Données anonymes et RGPD : les trois critères du CEPD et une amende de 7 millions d'euros
Les lignes directrices 02/2026 du CEPD fixent trois critères d'anonymat. La Garante italienne inflige 7 M€ à IQVIA pour des données de santé non anonymes.
Qualifier un jeu de données d'"anonyme" ne le fait sortir du RGPD que s'il l'est vraiment. Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté pour consultation les lignes directrices 02/2026 sur l'anonymisation ; la consultation a fermé le 30 octobre 2026. Le 23 septembre 2026, la Garante italienne a montré ce qui arrive quand l'affirmation ne tient pas : une amende de 7 millions d'euros contre IQVIA Solutions Italy.
Les trois critères du CEPD
Des données sont anonymes pour une entité si elles ne se rapportent pas à une personne identifiée ou identifiable, compte tenu des moyens raisonnablement susceptibles d'être utilisés. L'appréciation se fait du point de vue de chaque entité concernée : les mêmes données peuvent être anonymes pour l'une et personnelles pour l'autre. Elles sont anonymes en toute sécurité si les trois critères sont remplis :
- Pas d'isolement d'enregistrement : aucune combinaison unique de valeurs propre à une personne.
- Pas de corrélation : aucun enregistrement rattachable à un enregistrement sur la même personne dans un autre jeu de données.
- Pas d'inférence : aucune conclusion précise et significative sur une personne.
Si un critère échoue, une analyse plus poussée s'impose. Les lignes directrices précisent aussi que des données personnelles pour un responsable du traitement le sont aussi pour son sous-traitant, et qu'une technique de réidentification qu'un partenaire pourrait simplement confier à un tiers compte comme moyen raisonnablement susceptible d'être utilisé.
La décision IQVIA
IQVIA détenait une base de données de santé d'environ un million de patients de 800 médecins généralistes, utilisée pour des études commandées notamment par des laboratoires pharmaceutiques. La Garante a jugé que les données n'étaient pas anonymes : un code persistant par patient permettait un suivi dans le temps et, avec l'année de naissance, le sexe, les diagnostics, les prescriptions et des données de localisation, d'isoler et de réidentifier les patients.
IQVIA traitait des données de santé sans base légale appropriée, sans informer les patients, sans durées de conservation (les données remontaient à 2001), sans AIPD et sans sécurité adéquate. Si elle veut poursuivre, elle doit se mettre en conformité dans les 120 jours.
Que faire maintenant
Recensez les jeux de données que vous traitez comme anonymes et testez-les au regard des trois critères. S'ils échouent, traitez-les comme des données personnelles : une base légale, une fiche dans votre registre des traitements et, pour des données de santé à grande échelle, une AIPD.
Dazr Compliance tient le registre de l'article 30 avec la base légale et la condition de l'article 9 pour chaque activité, vérifie chaque activité au regard des neuf critères du CEPD pour une AIPD et conserve les AIPD avec leurs risques, mesures et validation.
Sources
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 7 novembre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål