AgentPublic/cnil huggingface dataset:
Elle expose également n’avoir reçu le premier procès-verbal que le 14 décembre 2017 et avoir corrigé la vulnérabilité dès le 20 décembre 2017 à l’occasion de la réalisation du constat d’huissier. Sur ce point, elle rappelle qu’en raison du contentieux qui l’oppose à son sous-traitant, il lui était indispensable, avant toute action correctrice de sa part, de faire constater l’existence de la violation de données par un huissier de justice. Elle ajoute n’avoir été informée de la persistance de la violation que lors du contrôle sur place du 5 février 2018, puis lors de la réception du procès-verbal du contrôle en ligne du 23 février suivant. 
En premier lieu, la formation restreinte relève que l’association ne conteste pas l’existence d’un incident de sécurité sur le sous-domaine […] qui a rendu accessibles 413 144 documents contenant les données à caractère personnel des personnes suivant les cours de français qu’elle dispense.
La formation restreinte note que l’exploitation de cette vulnérabilité ne nécessitait aucune compétence particulière dans la mesure où l’accès aux documents était possible grâce à la simple modification de la valeur de X dans l’adresse URL […] .
Cette vulnérabilité très fréquente aurait pu être évitée si par exemple, l’association avait mis en œuvre un moyen d’authentification permettant de s’assurer que les personnes accédant aux documents étaient bien celles dont les données personnelles étaient contenues dans lesdits documents et éventuellement accompagné d’un dispositif permettant d’éviter la prévisibilité des URL. La formation restreinte rappelle que l’exposition de données caractère personnel sans contrôle d’accès préalable est identifiée comme faisant partie des failles de sécurité les plus répandues et pour lesquelles une surveillance particulière s’impose.
En deuxième lieu, la formation restreinte rappelle que la circonstance selon laquelle une violation de données ait pu avoir pour origine une erreur commise par un sous-traitant est sans influence sur l’obligation pesant sur le responsable de traitement d’assurer un suivi rigoureux des actions menées par ce dernier. En effet, l’alinéa 3 de l’article 35 de la loi du 6 janvier 1978 modifiée, dans sa version applicable au moment des faits, dispose que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l'article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. .
La formation restreinte souligne ensuite que l’association a expliqué au cours de la procédure de contrôle qu’elle avait conscience que le logiciel livré par son sous-traitant comportait des dysfonctionnements. Dès lors, elle aurait dû faire preuve d’une vigilance accrue, notamment lorsqu’elle a été alertée au mois de juillet 2017 par une personne extérieure de l’existence d’une vulnérabilité sur son sous-domaine. Par ailleurs, l’affirmation de l’association selon laquelle aucune personne n’aurait consulté les documents à partir des URL en question ne se fonde sur aucun élément et en tout état de cause, est erronée puisqu’une personne a bien pu accéder aux données en question en juillet 2017.
Enfin, la formation restreinte rappelle que la mise en place de mesures de sécurité est une obligation incombant au responsable de traitement qui ne dépend pas de la potentielle attractivité des données traitées ou de leur valeur sur le marché. Seuls les moyens mis en œuvre pour satisfaire à cette obligation peuvent varier en fonction d’une multitude de critères tels que le nombre de données traitées, leur nature et les catégories de personnes concernées.
Au regard de ces éléments, la formation restreinte considère que l’association n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données traitées et considère que le manquement à l’article 34 de la loi du 6 janvier 1978 modifiée est constitué.
Sur la sanction et la publicité
Aux termes du I de l’article 45 de la loi du 6 janvier 1978 modifiée, dans sa version applicable au jour des constats :
 Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.
Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :
1° Un avertissement ;
2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;
3° Une injonction de cesser le traitement, lorsque celui-ci relève de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
 Lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable, et après une procédure contradictoire, les sanctions prévues au présent I. 
Les alinéas 1er et 2ème de l’article 47 de la loi précitée, dans sa version applicable au jour des constats, précisent que :
Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Commission nationale de l'informatique et des libertés prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d'atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.
Le montant de la sanction ne peut excéder 3 millions d'euros .
L’association considère qu’au regard des circonstances dans lesquelles est intervenue la violation de données, ni une sanction pécuniaire de 40.000 euros, ni la publicité de cette sanction ne sont justifiées.
Elle estime que la gravité du manquement n’est pas établie dans la mesure où aucune personne concernée par la violation de données n’a introduit de réclamation auprès d’elle, que les données rendues accessibles n’étaient pas sensibles et que le nombre d’utilisateur du site internet n’est pas un élément pertinent pour évaluer la gravité du manquement.
En premier lieu, la formation restreinte rappelle que l’absence de plaintes émanant d’utilisateurs et le fait que les données accessibles ne contiennent aucune donnée pouvant être qualifiée de sensible , au sens de l’article 8 de la loi Informatique et Libertés , sont sans influence sur la caractérisation du manquement à l’obligation incombant à un responsable de traitement d’assurer la sécurité des données qu’il traite. Elle souligne en outre que la violation de données a concerné un nombre important de documents contenant tous des données identifiants tels que le nom, le prénom et l’adresse postale.
En deuxième lieu, s’agissant de la réactivité de l’association pour mettre fin à la violation de données, la formation restreinte note que dès le 4 décembre 2017, la délégation de contrôle de la CNIL a adressé à l’association un courriel faisant état de l’existence de la violation de données et qui contenait le type d’adresse URL à l’origine de cette violation. Elle était donc, dès cette date, en mesure de commencer des investigations sur son sous-domaine. La formation restreinte souligne que contrairement à ce que soutient l’association, il n’a pas été mis fin à la violation de données le 20 décembre 2017 puisque la délégation de la CNIL a constaté sa persistance une première fois lors du contrôle sur place du 5 février 2018 puis une seconde fois lors du contrôle en ligne du 23 février 2018. Ce n’est que le 2 mars 2018 que l’association a informé la CNIL qu’il avait été mis définitivement fin à la violation de données.
En troisième lieu, la formation restreinte estime que la gravité du manquement est caractérisée, notamment au regard du caractère élémentaire de l’incident de sécurité constitué par l’absence de mesures d’authentification des personnes accédant aux documents et par le caractère prévisible des adresses URL permettant de les télécharger.
Au regard des éléments développés ci-dessus, les faits constatés et le manquement constitué à l’article 34 de la loi du 6 janvier 1978 modifiée justifient que soit prononcée une sanction d’un montant de 30.000 (trente mille) euros.
Enfin, la formation restreinte considère qu’au regard de la gravité du manquement précité, du contexte actuel dans lequel se multiplient les incidents de sécurité et de la nécessité de sensibiliser les responsables de traitement et les internautes quant aux risques pesant sur la sécurité des données, il y a lieu de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de l’association X une sanction pécuniaire d’un montant de trente mille (30.000) euros ;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Présidente
X
X
X
Paris, le 3 octobre 2018
Monsieur le Directeur général,
 
Je fais suite à la décision n° 2018-022 que j’ai prise le 25 juin 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
 
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2017-108C et n°2017-216C
 
Je prends acte des mesures prises vis-à-vis de la société Google afin qu’une clause relative aux obligations du sous-traitant en matière de sécurité et de confidentialité des données à caractère personnel soit insérée dans le contrat conclu avec cette dernière.
 
En outre, comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Je vous indique que le Règlement Général sur la Protection des Données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la Loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
 
Les services de la Commission (X, juriste au service des sanctions […]) se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Directeur général, l’expression de mes salutations distinguées. 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société IQVIA Opérations France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel, comprenant notamment des données de santé, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, dénommé base de données LRX ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu les articles L. 1461-1 et suivants du code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8°, 22 et 53 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société IQVIA Opérations France (ci-après IQVIA ) d’une demande d’autorisation relative à la constitution d’un entrepôt de données comprenant notamment des données de santé à caractère personnel, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, dénommé base de données LRX , à l’appui de laquelle une analyse d’impact relative à la protection des données a été produite.
La société IQVIA, société par actions simplifiée à associé unique, est issue de la fusion des sociétés IMS Health, dont le cœur de métier historique est la fourniture de données actualisées régulièrement sur les volumes de médicaments vendus en pharmacie, et Quintiles, spécialisée dans les études et le conseil pour les industries du médicament et les acteurs de la santé.
Afin de mettre en œuvre ce traitement, IQVIA a déposé auprès de la Commission une demande d’autorisation fondée sur les articles 8-IV et 25-I-1° de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ou loi ) relatifs aux traitements de données à caractère personnel dites sensibles justifiés par l’intérêt public alors en vigueur lors de la saisine.
Sur la base légale du traitement, ses finalités et son caractère d’intérêt public
La base légale du traitement retenue est celle des intérêts légitimes poursuivis par le responsable du traitement en application de l’article 6-1- f du Règlement général sur la protection des données (RGPD).
La constitution de l’entrepôt de données de santé à caractère personnel a vocation à permettre de mener des études non interventionnelles visant à l’évaluation de la bonne utilisation du médicament en vie réelle, l’analyse scientifique et statistique des phénomènes liés à la persistance, la conformité, le respect des prescriptions et des contre-indications.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Concernant l’exigence, posée par la loi, de l’existence d’un intérêt public afin de traiter des données à caractère personnel de santé en dehors des activités de soins ou du consentement des personnes concernées, la Commission relève que la poursuite de l’intérêt public n’est pas réservée aux seules personnes publiques.
Au cas présent, certaines des finalités telles que présentées par la société IQVIA sont susceptibles de permettre, par une exploitation facilitée de données collectées à J +1, d’éclairer les acteurs privés comme publics sur le bon usage des médicaments, l’identification des interactions médicamenteuses, la prise en charge des patients, l’observance des traitements.
Ainsi, la Commission considère que la constitution de cet entrepôt de données issues des pharmacies d’officine à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, présente un intérêt public.
La Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscrivent dans le cadre des dispositions de la section 2 du chapitre IX de la loi qui, elles aussi, imposent que chaque demande de recherche, étude ou évaluation réponde à une exigence d’intérêt public.
Ainsi, la Commission estime que l’utilisation des données contenues dans le traitement qui sera mis en œuvre par IQVIA ne saurait, par analogie aux finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitée à des fins :
de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé ;
ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Afin de garantir le caractère d’intérêt public des utilisations à venir des données, la Commission relève qu’IQVIA prévoit la mise en place une gouvernance reposant sur deux comités ad hoc, un comité opérationnel de la gouvernance des données et un comité stratégique, tous deux chargés d’examiner les projets de recherche ou d’étude des futurs clients de la société au regard de l’intérêt public selon une procédure de validation reposant sur une grille d’analyse préétablie.
La grille d’analyse comprend des informations relatives à la finalité de l’étude, au contexte de la demande, à l’auteur de la demande, à la granularité des informations sollicitées et aux destinataires finaux et permet de vérifier si le projet de recherche ou d’étude revêt un intérêt public. Elle est complétée par le personnel habilité d’IQVIA chargé de la mise en œuvre d’une analyse et peut être auditée à tout moment par le Comité stratégique. En cas de doute sur l’existence d’un intérêt public, le Comité opérationnel est saisi pour statuer sur la question de l’intérêt public. Il peut à son tour saisir le Comité stratégique qui se prononce en dernier recours.
La Commission demande que la grille d’analyse soit complétée par la mention des finalités interdites d’utilisation du SNDS, qui s’applique par analogie à la base de données LRX.
La Commission prend acte qu’IQVIA s’engage à publier annuellement une synthèse globale des types d’analyses effectuées depuis les données de la base de données LRX, certaines d’entre elles pouvant être publiées sous réserve de l’accord de leur client. La Commission accueille favorablement la proposition d’IQVIA de lui faire parvenir un rapport annuel dressant le bilan du fonctionnement de la base de données LRX et des requêtes réalisées.
Sur la nature des données traitées
Les données suivantes seront collectées :
concernant le client de la pharmacie : le NIR, l’année de naissance, le prénom et le sexe, des données dites de délivrance , constituées de données de santé relatives aux dispensations de produits de santé le concernant avec le contenu de ces dispensations ;
concernant les prescripteurs : les données d’identification du prescripteur (code RPPS ou Adeli), la spécialité et la zone géographique du prescripteur, le code de l’établissement ;
concernant le pharmacien partenaire : le code et la zone géographique de la pharmacie partenaire.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur le dispositif envisagé et le procédé de pseudonymisation des données
La première étape du traitement des données est réalisée au sein de l’officine elle-même.
Elle consiste à calculer l’INS-C à partir des données d’identification des patients et de leur NIR. Une fois l’INS-C calculé, celui-ci est haché au moyen de l’algorithme SHA-256.
Les identifiants ainsi obtenus associés aux données de dispensation de produits de santé sont ensuite transmis chiffrés par courrier électronique à un tiers de confiance. Celui-ci réalise une nouvelle opération de hachage des données au moyen d’une clé secrète.
Les données ainsi obtenues sont ensuite transmises à un second tiers de confiance également hébergeur de données de santé. Celui-ci va chiffrer les identifiants générés par le premier tiers de confiance au moyen de l’algorithme AES et d’une clé de 256 bits, puis remplacer les identifiants ainsi obtenus par des identifiants aléatoires stockés dans une table de correspondance. Les identifiants aléatoires sont ensuite transmis à IQVIA avec les données de dispensation des produits de santé. En cas de compromission, ou tous les trois ans, la clé de chiffrement sera renouvelée.
En l’état actuel de la technique, et au vu des mesures de sécurité mises en places par ailleurs, la Commission estime que le procédé de pseudonymisation prévu va dans le sens des recommandations poussées par le RGPD en réduisant les possibilités de ré-identification des personnes dont les données sont traitées au strict nécessaire dans ce contexte.
La Commission rappelle toutefois que la pseudonymisation ne constitue qu’une mesure de sécurité visant à réduire les risques pour les personnes concernées, et n’exonère en rien le responsable de traitement de ses obligations.
Sur la durée de conservation des données
Le responsable de traitement souhaite conserver les données des patients, des prescripteurs et des pharmaciens pour une durée de dix ans afin de pouvoir réaliser des analyses sur de longues périodes, dont l’utilité est avérée en matière de consommation de médicaments.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur les destinataires des données
Ont accès aux données de la base de données LRX le personnel habilité d’IQVIA et les sociétés sous-traitantes d’IQVIA.
Des partenaires scientifiques tels que l’INSERM pourront également accéder à la base de données LRX pour réaliser des projets d’études soumis aux formalités de la CNIL. Cet accès sera réservé aux personnes nommément désignées depuis un poste de travail dédié situé dans les locaux d’IQVIA et sous réserve du respect d’un engagement de confidentialité.
 
Les clients visés par la société IQVIA sont principalement les industriels du secteur de la santé ou les pouvoirs publics (par exemple, la Haute Autorité de Santé, l’Agence Régionale d’Ile-de-France, etc.).
La Commission relève que les clients d’IQVIA ne seront pas destinataires de données individuelles relatives aux clients des pharmacies.
La Commission considère que les catégories de destinataires et les modalités de communication des résultats n’appellent pas d’observation.
Elle attire toutefois l’attention du responsable de traitement sur les obligations qui lui incombent en matière de confidentialité des données et rappelle qu’il doit :
respecter et faire respecter le secret des informations par toutes les personnes susceptibles de travailler sur ces données ;
ne pas rétrocéder ou divulguer à des tiers les informations individuelles fournies sous quelque forme que ce soit ;
ne pas procéder à des rapprochements, interconnexions, mises en relation, appariements avec tout fichier de données directement ou indirectement nominatives ou toute information susceptible de révéler l’identité d’une personne et/ou son état de santé ;
ne pas utiliser de façon détournée les informations collectées, notamment à des fins de recherche ou d’identification des personnes.
Sur l'information et les droits des personnes
Les pharmaciens d’officine seront chargés, contractuellement, d’informer individuellement leurs clients du traitement des données les concernant, ainsi que de permettre l’exercice des droits d’accès, de rectification et d’opposition qui leur sont reconnus.