Choisir ce modèle Voir le catalogue
Actualités
Espace client
Vous êtes ici :
  1. Actus
  2. Brèves Juridiques
  3. Droit public
  4. RGPD : anonymisation et pseudonymisation précisées

RGPD : anonymisation et pseudonymisation précisées

Publié le : 24/02/2026 24 février févr. 02 2026
Brèves Juridiques / Droit public

Par une décision du 13 février 2026, le Conseil d’État apporte des précisions structurantes sur la distinction entre pseudonymisation et anonymisation au regard du règlement général sur la protection des données. Saisi à propos de traitements portant sur des données issues de cabinets médicaux et d’officines, il définit le niveau d’exigence requis pour qu’une information échappe à la qualification de donnée à caractère personnel.

Une appréciation concrète du risque de réidentification

Dans sa décision CE, 13 février 2026, n° 498628, la Haute juridiction se fonde sur l’article 4 et le considérant 26 du règlement (UE) 2016/679 pour rappeler qu’une donnée ne peut être regardée comme anonyme que si la personne concernée n’est pas ou plus identifiable. L’examen ne saurait être abstrait. Il implique d’évaluer si des moyens raisonnablement susceptibles d’être mobilisés, compte tenu des coûts, des délais et des technologies disponibles, permettraient d’aboutir à une identification. Cette méthode s’inscrit dans le prolongement de la jurisprudence de la Cour de justice de l’Union européenne du 7 mars 2024 (C-479/22). L’identifiabilité indirecte suffit à maintenir l’application du RGPD.

La pseudonymisation inopérante à exclure le RGPD pour les données de santé

En l’espèce, les informations traitées étaient associées à des codes « patients » ou « clients ». Toutefois, elles comprenaient également des données détaillées relatives à l’âge, aux pathologies, aux prescriptions, aux dates d’actes et aux identifiants des professionnels de santé. Par recoupement et à l’aide d’outils courants, ces éléments permettaient de reconstituer des parcours de soins individualisés. Le Conseil d’État valide ainsi l’analyse selon laquelle la pseudonymisation, si elle constitue une mesure de sécurité, ne fait pas disparaître le risque de réidentification. Dès lors qu’un tel risque demeure raisonnablement envisageable, les informations doivent être qualifiées de données à caractère personnel. S’agissant de données de santé, catégories particulières au sens de l’article 9 du RGPD, l’exigence est renforcée. Seule une anonymisation irréversible permet une sortie du champ d’application du règlement. À défaut, l’ensemble des obligations issues du RGPD trouve à s’appliquer.
Partager sur
Publier cet article Partager sur LinkedIn Partager sur Facebook Envoyer par E-mail

Historique

<< < 1 2 > >>
Navigateur non pris en charge

Le navigateur Internet Explorer que vous utilisez actuellement ne permet pas d'afficher ce site web correctement.

Nous vous conseillons de télécharger et d'utiliser un navigateur plus récent et sûr tel que Google Chrome, Microsoft Edge, Mozilla Firefox, ou Safari (pour Mac) par exemple.
OK