Le Conseil d'État a validé les sanctions prononcées par la Commission nationale de l'informatique et des libertés (CNIL) à l'encontre des sociétés GERS et Cegedim Santé, confirmant que les données de santé pseudonymisées qu'elles traitaient constituaient bien des données à caractère personnel.

Les sociétés du groupe Cegedim, GERS, Santestat (absorbée par GERS) et Cegedim Santé, contestaient des amendes respectives de 800 000 €, 200 000 € et 800 000 € pour des traitements de données de santé via les bases "Thin" et "Gers Études clients". Le Conseil d'État a jugé que, malgré la pseudonymisation, les données n'étaient pas anonymes car le risque de réidentification des personnes n'était pas insignifiant. La présence d'informations telles que l'âge, le sexe, les pathologies, les prescriptions, les dates précises des consultations et les identifiants des professionnels de santé (ADELI, RPPS) permettait de retracer des parcours de soins et d'individualiser des patients avec des moyens raisonnables. Par conséquent, ces traitements de données de santé sensibles, effectués sans le consentement des personnes, auraient dû faire l'objet d'une autorisation préalable de la CNIL conformément à l'article 66 de la loi du 6 janvier 1978. De plus, la collecte automatique par Cegedim Santé de données issues du téléservice HRi via son logiciel "Crossway" a été jugée illicite, constituant un manquement au principe de licéité de l'article 5 du RGPD. Les sanctions, y compris la publication de la décision pour Cegedim Santé, ont été jugées proportionnées.