Conseil d'État, 10ème et 9ème chambres réunies, 13 février 2026, n° 498628

Vu les procédures suivantes : 1° Sous le n° 498628, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 28 octobre 2024 et les 28 janvier et 16 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, la société par actions simplifiée (SAS) GERS demande au Conseil d’Etat : 1°) à titre principal, d’annuler la délibération n° SAN-2024-010 du 28 août 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 800 000 euros ; 2°) à titre subsidiaire, de réformer la délibération attaquée ; 3°) en cas de doute sur le caractère anonyme des données, de renvoyer une question préjudicielle à la Cour de justice de l’Union européenne sur l’interprétation de l’exigence tenant à la mise en œuvre de moyens raisonnables par le responsable de traitement de données pour écarter le risque de réidentification des personnes concernées par le traitement ; 4°) de mettre à la charge de la CNIL la somme de 8 000 euros au titre de l’article L. 761-1 du code justice administrative. 2° Sous le n° 498629, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 28 octobre 2024 et les 28 janvier et 16 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, la société par actions simplifiée (SAS) GERS, venant aux droits de la société à responsabilité limitée (SARL) Santestat, demande au Conseil d’Etat : 1°) à titre principal, d’annuler la délibération n° SAN-2024-011 du 28 août 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 200 000 euros ; 2°) à titre subsidiaire, de réformer la délibération attaquée ; 3°) en cas de doute sur le caractère anonyme des données, de renvoyer une question préjudicielle à la Cour de justice de l’Union européenne sur l’interprétation de l’exigence tenant à la mise en œuvre de moyens raisonnables par le responsable de traitement de données pour écarter le risque de réidentification des personnes concernées par le traitement ; 4°) de mettre à la charge de la CNIL la somme de 8 000 euros au titre de l’article L. 761-1 du code justice administrative. ………………………………………………………………………… 3° Sous le n° 498749, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 5 novembre 2024 et les 5 février et 16 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, la société par actions simplifiée (SAS) Cegedim Santé demande au Conseil d’Etat : 1°) à titre principal, d’annuler la délibération n° SAN-2024-013 du 5 septembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a, d’une part, prononcé à son encontre une amende administrative de 800 000 euros et, d’autre part, rendu publique cette délibération qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication ; 2°) à titre subsidiaire, de réformer la délibération attaquée ; 3°) en cas de doute sur le caractère anonyme des données, de renvoyer une question préjudicielle à la Cour de justice de l’Union européenne sur l’interprétation de l’exigence tenant à la mise en œuvre de moyens raisonnables par le responsable de traitement de données pour écarter le risque de réidentification des personnes concernées par le traitement ; 4°) de mettre à la charge de la Commission nationale de l’informatique et des libertés la somme de 8 000 euros au titre de l’article L. 761-1 du code justice administrative. ………………………………………………………………………… Vu les autres pièces des dossiers ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - le code de la sécurité sociale ; - la loi n° 78-17 du 6 janvier 1978 ; - le décret n° 2019-536 du 29 mai 2019 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Thomas Odinot, maître des requêtes, - les conclusions de Mme Charline Nicolas, rapporteure publique ; La parole ayant été donnée, après les conclusions, à la SARL cabinet Briard, Bonichot et Associés, avocat de la société GERS, à la SARL cabinet Briard, Bonichot et Associés, avocat de la société GERS venant aux droits de la société Santestat et à la SARL cabinet Briard, Bonichot et Associés, avocat de la société Cegedim Santé ; Considérant ce qui suit : La société « Groupement pour l’élaboration et la réalisation de statistiques » (GERS), pour elle-même, d’une part, et venant aux droits de la société Santestat, d’autre part, ainsi que la société Cegedim Santé, ces sociétés appartenant au même groupe Cegedim, demandent l’annulation des délibérations n° SAN-2024-010 du 28 août 2024, n° SAN-2024-011 du 28 août 2024, et n° SAN-2024-013 du 5 septembre 2024 par lesquelles la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a respectivement prononcé une amende administrative de 800 000 euros à l’encontre de la société GERS, une amende administrative de 200 000 euros à l’encontre de la société GERS venant aux droits de la société Santestat, et une amende administrative de 800 000 euros à l’encontre de la société Cegedim Santé, assortie d’une décision de rendre publique cette dernière sanction sans anonymisation pendant deux ans. Ces délibérations ont été adoptées à la suite de contrôles engagés par la CNIL portant sur la mise en œuvre par ces sociétés de deux bases de données, la base « Thin » et la base « Gers Etudes clients ». Les requêtes visées ci-dessus présentent à juger des questions semblables. Il y a lieu de les joindre pour statuer par une seule décision. Sur la régularité de la délibération n° SAN-2024-011 du 28 août 2024 : Si la société GERS, venant aux droits de la société Santestat, fait valoir que la procédure suivie par la CNIL aurait été irrégulière, faute que lui ait été notifié, dans le cadre de la procédure, initialement ouverte à l’encontre de la société Santestat, ayant conduit à la délibération n° SAN-2024-011, un acte formalisant la reprise de la procédure à son encontre après qu’elle avait absorbé la société Santestat et dans la mesure où le délai supplémentaire qui lui a été accordé pour assurer sa défense était insuffisant, il résulte de l’instruction que la société Santestat a disposé du délai d’un mois prévu par l’article 40 du décret du 29 mai 2019 pour présenter ses observations écrites en réponse aux prises de position du rapporteur, qu’elle a produit des observations le 25 septembre 2023, en réponse au rapport du rapporteur, et qu’elle en a produit de nouvelles, le 9 janvier 2024, sur la réponse apportées par le rapporteur à ses premières observations. Il résulte également de l’instruction que le rapporteur, après avoir été informé le 7 mai 2024 de la dissolution de la société Santestat et de la transmission universelle de son patrimoine à la société GERS, a fait connaître à la société GERS la poursuite à son encontre de la procédure de sanction ouverte contre la société Santestat. La société GERS a produit des observations le 24 mai 2024 avant que l’instruction ne soit close le 27 mai 2024. Il résulte aussi de l’instruction que la société Santestat était une filiale détenue à 100 % par la société GERS et que cette dernière, elle-même mise en cause dans une procédure parallèle pour des traitements similaires et étroitement liés, ne pouvait ignorer la procédure ouverte contre sa filiale.