AgentPublic/cnil huggingface dataset:
La Présidente
 
[...]
 
RECOMMANDE AR n° 2C 054 549 8022 9
Références à rappeler dans toute correspondance :CTX 2013-0302012-363C
Paris, le 14 avril 2014,
 
Monsieur le Président, 
Je fais suite à la décision n° 2013-029 que j'ai prise le 12 juillet 2013 mettant en demeure X qui exploite l'enseigne Y à [...] ainsi qu'aux échanges qui ont suivi. 
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture en l'état de votre dossier ainsi que de la procédure de contrôle n° 2012-363C, dès lors que toute caméra filmant les postes de sécurité est réorientée uniquement sur les portes d'accès.
Je vous informe par ailleurs que s'il était constaté à l'occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourra être engagée à votre encontre conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr).
Le service des sanctions reste à votre disposition pour tout complément d'information.
Je vous prie d'agréer, Monsieur le Président, l'expression de mes salutations distinguées.
 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles 121-2, 137-37, 131-38 et 226-17 ;
Vu le code de la santé publique, notamment ses articles L.1110-4, L.6111-1, L.6113-7, L.6113-8 et R.6113-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 22 février 2008 relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2013-164C du mardi 21 mai 2013 de la Présidente de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de X ;
Vu les procès-verbaux de contrôle n°2013-164/1 et 2013-164/2 respectivement des 5 et 6 juin 2013 ;
Vu le rapport du médecin inspecteur de l'Agence régionale de santé établi dans le cadre de la mission de contrôle auprès de X ; 
Constate les faits suivants :
X (ci-après "l'établissement") est un établissement public de santé régi par les dispositions du code de la santé publique, notamment les articles L.6111-1 et suivants. Il compte un peu plus d'un millier de lits et emploie environ 2000 agents. Ses dépenses de fonctionnement globales étaient de 140 millions d'euros en 2008. 
L'attention de la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission") a été appelée, notamment par voie de presse, sur les conditions dans lesquelles des établissements hospitaliers recourent à un traitement externalisé du programme de médicalisation des systèmes d'information (PMSI).
En application de la décision n° 2013-164C du mardi 21 mai 2013 de la Présidente de la CNIL, une délégation de la CNIL a procédé à une mission de contrôle sur place le mercredi 5 juin et le jeudi 6 juin 2013 auprès de X. A cette occasion, elle a été assistée d'un médecin inspecteur de santé publique à l'Agence régionale de santé (ci-après ARS) [...].
Dans le cadre de cette mission de contrôle, la délégation s'est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre au sein de X aux dispositions de la loi n°78-17 du 6 janvier 1978 modifiée. En particulier, il s'est agi de contrôler la conformité des traitements mis en œuvre relatifs au codage des actes médicaux réalisés au sein de l'établissement en application des articles L.6113-7 et suivants du code de la santé publique. 
En vertu de ces dispositions, il appartient aux établissements de santé publics et privés de procéder à l'analyse de leur activité médicale et de transmettre aux services de l'État et à l'assurance maladie les informations relatives à leurs moyens de fonctionnement et à leur activité. À cette fin, ils doivent mettre en œuvre des systèmes d'information qui tiennent compte notamment des pathologies et des modes de prise en charge. Ces systèmes d'information constituent le programme de médicalisation des systèmes d'information (ci-après désigné PMSI).
La délégation a ainsi été informée que le financement des établissements de santé repose sur l'activité réalisée par chaque établissement telle qu'elle est décrite dans les dossiers des patients pris en charge, et codée dans le cadre du PMSI. 
Il a été précisé à la délégation qu'afin de répondre à ses obligations de valorisation du PMSI, X est doté d'un département d'information médicale (ci-après désigné "DIM") composé de douze (12) personnes placées sous la responsabilité du médecin du département. Il a été indiqué que le codage des activités de soin est effectué par le DIM par extraction des informations issues des dossiers médicaux des patients pris en charge dans l'établissement.
La délégation a également été informée que la précision du codage des actes médicaux constitue un enjeu stratégique pour l'établissement dans la mesure où elle influe sur son financement. A cette fin, l'établissement de santé a recours, depuis l'année 2007, à l'expertise de sociétés extérieures (ci-après "le prestataire") en charge d'affiner le codage et la description des actes médicaux et paramédicaux réalisés au sein de l'établissement. Cette procédure a révélé des marges d'amélioration significatives dans la description de l'activité, de sorte que l'établissement a pu obtenir de l'Agence régionale de santé [...], le 11 décembre 2012, l'autorisation de procéder à la modification des informations de codage concernant une partie de l'activité de 2010 et 2011. Il a été précisé à la délégation que ces démarches permettent à X d'obtenir une augmentation de l'enveloppe budgétaire qui lui est allouée.
S'agissant de la gestion des dossiers médicaux des patients pris en charge par X, la délégation a été informée que l'application métier de l'établissement contenant des données à caractère personnel relatives à la santé des patients, intitulée "SILLAGE", nécessite une authentification individuelle et a fait l'objet de formalités auprès de la Commission. Il a également été indiqué que l'établissement dispose d'un service des archives conservant les dossiers sous format papier.
Le médecin inspecteur de santé publique assistant la délégation pendant sa mission de contrôle a constaté que les dossiers sous format papier comportent le dossier médical (notamment les comptes-rendus de consultation, d'hospitalisation, d'imagerie, les observations médicales et les traitements prescrits) ainsi que le dossier infirmier.
La délégation a été informée que pour proposer un recodage plus fin, le médecin du DIM de l'établissement a déterminé avec le prestataire les modalités d'intervention de ce dernier sur le site du centre hospitalier. L'accès du prestataire aux dossiers des patients est notamment prévu. La délégation a été informée que cet accès s'opère soit par le biais d'une connexion à l'application métier SILLAGE avec un profil DIM comportant des droits en lecture et en écriture, soit par le biais de la consultation de dossiers médicaux sous format papier, ces derniers étant mis à la disposition du prestataire dans le bureau du service des archives.
La délégation a été informée de ce que, pour procéder au recodage des années 2010 et 2011, 950 dossiers ont été audités par un consultant non médecin employé par le prestataire, hors la présence constante et continue du médecin du DIM ou d'un membre de son service.
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978
Un manquement à l'obligation de veiller à la sécurité et à la confidentialité des données
En premier lieu, s'agissant des dossiers informatisés, un compte applicatif spécifique a été créé pour le prestataire avec des habilitations identiques à celles d'un profil DIM, comportant des droits notamment en écriture auxdits dossiers médicaux. 
En outre, une procédure a été mise en place entre l'établissement et le prestataire afin de permettre à ce dernier d'accéder aux dossiers en versions papier et numérique. Cet accès consiste notamment à mettre à la disposition du personnel non médecin du prestataire des dossiers, dans un bureau des archives de l'établissement, de surcroît hors la présence constante et continue du médecin du DIM ou d'un membre de son équipe.
En deuxième lieu, l'article L.6113-7 du code de la santé publique prévoit que: "Les établissements de santé, publics ou privés procèdent à l'analyse de leur activité. Dans le respect du secret médical et des droits des malades, ils mettent en œuvre des systèmes d'information qui tiennent notamment compte des pathologies et des modes de prise en charge en vue d'améliorer la connaissance et l'évaluation de l'activité et des coûts et de favoriser l'optimisation de l'offre de soins".
En l'espèce, bien que le prestataire et le personnel qu'il emploie soient soumis à une clause de confidentialité (seul le directeur de la société ayant cependant la qualité de médecin), ils ne sont pas placés sous l'autorité du médecin DIM de l'établissement. Or, l'article R.6113-5 du code de la santé publique dispose que : "Les médecins chargés de la collecte des données médicales nominatives ou du traitement des fichiers comportant de telles données sont soumis à l'obligation de secret dont la méconnaissance est punie conformément aux articles 226-13 et 226-14 du code pénal. Il en est de même des personnels placés ou détachés auprès de ces médecins et qui travaillent à l'exploitation des données nominatives sous leur autorité, ainsi que des personnels intervenant sur le matériel et les logiciels utilisés pour le recueil des traitements de données".
Il en résulte que les dispositions précitées ne sont pas respectées. En effet, ces pratiques conduisent à permettre un accès à des données couvertes par le secret médical par des tiers non autorisés, ce qui constitue un manquement à l'obligation de confidentialité des données. 
En troisième lieu, bien que le dernier prestataire sélectionné dispose d'une autorisation de la CNIL de procéder à des analyses de l'activité des établissements de santé, il convient de relever que les termes de cette autorisation ne lui permettent pas d'accéder à des données nominatives de patients.
Au vu des pratiques consistant à permettre à des prestataires externes à l'établissement, qui ne sont pas placés sous l'autorité du médecin DIM de l'établissement et qui ne participent pas à la prise en charge des malades, d'accéder à des données individuelles de santé de patients, X a commis un manquement à l'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que : "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".
Il est rappelé qu'en application des articles 121-2, 137-37, 131-38 et 226-17 du code pénal combinés, le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n°78-17 du 6 janvier 1978 précitée est puni de 1.500.000€ d'amende.
Un manquement à l'obligation de respecter la vie privée et les libertés individuelles
Il ressort du contrôle effectué par la Commission que X a donné accès au prestataire chargé de l'analyse de l'activité de l'établissement à des données individuelles de santé, notamment par des moyens informatiques, sans que celui-ci participe à la prise en charge du patient, ni puisse être regardé comme faisant partie de l'équipe de soins ou ayant la qualité de médecin.
Or, l'article L.1110-4 du code de la santé publique prévoit que : "Toute personne prise en charge par un professionnel, un établissement, un réseau de santé ou tout autre organisme participant à la prévention et aux soins a droit au respect de sa vie privée et au secret des informations la concernant. Excepté dans les cas de dérogation, expressément prévus par la loi, ce secret couvre l'ensemble des informations concernant la personne venues à la connaissance du professionnel de santé, de tout membre du personnel de ces établissements ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes. Il s'impose à tout professionnel de santé, ainsi qu'à tous les professionnels intervenant dans le système de santé (...)". 
Il apparaît dès lors qu'en organisant l'accès aux dossiers médicaux des patients dans les conditions précitées, X a porté atteinte à la vie privée des personnes ce qui constitue un manquement tant au code de la santé publique qu'à l'article 1er de la loi du 6 janvier 1978 modifiée qui dispose que l'informatique doit être au service de chaque citoyen. (...). Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
En conséquence, la Présidente de la CNIL met en demeure X, sis [...], sous un délai de dix (10) jours à compter de la notification de la présente décision, de :
- mettre en œuvre les mesures de sécurité physiques et logiques pour garantir la sécurité et la confidentialité des dossiers médicaux des patients pris en charge dans l'établissement ; 
- en particulier, veiller à ce que les dossiers des patients ne puissent pas être accessibles par des tiers, notamment par les prestataires choisis pour l'optimisation du codage, en supprimant le compte créé pour le prestataire et en établissant de nouvelles procédures en lien avec le service des archives afin que les dossiers sous format papier ne soient plus accessibles ;
- justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l'issue de ce délai, si X s'est conformé à la présente mise en demeure, la Présidente de la CNIL considérera que la procédure est close et lui adressera un courrier en ce sens.
À l'inverse, si, au vu de l'ensemble des éléments qui auront été portés à sa connaissance, la Présidente constate que X ne s'est pas conformé à la présente mise en demeure, elle désignera un rapporteur qui pourra demander à la formation restreinte de prononcer une sanction dans les conditions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente,
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 26 septembre 2013 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-président délégué, et M. Jean-Paul AMOUDRY, Vice-président ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision n°2013-037 du 25 septembre 2013 de la Présidente de la Commission mettant en demeure X ; 
A adopté la délibération suivante :
Par décision du 25 septembre 2013, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure X, sis [...], de faire cesser sous un délai de dix jours les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 26 septembre 2013.
Après en avoir délibéré, le bureau estime que la mesure de la publicité est justifiée, en premier lieu, par la sensibilité des données en cause, à savoir des données de santé, en deuxième lieu, par le nombre de personnes concernées, en troisième lieu par la gravité des manquements à l'article 34 de la loi du 6 janvier 1978 modifiée, et en quatrième lieu, par la nécessité de prévenir le renouvellement de ces manquements.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2013-037 de la Présidente de la CNIL mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
 
Isabelle FALQUE-PIERROTIN
La Présidente
[...]
RECOMMANDE AR n° 2C054 549 7907 0
Références à rappeler dans toute correspondance :CTX- 2013-037CTRL n° 2013-164C
Paris, le 17 octobre 2013,
Monsieur le Directeur,
Je fais suite à la décision n° 2013-037 du 25 septembre 2013 que j'ai prise vous mettant en demeure et à votre courrier de réponse reçu le 7 octobre 2013.
Vous m'indiquez dans votre réponse avoir défini et mis en œuvre une nouvelle procédure garantissant que le prestataire spécialisé dans l'optimisation du recodage des actes médicaux relatifs aux séjours hospitaliers dans votre établissement n'aura plus accès aux dossiers médicaux des patients 
Je prends note par ailleurs de ce que l'accès aux dossiers médicaux informatisés, ouvert au prestataire le jour de son arrivée sur le site, a été définitivement supprimé et ce dès le jour de son départ de l'établissement.
De ce fait, je prends acte qu'aucune donnée nominative ne sera désormais plus accessible à ce prestataire.
Vous précisez à cet égard qu'au terme d'une procédure désormais en place au sein de l'établissement, seul le médecin responsable de l'information médicale et les personnes habilitées par l'établissement pourront consulter les dossiers des patients (informatisés et en version papier) pour y chercher les éléments requis par le prestataire en vue d'un éventuel recodage des actes médicaux.
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n°2013-164C. 
Je vous précise que la clôture de la mise en demeure ne préjuge en aucune manière des suites données à des vérifications ultérieures qui pourraient être effectuées par la Commission. 
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. 
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr).
Le service des sanctions, reste à votre disposition pour tout complément d'information.
Je vous prie, Monsieur le Directeur, d'agréer l'expression de mes salutations distinguées. 
 
Isabelle FALQUE-PIERROTIN
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2006-147 du 23 mai 2006 fixant son règlement intérieur ;
Vu la décision de la Présidente de la Commission nationale de l'informatique et des libertés n° 2013-109C du 29 mars 2013 de procéder à une mission de contrôle auprès de la société X ;
Vu les autres pièces du dossier et notamment le courrier du G29 du 16 octobre 2012 ;
La société X (ci-après "X" ou la "société") a été créée en 1998 et a son siège social [...].
La société a créé le moteur de recherche X la même année et la version française de ce moteur de recherche est apparue en l'an 2000. Puis, la société a développé de nombreux nouveaux services à destination des particuliers et des entreprises. X est devenu le premier moteur de recherche au monde avec plus d'un milliard d'adresses URL indexées en 2000.
A ce jour, la société possède plus de 70 bureaux implantés dans une quarantaine de pays et compte environ 30 000 salariés à travers le monde.
Sur les faits et la procédure
A. Les nouvelles règles de confidentialité de X du 1er mars 2012
Le 24 janvier 2012, la société a annoncé publiquement qu'elle entendait modifier ses règles de confidentialité à compter du 1er mars 2012, afin de fusionner environ 70 politiques différentes au sein d'un même document (ci-après "les règles de confidentialité" ou "la politique de confidentialité").