CE (13/02/2026): Pseudonymisation ≠ anonymisation — DLP et transferts RGPD

13 février 2026 — Conseil d’État. La haute juridiction confirme des sanctions CNIL contre GERS/Santestat/Cegedim Santé: des bases de santé « pseudonymisées » demeuraient ré‑identifiables « avec des moyens raisonnables » et restaient donc des données personnelles. Conséquence: les exigences de sécurité (art. 32) et de transferts (chapitre V) s’appliquent pleinement aux jeux de données pseudonymisés échangés en interne, chez des sous‑traitants ou vers le cloud. Référence: Conseil d’État, n° 498628, 13/02/2026 et analyses Inside Privacy, HSF Kramer, Seban.

Les faits

Le Conseil d’État (10e‑9e chambres réunies) rejette les recours et confirme des sanctions (800 k€ / 200 k€ / 800 k€). Les variables (codes patients, identifiants prescripteurs, âge, pathologies, traitements, datation fine, zones régionales) permettaient l’individualisation et le croisement « avec des moyens raisonnables ». La possibilité objective de ré‑identification suffit, peu importe que l’entreprise ré‑identifie ou non.

Le cadre légal qui s’applique

• RGPD article 32: mesures de sécurité, dont la pseudonymisation « lorsque approprié » — qui ne transforme pas des données personnelles en données anonymes. Rappels CNIL: Anonymisation, Pseudonymisation. Voir aussi notre page sur le RGPD et ses articles 32 et 44‑49.
• Articles 44‑49 RGPD: un dataset pseudonymisé reste un transfert de données personnelles s’il est exporté; mécanismes de l’art. 46 et garanties supplémentaires requis. Ressources EDPB: Anonymisation.
• Interprétation judiciaire: approche concrète du risque (granularité, croisements externes, moyens ordinaires). Décision officielle: CE 498628, 13/02/2026.

Conséquence pratique en Europe (LU/BE/FR/DE): traiter comme personnelles les données pseudonymisées échangées avec des prestataires/filiales/cloud; appliquer l’article 32 et, pour tout envoi vers pays tiers, le chapitre V du RGPD.

Pourquoi c’est un tournant technique

Certains estimaient qu’un destinataire dépourvu de « clé » sortait du RGPD. L’arrêt impose une appréciation réaliste de la ré‑identification, ce qui resserre l’état de l’art attendu pour la sécurité et les transferts. Les organisations doivent documenter et auditer ces contrôles dans un SMSI conforme ISO 27001 au Luxembourg ou au sein de l’UE.

La pile DLP de référence

• Classification et marquage: détection PII/PHI et quasi‑identifiants (âge, codes prescripteurs, codes pathologies, timestamps précis, géo). Modèles, EDM/IDM, dictionnaires (ATC/ICD), règles contextuelles.
• DLP endpoint/egress: blocage/quarantaine/justification à l’export (email, web/Cloud, SFTP, impression, presse‑papiers, USB); masquage dynamique et chiffrement à la volée pour les flux autorisés mais sensibles.
• DLP réseau/Cloud (CASB/CSPM): inspection TLS sortant, contrôles d’upload vers SaaS/stockage public, politiques allow‑list de tenants et geo‑fencing; journalisation inviolable et workflow de dérogation.
• Gouvernance des transferts (chap. V): cartographie des destinataires, évaluation ré‑id (singling‑out/linkability/inference), décision « transfert/non‑transfert », confinement régional, clés gérées UE, chiffrement côté client.
• Chaîne de preuve: logs DLP, tickets d’exception, empreintes de datasets partagés, rapports de faux positifs/négatifs.

Standards: ISO/IEC 27001:2022 Annexe A 8.12 (DLP), 8.10 (Suppression), 8.11 (Masquage), 8.21 (Sécurité réseau), 8.23 (Cryptographie). Synthèses: Bastion – Annex A, ISO27001.com – A.8.12. EDPB (2025‑2026): EDPB.

Comment Luxgap déploie

• Gouvernance ISO 27001: politique DLP ancrée dans le risque de ré‑identification et cartographie des flux sensibles. Ateliers avec métiers, IT et conformité.
• DPO et CISO externalisés: qualification juridique « pseudo ≠ anonyme », analyse transfert (chap. V), base légale, garanties, procédures d’exception. Découvrez notre accompagnement par un DPO certifié.
• SOC managé (si requis): supervision 24/7 des signaux DLP/CASB, corrélation IAM/Cloud, alertes temps réel, assistance notification CNPD/NIS 2. Voir notre offre SOC managé.

Preuve de valeur (4–6 semaines): trois canaux à haut risque (email, SaaS collaboratif, stockage objet), détection fine des quasi‑identifiants métier, tableau de bord « transferts & exceptions » exploitable par DPO/IT/Juridique.

Cas concret (UE/Luxembourg)

• Découverte d’exports « pseudonymisés » envoyés vers des boîtes personnelles (pièces jointes).
• Règles DLP ciblant codes prescripteurs + dates d’actes + âge/genre; masquage automatique et canal approuvé sécurisé.
• Gouvernance transferts: blocage par défaut hors UE, dérogations tracées via IDP, application de clauses types si nécessaire.

Résultat: −78% d’incidents d’exfiltration sur 3 canaux pilotes et dossier de conformité prêt (art. 32 et chapitre V) pour audit interne/DPO.

Premiers pas concrets

1. Dresser la « liste rouge » des attributs à risque d’individualisation (âges extrêmes, timestamps, identifiants prescripteurs/fournisseurs, géo fine).
2. Tester en sandbox une détection DLP de ces co‑occurrences sur 2 canaux (email sortant, dépôt SaaS) et mesurer les faux positifs.
3. Bloquer par défaut les envois hors UE depuis les comptes génériques; ouvrir au cas par cas avec traçabilité.
4. Encadrer les « partages pseudonymisés » par une check‑list juridique (chap. V) et technique (masquage, chiffrement côté client, geo‑fencing, clés UE).
5. Documenter l’analyse « pseudo ≠ anonyme » dans votre ISMS (ISO 27001: A 8.12, A 8.11) et dans votre registre RGPD.

Sources officielles

• Conseil d’État, décision n° 498628, 13 février 2026: conseil-etat.fr
• CNIL – L’anonymisation de données personnelles: cnil.fr
• EDPB – ressources anonymisation/pseudonymisation: edpb.europa.eu
• ISO/IEC 27001:2022 – Annexe A 8.12 (synthèses): bastion.tech, iso27001.com
• Analyses d’actualité: Inside Privacy, HSF Kramer

En synthèse: un code patient n’est pas une cape d’invisibilité. Une DLP bien réglée, couplée à une gouvernance des transferts, évite l’exfiltration « grise » et démontre la conformité aux articles 32 et 44‑49 du RGPD.

Contactez-nous pour évaluer vos flux pseudonymisés et cadrer vos contrôles DLP/chapitre V.