La fiche 12 du guide pratique de la CNIL pour les SPST encadre les études et les enquêtes menées à partir des données du service. Elle distingue les données anonymes, qui sortent du champ du RGPD, des données pseudonymisées, qui restent des données personnelles.
Le Comité européen de la protection des données a adopté le 7 juillet 2026 ses lignes directrices 02/2026 sur l’anonymisation, soumises à consultation jusqu’au 30 octobre. Elles remplaceront l’avis de 2014 sur lequel la CNIL s’appuie aujourd’hui.
Ce qui change
Les lignes directrices proposent un test en trois critères. Des données sont anonymes si l’on ne peut plus :
- individualiser une personne, c’est-à-dire l’isoler dans un ensemble ;
- corréler, c’est-à-dire relier les données à une autre base concernant la même personne ;
- inférer, c’est-à-dire déduire une information sur une personne.
Le test s’apprécie selon les moyens de l’entité qui détient les données, avec une approche simplifiée. Retirer les noms ne suffit donc pas : si l’on peut encore isoler une personne, la relier à une autre base ou deviner une information sur elle, les données restent personnelles et le RGPD continue de s’appliquer.
Le texte reste en consultation. Sa logique rejoint toutefois la pratique actuelle, et il peut servir de grille de contrôle dès maintenant.
Ce que cela implique pour un SPST
Le test vaut pour les études, mais aussi pour les tableaux transmis aux adhérents et aux branches, souvent présentés comme anonymes.
- Un tableau d’effectifs par type de visite pour une entreprise de huit salariés permet souvent d’individualiser une personne : une seule visite de reprise sur l’année désigne quelqu’un que l’employeur connaît.
- Des statistiques croisant âge, poste et site permettent de corréler les données avec le fichier du personnel de l’adhérent.
- Une fiche d’entreprise ou un bilan collectif qui mentionne un taux d’inaptitude sur un petit effectif permet d’inférer une information sur un salarié.
Les mesures sont connues : seuils minimaux d’effectifs en dessous desquels un chiffre n’est pas diffusé, regroupement de catégories, suppression des croisements inutiles, contrôle avant envoi.
Le contrôle se fait avant chaque envoi, par une personne qui connaît la taille des entreprises destinataires. Un tableau correct pour une grande entreprise peut devenir identifiant pour une petite.
La loi n° 2026-668 du 27 juillet 2026 (article 2 quater) prévoit un rapport statistique sous trois ans sur les dépistages réalisés à la visite de mi-carrière. Le comptage agrégé qui alimentera ce rapport doit passer le même test.
Les enquêtes de satisfaction auprès des salariés suivis relèvent du même raisonnement : un lien de réponse individualisé conservé avec le dossier rend l’anonymat illusoire.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, ouvrez la fiche « Statistiques et rapports aux adhérents » et précisez si les données transmises sont anonymes ou pseudonymisées, avec les mesures appliquées.
- Créez une procédure « Contrôle d’anonymisation avant diffusion » reprenant les trois critères, faites-la approuver et générez son plan de tâches pour le responsable qualité et les médecins concernés.
- Pour une étude à partir des données du dossier médical, ouvrez une session d’AIPD et ajoutez un scénario de réidentification.
- Si des tableaux diffusés permettent d’isoler une personne, créez une non-conformité et une action corrective.
- Créez une tâche de suivi de la version définitive des lignes directrices après la consultation.
- Demandez à ALIX d’appliquer le test en trois critères à un modèle de tableau, puis validez ou corrigez son analyse.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- CEPD, lignes directrices 02/2026 sur l’anonymisation (7 juillet 2026, consultation jusqu’au 30 octobre 2026)
- Loi n° 2026-668 du 27 juillet 2026, article 2 quater
- Règlement (UE) 2016/679 (RGPD), considérant 26 et article 4.5
- Guide CNIL SPST, fiche 12
