La fiche 12 du guide CNIL pour les SPST encadre les études et enquêtes réalisées à partir des données du service. Elle rappelle que la réutilisation de données de santé à des fins de recherche suit des formalités précises, et que seules des données réellement anonymes échappent au RGPD.
Le 8 octobre 2026, la CNIL a autorisé la constitution d’un jeu de données synthétiques en oncologie destiné à la diffusion ouverte. La délibération, publiée le 21 octobre, détaille les conditions posées. Elle donne aux services une grille concrète pour apprécier un projet d’anonymisation.
Ce qui change
Par la délibération n° 2026-112 du 8 octobre 2026, la CNIL autorise le projet ONCOVAL. Le responsable de traitement part de données de santé réelles pour générer un jeu de données synthétiques qui sera diffusé en accès ouvert. Les conditions fixées par la CNIL sont les suivantes :
- la justification des paramètres de génération au regard de l’avis 05/2014 du G29 sur les techniques d’anonymisation ;
- un rapport d’analyse systématique du risque de réidentification ;
- une interdiction contractuelle de réidentification pour les utilisateurs ;
- une réévaluation de l’anonymat au moins tous les trois ans ;
- une information des personnes, avec un délai de trente jours pour s’opposer ;
- la suppression des données pseudonymisées utilisées pour la génération sous vingt-quatre heures après la remise des rapports.
La CNIL retient comme fondements l’intérêt légitime et l’article 9.2.j du RGPD, sans passer par une méthodologie de référence. Le même mois, une autorité voisine sanctionnait une base présentée à tort comme anonyme : les deux décisions se répondent.
Ce que cela implique pour un SPST
Un service peut être sollicité pour fournir des données à un projet de recherche, ou souhaiter lui-même publier des statistiques ou des jeux de données issus de son activité. La grille ONCOVAL indique ce qu’une anonymisation acceptée suppose : des tests, un rapport, une interdiction de réidentifier et un rendez-vous périodique pour vérifier que l’anonymat tient toujours.
- L’anonymat se vérifie dans la durée. De nouvelles données disponibles publiquement peuvent permettre une réidentification plus tard ; la réévaluation périodique répond à ce risque.
- La phase de génération elle-même traite des données personnelles. Elle doit figurer au registre, avec ses mesures de sécurité et une durée de conservation courte.
- Les salariés suivis doivent être informés et pouvoir s’opposer, même lorsque le produit final est anonyme.
- Pour les petites entreprises adhérentes, le risque de réidentification est plus élevé : un secteur d’activité et une commune peuvent suffire à désigner une personne.
- La publication de statistiques par le service (rapport d’activité, observatoire) relève de la même logique, à une échelle plus modeste : seuils minimaux d’effectifs, agrégation, vérification avant diffusion.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements une fiche dédiée au projet de production de données anonymes ou synthétiques. Décrivez la phase de génération comme un traitement à part entière : finalité, base légale, catégories de données, destinataires, mesures de sécurité. Soumettez-la à validation.
Dans le registre des délais de conservation, qualifiez le document « Données pseudonymisées utilisées pour la génération », avec un délai court et un point de départ lié à la remise des rapports, et faites-le valider par le responsable de l’étude.
Ouvrez une session AIPD sur le projet, avec un scénario de risque de réidentification, et inscrivez au plan d’actions la réévaluation de l’anonymat tous les trois ans. Créez la tâche correspondante avec son échéance. Le rapport d’analyse du risque, conservé dans le drive du client connecté, se rattache comme preuve.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 6.1.f, 9.2.j et 89 du RGPD
- Délibération CNIL n° 2026-112 du 8 octobre 2026 (publiée le 21 octobre 2026), cnil.fr
- Avis 05/2014 du G29 sur les techniques d’anonymisation
- Guide CNIL SPST, fiche 12
