Par délibération n°SAN-2024-013du 5 septembre 2024, la formation restreinte de la CNIL a sanctionné une société qui édite et vend des logiciels de gestion à des médecins de ville exerçant en cabinets et en centres de santé, pour son non-respect des dispositions de la loi Informatique et Libertés et du RGPD.
En mars 2021, la CNIL a procédé à un contrôle dans les locaux d’une société qui édite et vend des logiciels de gestion aux médecins de ville exerçant en cabinets et en centres de santé. En effet, environ 25000 cabinets médicaux et 500 centres de santé utilisent les logiciels proposés par cette société. Au vu des manquements constatés lors du contrôle relativement à un logiciel de cette société, une procédure contentieuse est enclenchée devant la CNIL, dans le respect du contradictoire. La formation restreinte de la CNIL, dite formation de sanction, a décidé de sanctionner cette société au regard des manquements à la loi Informatique et libertés modifiée (art.66) et au RGPD (art.5 § I a).
Pseudonymiser n’est pas anonymiser
Comme l’a rappelé la CNIL, le caractère pseudonyme ou anonyme des données présente un enjeu particulièrement important. Si les données sont anonymisées, et ce de manière irréversible, alors la règlementation applicable à la protection des données personnelles ne s’applique pas. En revanche, un traitement de données pseudonymisées est un traitement de données personnelles soumis à la loi Informatique et Libertés et au RGPD.
En l’espèce, un des logiciels de la société permettait aux médecins de gérer leur agenda, les dossiers de leurs patients et leurs prescriptions. Cette société proposait à un panel de médecins de ville utilisant ce logiciel d’adhérer à un observatoire d’études et de statistiques dans le domaine de la santé à partir des données issues des dossiers des patients et réalisées par des clients de la société. En contrepartie, les médecins intéressés disposaient notamment d’une remise sur la licence d’utilisation du logiciel et un accès aux études statistiques réalisées. Dans le cadre de cet observatoire, étaient en effet collectées des données issues notamment du dossier administratif des patients, de leur dossier médical, de prescriptions pharmaceutiques.
Comme décrit dans la décision, ces données contenues dans les logiciels des médecins étaient extraites dans le flux du logiciel en cause, elles étaient chiffrées et reliées à un identifiant unique pour chaque patient et ne reposant sur aucun trait d’identité du patient. Les données des patients étaient extraites périodiquement du flux du logiciel en question pour constituer un fichier sur le poste du médecin panéliste. Lors de la génération de ce fichier, les numéros patients du flux visé étaient rechiffrés. Le fichier était ensuite acheminé par canal chiffré https vers le serveur hébergeant la base de données qui agrégeait et stockait transitoirement les données.
La formation de sanction de la CNIL a relevé que même si chaque patient se voyait attribuer des identifiants différents dans le flux dudit logiciel et dans les fichiers transmis par les médecins à la société, l’ensemble des données concernant un même patient d’un même médecin restait associé à ce deuxième identifiant dans le jeu de données communiqué à la société. Dès lors, grâce à l’identifiant du patient qui lui était communiqué, la société était en mesure de relier à un même identifiant plusieurs fichiers transmis successivement par un même médecin concernant un même patient et de disposer ainsi de son parcours de soins auprès de ce médecin. En conséquence, il était possible d’isoler un individu au sein de la base de données de la société. Dès lors, le traitement ne résistait pas au risque de l’individualisation tel que décrit dans l’avis du CEPD 05/2014 du 10 avril 2014 sur les techniques d’anonymisation. La formation de sanction de la CNIL a estimé que le pseudonymat pouvait être levé tant la richesse des informations était importante et que la réidentification était possible par des moyens raisonnables. Ainsi, le traitement n’étant pas anonymisé mais pseudonymisé, la règlementation applicable à la protection des données s’appliquait.
Les manquements à la loi I&L et au RGPD sanctionnés par la CNIL
Dans cette affaire, la CNIL a considéré que la société déterminait le périmètre et les finalités de l’utilisation des données de son observatoire vis-à-vis de ses partenaires et les moyens du traitement en cause, qu’elle organisait le traitement pour répondre à ses propres besoins afin de mettre en œuvre son observatoire ; qu’elle ne recevait pas de directive à exécuter. De fait, la société agissait, s’agissant de ce traitement, en tant que responsable du traitement au sens du RGPD. La CNIL a donc estimé que cette société devait prendre en compte la règlementation applicable à la protection des données, les évolutions doctrinales et réévaluer régulièrement les mesures techniques et organisationnelles du traitement mis en œuvre.
Il est précisé dans la décision de sanction que la société en cause n’est plus responsable du traitement en question depuis juillet 2024 ; les données collectées par les médecins ne transitant plus via cette société mais via une autre société du groupe.
Remarque : En fonction d’un traitement de données personnelles, une entité traitant des données personnelles peut être qualifiée de responsable du traitement ou de sous-traitant au sens du RGPD. Une analyse factuelle est nécessaire au cas par cas au regard de la détermination des finalités et des moyens du traitement pour qualifier cette entité et connaître ses obligations au regard du RGPD.
Manquement à l’obligation d’obtenir l’autorisation de la CNIL au regard du traitement de données de santé
Au regard de l’article 4§15 du RGPD, les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de soins de santé, qui révèlent des informations sur l’état de santé de cette personne constituent des données de santé. La CNIL a rappelé dans sa décision que la société collectait massivement des données de santé de patients et de médecins, alimentait sa base au fil de l’eau afin d’obtenir un volume important de données et mettait les données à disposition de ses clients pour réaliser des études et des statistiques dans le domaine de la santé. Elle a donc estimé que la société se constituait un entrepôt de données de santé au moment du contrôle et ce jusqu’à la réorganisation effective au 1er juin 2024 par laquelle les données ne transitent plus via la société. Or, en vertu de l’article 66 III de la loi Informatique et libertés, les traitements de données à caractère personnel dans le domaine de la santé, dont font partie les entrepôts de données de santé, ne peuvent être mis en œuvre qu’après autorisation de la CNIL ou à la condition d’être conformes à un référentiel de la CNIL.
Pour la formation de sanction de la CNIL, la société ne pouvait pas ignorer le jour du contrôle le régime juridique applicable à l’entrepôt de données de santé qu’elle constituait, d’autant plus que d’autres sociétés mettant en œuvre des traitements similaires sur le même marché ont demandé des autorisations à la CNIL et que ces autorisations sont publiques et accessibles sur le site web de Légifrance. En tout état de cause, dès lors qu’un organisme se constitue un entrepôt de données de santé, il est tenu de se conformer à ses obligations et notamment à l’article 66 de la loi Informatique et libertés, peu importe la richesse de l’entrepôt et la granularité des données collectées. Dans la mesure où la société a pris des mesures au cours de la procédure, la CNIL a considéré que même si le manquement était sanctionné, il n’y avait pas lieu de prononcer une injonction de mise en conformité à l’article 66 de la loi Informatique et Libertés.
Manquement à l’obligation de traiter des données de manière licite
La CNIL a considéré que la société avait enfreint le principe de licéité de traitement des données personnelles prévu à l’article 5 §1 a) du RGPD et ce à des fins commerciales.
En effet, la consultation par le médecin des données issues du téléservice HRi, mis en place par l’assurance maladie concernant l’historique des remboursements de santé, emportait leur téléchargement automatique sur une profondeur de douze mois dans le dossier informatisé du patient du logiciel en cause. La CNIL a considéré que la société procédait à une aspiration automatique des données issues du téléservice HRi dans le flux dudit logiciel dès que le médecin se connectait au logiciel pour consulter les données et sans aucune action complémentaire de sa part. Cette collecte de données intervenait en conséquence en méconnaissance des articles L.162-4-3 et R 162-1-10 du code de la sécurité sociale et de l’article R.1111-8-6 du code de la santé publique qui ne prévoient pas pour un acteur privé cette possibilité de collecter directement, par l’intermédiaire de la seule consultation par un médecin du téléservice HRi, des données qu’il contient.
Sanctions CNIL pour des manquements graves à la règlementation applicable à la protection des données
La formation de sanction de la CNIL a considéré que les manquements constatés étaient graves car les données de santé sont des données sensibles et la société visée n’a pas respecté la règlementation applicable à la protection des données personnelles. La CNIL a également pris en compte le caractère massif du traitement de données. Au regard des manquements constatés, des capacités financières de la société, la CNIL a décidé qu’une amende de 800 000 euros était justifiée. De plus, elle a assorti cette sanction de la publicité au regard de la gravité des manquements en cause et du nombre de personnes concernées.
Force est de constater que la CNIL continue d’être particulièrement vigilante quant à l’encadrement juridique et technique des traitements de données de santé.
Vanessa Younes-Fellous, avocate au Barreau de Paris, auteure et formatrice Lefebvre Dalloz
Articles les plus lus
Articles les plus récents
Inscription à la newsletter
