La fiche 12 du guide CNIL pour les SPST encadre la réutilisation des données du service à des fins d’études et d’enquêtes. Elle distingue les données anonymes, qui sortent du champ du RGPD, et les données pseudonymisées, qui restent des données personnelles soumises à toutes ses règles.
Le Garante, l’autorité italienne de protection des données, a infligé 7 millions d’euros d’amende à IQVIA par une décision du 23 septembre 2026, relayée par le CEPD le 9 octobre. La décision montre ce que coûte une base présentée comme anonyme alors qu’elle ne l’est pas.
Ce qui change
La base visée contenait des données relatives à environ un million de personnes suivies par 800 médecins généralistes. L’organisme la présentait comme anonyme. L’autorité a constaté qu’un identifiant persistant, combiné à l’année de naissance, au sexe, aux diagnostics et à la localisation, permettait de réidentifier les personnes.
Une fois la base requalifiée en données personnelles, tous les manquements ont suivi : absence de base de licéité, absence d’information des personnes, absence de durées de conservation, absence d’analyse d’impact et défaut de sécurité. Les médecins qui alimentaient la base ont été requalifiés en sous-traitants.
La consultation du CEPD sur ses lignes directrices relatives à l’anonymisation s’est close le 30 octobre. Le mandat adopté par le Conseil de l’Union le 21 octobre sur la révision du RGPD prévoit un nouvel article 25 bis qui confierait au CEPD les règles de pseudonymisation ; ce n’est encore qu’un projet.
Ce que cela implique pour un SPST
Retirer le nom ne rend pas une base anonyme. Si l’on peut encore suivre la même personne d’une ligne à l’autre et la reconnaître par son âge, son sexe, sa commune et ses diagnostics, la base reste personnelle. Tout ce qu’on en fait obéit alors au RGPD.
Les services transmettent des extractions à de nombreux partenaires : observatoires régionaux, études multicentriques, enquêtes nationales, travaux universitaires, éditeurs pour le développement d’indices. Ces extractions sont souvent qualifiées d’anonymes sans test.
- Une extraction qui conserve un identifiant stable, même codé, reste pseudonymisée.
- Le croisement de variables comme l’âge, le sexe, le code postal, le secteur d’activité et le diagnostic suffit souvent à isoler une personne, surtout dans une petite entreprise.
- La qualification des acteurs doit être faite avant la transmission : le service est-il responsable de traitement, responsable conjoint ou sous-traitant du porteur de l’étude ? La sanction italienne montre que cette qualification peut être revue par l’autorité.
- Une base pseudonymisée exige une base de licéité, une information des salariés suivis, une durée de conservation, des mesures de sécurité et, le plus souvent, une analyse d’impact.
- Le contrat avec le destinataire doit interdire la réidentification et prévoir la destruction des données à l’issue de l’étude.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements chaque fiche relative à une étude ou à une enquête à laquelle le service participe. Indiquez si les données transmises sont anonymes ou pseudonymisées, en vous appuyant sur les tests réalisés, et précisez la qualification des acteurs, la base légale et l’information des salariés. Soumettez chaque fiche à validation. Une étude menée avec d’autres services peut être documentée dans un groupe mutualisé.
Dans le registre des sous-traitants, inscrivez chaque destinataire qui agit pour le compte du service, et indiquez les autres dans la fiche du traitement. Pour chaque destinataire d’extraction, lancez un audit par questionnaire sur la sécurité, l’interdiction de réidentification et la durée de conservation.
Pour toute extraction qualifiée d’anonyme sans test, créez une non-conformité et une action corrective. Si les données sont pseudonymisées et sensibles, ouvrez une session AIPD sur l’étude, avec un scénario de risque « réidentification par croisement de variables », et inscrivez les mesures au plan d’actions. Le registre des délais de conservation accueille la durée retenue pour chaque extraction, à faire valider par le médecin responsable de l’étude.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 4.1, 4.5, 9.2.j, 35 et 89 du RGPD, texte sur cnil.fr
- Décision du Garante italien du 23 septembre 2026 (IQVIA)
- Projet de lignes directrices CEPD 02/2026 sur l’anonymisation
- Guide CNIL SPST, fiche 12
