivi des sous-traitants, avec les preuves associées.
