Le CEPD encadre l'anonymisation, l'IA générative et la blockchain pour les données de santé

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté trois textes qui vont directement façonner l’anonymisation des données de santé, leur usage pour entraîner des modèles d’IA générative, et leur traitement via blockchain. Ces clarifications, largement relayées depuis, ont fait l’objet d’analyses détaillées dans la presse spécialisée en santé numérique le 21 juillet 2026.

Un triple paquet réglementaire

Le CEPD a publié simultanément :

• des lignes directrices 02/2026 sur l’anonymisation, qui actualisent l’avis 05/2014 du G29 ;
• des lignes directrices sur le moissonnage (web scraping) de données personnelles pour l’entraînement de l’IA générative ;
• la version finale des lignes directrices sur la blockchain, après consultation publique.

Les deux premiers textes restent soumis à consultation jusqu’au 30 octobre 2026, laissant aux acteurs de la santé numérique une fenêtre pour faire valoir les spécificités du secteur.

Anonymisation : un test de vraisemblance, pas d’impossibilité absolue

Les trois critères historiques du G29 (absence d’individualisation, de corrélation et d’inférence) sont conservés mais précisés. Le CEPD retient un test de vraisemblance de réidentification, tenant compte des propriétés des données, du contexte de diffusion, des informations accessibles et de l’état de l’art technologique. Autre point clé : le caractère anonyme d’un jeu de données s’apprécie désormais du point de vue de chaque entité qui le détient — un même jeu peut être anonyme pour l’une, personnel pour une autre disposant de clés de réidentification. Le CEPD affirme aussi que l’anonymisation elle-même est un traitement de données personnelles, nécessitant une base légale (article 6) et, pour les données de santé, une exception au titre de l’article 9§2.

Moissonnage pour l’IA générative : vigilance renforcée sur la santé

Le CEPD rappelle que le RGPD s’applique dès la collecte, le stockage ou l’extraction de données personnelles, avec une exigence de limitation des finalités, de transparence et de minimisation. Pour les données de santé, le traitement reste interdit par principe : leur moissonnage exige à la fois une base légale et une exception au titre de l’article 9§2, sans exemption générale possible. Cette clarification vise en priorité les éditeurs de solutions d’IA en santé, mais offre aussi aux DSI hospitalières et aux DPO un cadre d’audit pour évaluer la provenance des données d’entraînement des outils qu’ils achètent ou expérimentent.

Blockchain : concilier immutabilité et minimisation

Le troisième volet, désormais finalisé, aide les organisations utilisant la blockchain à se conformer au RGPD en évaluant différentes architectures et leurs implications pour les données personnelles — un enjeu croissant dans les projets d’interopérabilité et de traçabilité en santé.

Ce que cela change pour la santé numérique française

Ce triple paquet intervient alors que la France multiplie les initiatives d’IA en santé — assistant conversationnel de l’Assurance maladie, documentation clinique, aide au diagnostic — et que le Health Data Hub et l’Espace européen des données de santé (EHDS) montent en puissance. Hôpitaux, éditeurs et chercheurs devront documenter précisément leurs processus d’anonymisation et la provenance des données d’entraînement de leurs modèles d’IA, sous peine de requalification en traitement de données personnelles.

Sources

• Anonymisation des données, un cadre complété et opérationnel ! – DSIH
• Moissonnage pour l’IA générative, blockchain : ce que le CEPD vient de clarifier pour la santé numérique – DSIH
• Le CEPD met en lumière l’anonymisation et le moissonnage pour l’IA générative et adopte la version finale des lignes directrices sur la chaîne de blocs – CNIL
• Web scraping IA : ce que le CEPD change au RGPD – dpo-partage.fr