AgentPublic/cnil huggingface dataset:
108. L’article 83 du RGPD prévoit que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
109. En premier lieu, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, le caractère délibéré ou non de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
110. La formation restreinte souligne que les manquements commis par la société portent sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel.
111. Ainsi, s’agissant du recueil du consentement à des fins de prospection par voie électronique, la formation restreinte insiste sur le fait que l’écosystème de la revente de données de partenaires en partenaires exige des garanties particulièrement fortes quant à la qualité et à la validité du consentement obtenu par le primo-collectant des données et dont les partenaires se prévalent à des fins de prospection commerciale. Elle souligne qu’à cet égard, l’organisme qui se prévaut d’un tel consentement pour mener des opérations de prospection commerciale endosse une responsabilité essentielle lui imposant, en tant que responsable de traitement, de s’assurer que les conditions lui permettant de réaliser lesdites opérations sont réunies, indépendamment de la responsabilité éventuelle des fournisseurs de données, primo-collectants. En outre, elle considère que les exigences doivent être particulièrement renforcées s’agissant des modalités de recueil du consentement des utilisateurs des sites web dont l’objet est d’offrir des perspectives de gains, ces personnes n’ayant pas nécessairement conscience de la portée de leur accord dans le cadre de leur inscription. Elle relève également que la société a recours massivement à la prospection par voie électronique, - celle-ci ayant envoyé plus de 1,3 million de SMS entre le mois de septembre 2020 et le mois de septembre 2021, et plus de 220 000 entre mai 2022 et mai 2023 -, et que de telles pratiques sont susceptibles d’être vécues
comme particulièrement intrusives.
112. S’agissant du manquement à l’obligation de disposer d’une base légale pour traiter les données des prospects dans le cadre de la prospection commerciale par téléphone, la formation restreinte rappelle l’importance, en l’absence de recueil d’un consentement valide, de permettre aux personnes concernées de mesurer l’ampleur des traitements dont leurs données sont susceptibles de faire l’objet. Ainsi, le fait qu’au moment de la collecte des données, une liste détaillée des partenaires susceptibles de réaliser des opérations de prospection commerciale soit mise à la disposition des personnes concernées, sans que la société X y figure, et sans que cette liste soit complétée par une mention précisant les catégories de partenaires dont pourrait faire partie la société X, prive les personnes concernées du socle minimal d’information permettant de préserver leurs intérêts, libertés et droits fondamentaux.
113. S’agissant du manquement à l’obligation d’information des personnes, la formation restreinte relève que la société utilise des données obtenues massivement auprès de courtiers en données, sans permettre notamment aux personnes concernées de s’assurer de la source de leur collecte. Elle rappelle que l’information des personnes constitue une mesure fondamentale permettant à ces dernières de pouvoir exercer les droits dont elles bénéficient, et qu’un tel manquement revêt donc une particulière gravité. Elle souligne enfin que ce manquement apparait structurel, dans la mesure où, sur les dizaines d’enregistrements d’appels fournis par la société, aucun ne répond aux exigences d’information prévues à l’article 14 du RGPD.
114. La formation restreinte insiste enfin sur le fait que la société X, en tant que filiale de la société Y, dispose de ressources humaines, financières et techniques suffisantes pour s’assurer du respect des règles relatives à la protection des données à caractère personnel.
115. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles L. 34-5 du CPCE et 6 et 14 du RGPD.
116. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les violations relevées en l’espèce concernent des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
117. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que la société X a réalisé un chiffre d’affaires de plus de […] euros au titre de l’année 2021, pour un bénéfice de plus de […] euros. Par ailleurs, la formation restreinte relève que le nombre de boutiques X est passé de 62 en septembre 2021 à 97 en mai 2023, soit une augmentation de 56%.
118. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de cinq cent vingt-cinq mille euros (525 000 €) apparaît justifiée.
119. En troisième lieu, s’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité de certains des manquements en cause, de la position de la société sur le marché, de la portée des traitements et du nombre de personnes concernées.
120. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits.
121. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société X d’un montant de cinq cent vingt-cinq mille euros (525 000 €) pour manquements aux articles L.34-5 du code des postes et communications électroniques et 6 et 14 du RGPD, qui se décompose comme suit :
 deux cent mille euros (200 000 €) pour manquement à l’article L.34-5 du code des postes et des communications électroniques ;
 trois cent vingt-cinq mille euros (325 000 €) pour manquements aux articles 6 et 14 du RGPD ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Philippe-Pierre CABOURDIN
La Commission nationale de l'informatique et des libertés,
Saisie par les sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda d’une demande de modification de l’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé "Plateforme Agoria santé" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44 3° et 66 ;
Vu la délibération no 2022-063 du 23 mai 2022 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca et Impact Healthcare à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé" ;
Vu la délibération n° 2022-104 du 20 octobre 2022 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à modifier un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé" ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
Modification substantielle du traitement de données
Les sociétés Takeda France et AstraZeneca, responsables conjoints du traitement, alimenteront l’entrepôt par des données à caractère personnel issues :
de dossiers médicaux de patients pris en charge dans le cadre de programmes d’accès précoces ou compassionnels ;
de recherches impliquant ou n’impliquant pas la personne humaine ;
du Système national des données de santé (SNDS).
 
A titre liminaire, la CNIL rappelle que conformément à la délibération n° 2022-063 du 23 mai 2022, l’identifiant patient présent dans les données sources sera remplacé par un nouvel identifiant, qui devra être généré selon les recommandations de la CNIL, lors de leur intégration dans l’entrepôt.
 
S’agissant des données provenant d’ "accès précoces" et d’"accès compassionnels" : 
 
Certaines données à caractère personnel recueillies dans le cadre de protocoles d’utilisation thérapeutique et de recueil de données (PUT-RD) d’accès précoce ou de protocoles d’utilisation thérapeutique et de suivi des patients (PUT-SP) d’accès compassionnel suivants alimenteront la plateforme AGORIA :
 
PUT-RD de données issues du programme d’accès précoce Lynparza (Olaparib) 100 et 150 mg dans l’indication de cancer de la prostate métastatique ("Propel") ;
PUT-RD de données issues du programme d’accès précoce Imfinzi (Durvalumab) 50 mg/ml dans l’indication de cancer des voies biliaires ("Topaz") ;
PUT-RD de données issues du programme d’accès précoce Imfinzi (Durvalumab) 50 mg/ml et Imjudo (Tremelimumab) 20 mg/ml dans l’indication de carcinome hépatocellulaire ("Himalaya") ;
PUT-SP de données issues du programme compassionnel AZD-3152 dans l’indication en prophylaxie pré-exposition de la COVID-19 et sous réserve de la décision rendue par la Haute autorité de santé, PUT-RD du programme d’accès précoce AZD 3152 ("AZD-3152") ;
PUT-RD et PUT-SP de données issues des programmes d’accès précoce et compassionnel Livtencity (maribavir 200mg) dans l’indication de l’infection et/ou de la maladie à cytomégalovirus (CMV) réfractaire ("Maribavir").
 
Dans chacune de ces bases, seront collectées :
des données administratives d’identification (numéro identifiant patient, âge ou mois et année de naissance, poids, taille, sexe) ;
des données de santé ;
des données relatives aux conditions d’utilisation du médicament et à sa tolérance.
 
Ces traitements ont été réalisés dans le cadre d’une déclaration de conformité aux référentiels RS-003 et RS-004 de la CNIL.
 
S’agissant des données provenant de recherches, d’études ou d’évaluation : 
 
La plateforme AGORIA sera enrichie à partir des données à caractère personnel provenant des recherches, études ou évaluations suivantes :
"Arsenal" et "Prowess", dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 ;
"Oval-1", "Liver-R" et "Naos", dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004.
S’agissant des traitements de données du SNDS :
Certaines données du SNDS seront traitées, d’une part, aux fins de mise en œuvre d’un suivi passif des patients dont les données sont issues des bases susmentionnées et d’autre part, en vue de la constitution de cohortes témoins.
Sur l’appariement des données issues des dix bases de données susmentionnées avec celles contenues dans le SNDS :
 
Les données du SNDS qui seront appariées avec ces bases sources de la "plateforme Agoria Santé" proviendront :
 
du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ;
du Programme de médicalisation des systèmes d’information (PMSI) ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) ;
de la base de données relative au dépistage des cas de covid-19, dénommée "SI-DEP" ;
de la base de données relative aux vaccinations contre la covid-19, dénommée "Vaccin-covid".
Les données du SNIIRAM, du PMSI et du CépiDc des années 2017 à 2030 et des bases de données "SI-DEP" et "Vaccin-covid" des années 2019 à 2030 mises à dispositions par la Caisse nationale de l’assurance maladie (CNAM) alimenteront la "plateforme Agoria Santé" aux fins de mise en œuvre du suivi passif des personnes concernées.
 
Les responsables conjoints de traitement ont transmis, à l’appui de leur demande, plusieurs expressions de besoins précisant, pour chaque base de données, les données du SNDS ayant vocation à alimenter la "plateforme Agoria santé".
 
L’appariement sera réalisé de manière probabiliste et itérative à l’aide de variables communes (par exemple, l’année de naissance, le sexe, la date de soins, le code FINESS du lieu de prise en charge).
 
Seules les variables communes d’appariement des bases sources seront transmises à la CNAM en vue de l’extraction des données du SNDS. Un nouveau numéro d’identification pseudonymisé est généré par la CNAM pour chaque personne dont les données sont extraites du SNDS. Afin d’assurer la cohérence des extractions récurrentes, une table de correspondance avec les bases sources est créée et conservée par la CNAM.
 
S’agissant de la constitution de cohortes témoins à partir des données du SNDS :
 
Des cohortes témoins seront constituées à partir des données du SNDS afin d’être réutilisées en vue de la réalisation de recherches, d’études ou d’évaluations dans le domaine de la santé (études comparatives et études en vie réelle).
À cet égard, la CNIL demande que, conformément à l’avis du comité éthique et scientifique de la "plateforme Agoria Santé" les cohortes témoins soient utilisées, dans un premier temps, uniquement dans le cadre d’études comparatives avec les données sources et seulement, dans un second temps, réutilisées dans le cadre d’études en vie réelle.
 
En l’absence de conformité à une méthodologie de référence, ces dernières nécessiteront la réalisation de demandes d’autorisation auprès de la CNIL qui se prononcera après avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES).
Dans le cadre de la constitution de ces cohortes témoins, les données proviendront, sous réserve qu’elles soient diffusables par la CNAM :
pour la cohorte témoin "Maribavir" :
				
du SNIIRAM : 2017-2029
du PMSI : 2017-2029
du CépiDC : 2021-2029
pour la cohorte témoin "AZD-3152" :
				
du SNIIRAM : 2018-2030
du PMSI : 2018-2030
du CépiDC : 2021-2030
de la base SI-DEP : 2020-2030
de la base Vaccin-covid : 2020-2030
 
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur la durée de conservation
Les données du SNDS sont conservées au sein de la "plateforme Agoria Santé" pendant quatre ans à compter de la première mise à disposition des données.
Sur l’information et les modalités d’exercice des droits 
S’agissant des personnes dont les données proviennent des PUT-RD et PUT-SP de données issues des programmes d’accès précoce et compassionnel ("Propel", "Topaz", "Himalaya", "AZ-3152" et "Maribavir") et des études "Arsenal", "Prowess" et "Liver-r" :
 
Elles ont été ou seront informées individuellement du versement des données au sein de la "plateforme Agoria Santé" par la diffusion d’une note d’information comportant l’ensemble des mentions prévues par le RGPD.
 
S’agissant des personnes dont les données proviennent de l’étude "Naos", placée sous la responsabilité de la société AstraZeneca :
 
Lors de leur inclusion dans l’étude, elles ont reçu une note d’information individuelle prévoyant un dispositif spécifique d’information auquel elles peuvent se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données. Une note d’information relative au versement des données dans l’entrepôt "plateforme Agoria Santé" comportant l’ensemble des mentions du RGPD sera diffusée sur ce site web.
S’agissant des personnes dont les données proviennent de l’étude "Oval-1" ou du SNDS exclusivement :
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement.
En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur les sites web des apporteurs de données, responsables conjoints du traitement, ainsi que sur celui du consortium, d’une information relative au versement des données au sein de la "plateforme Agoria Santé" comportant l’ensemble des mentions prévues par le RGPD.
Observations complémentaires
La CNIL demande qu’un bilan relatif aux recherches, études et évaluations dans le domaine de la santé mises en œuvre à partir des données de l’entrepôt lui soit adressé tous les deux ans. Il devra comporter :
le nombre d'études mises en œuvre, leurs finalités, les composantes du SNDS et la profondeur historique sollicitées ;
le nombre moyen et médian de personnes concernées par ces études ;
la durée d'accès ou de conservation moyenne et médiane des données sollicitée ;
les modalités d’information des personnes concernées ;
le nombre de publications scientifiques découlant des recherche, études et évaluations réalisées ;
les bénéfices, apports scientifiques observés et/ou mesurés.
 
Ce bilan devra également faire état des avis préalables délivrés par le comité éthique et scientifique de l’entrepôt.
 
Les autres conditions de mise en œuvre de la "plateforme Agoria santé" restent inchangées.
 
 
Autorise, conformément à la présente délibération, le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à mettre en œuvre le traitement mentionné ci-dessus.
La présidente
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de la base des causes médicales de décès (CépiDc) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024 ;
Vu la délibération n° 2021-046 du 15 avril 2021 portant décision unique et autorisant la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de la base des causes médicales de décès (CépiDc) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Formule les observations suivantes :
Responsables du traitement
La Fédération nationale des observatoires régionaux de la santé (FNORS) est une association régie par la loi de 1901 qui coordonne les travaux des observatoires régionaux de la santé (ORS).
La FNORS et les ORS contribuent à l’observation de l’état de santé des populations et de l’offre de soins en France en recensant, traitant et valorisant les informations disponibles afin d’accompagner les politiques publiques. Depuis 1998, la FNORS et les ORS ont développé une base d’indicateurs déclinables à différents niveaux géographiques ("Score-santé").
Financée par le ministère en charge de la santé, cette base contient plus d’un millier d’indicateurs de mortalité déclinés selon la cause, le sexe et l’âge, et ce pour différents niveaux géographiques.
La Commission relève que la FNORS et l’un des observatoires régionaux de santé, l’Observatoire régional de la santé et du social de Picardie (OR2S), déterminent conjointement la finalité des traitements dans le cadre de la production de ces indicateurs.
Elle rappelle que, conformément à l'article 26 du RGPD, les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives.
Sur l’opportunité du recours à la décision unique
Le 15 avril 2021, la FNORS et l’OR2S ont été autorisés par la CNIL à mettre en œuvre pendant trois ans des traitements de données à caractère personnel sur les données du CépiDC.
Ces traitements avaient pour finalité de permettre la production d'indicateurs de mortalité à des niveaux territoriaux fins et sur des périodes temporelles longues pour alimenter les travaux des observatoires régionaux de la santé ainsi que la base de données "Score-Santé" de la FNORS.
 
Dans ce cadre, près de trois cents traitements incluant des données relatives aux causes médicales de décès ont été réalisés.
 
La CNIL relève que lui a été transmis un bilan comportant :
la liste des analyses réalisées dans le cadre de l’autorisation ainsi que la méthodologie suivie dans le cadre de ces analyses ;
la justification des finalités, de la zone géographique concernée et la profondeur historique des données consultées pour chacun de ces traitements ;
l’analyse des processus d’anonymisation.
Par ailleurs, un site web a également été mis en place.
 
Les co-responsables de traitement sollicitent un renouvellement de l’autorisation précédemment délivrée par la CNIL afin de pouvoir accéder aux données du CépiDC pour une durée de trois ans supplémentaires. Ils estiment qu’une centaine de traitement sera susceptible d’être mise en œuvre annuellement dans ce cadre.