AgentPublic/cnil huggingface dataset:
N° de demande d’avis : 24007844
Thématiques : permis de chasser, environnement
Organisme(s) à l’origine de la saisine : Ministère de la transition écologique et de la cohésion des territoires, Office français de la biodiversité, Fédération nationale des chasseurs
Fondement de la saisine :
Article 8.I. 4°.a) 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
 
L’essentiel :
Le fichier national du permis de chasser est créé par l'Office français de la biodiversité (OFB) et la Fédération nationale des chasseurs (FNC). Il est constitué du fichier central des titres permanents du permis de chasser (FCTP) géré par l’OFB et du fichier central des validations et autorisations de chasser (FCVA) géré par la FNC.
 
Les données relatives au titulaire de l’autorisation de chasser, à son accompagnateur et au titulaire de la validation du permis de chasser seront regroupées dans le FCVA. Elles seront conservées pendant une durée de six années au terme de la validation ou de l’autorisation - soit sept ans au total - ce qui correspond au délai de prescription administrative ou judiciaire. La CNIL invite le ministère à inscrire cette durée dans le projet de décret.
 
Les données relatives aux mesures administratives ou judiciaires affectant la validité du titre seront supprimées à la fin de la mesure et ne seront conservées, en archivage intermédiaire, qu’en cas de contentieux et jusqu’à expiration des voies de recours.
L’OFB et de la FNC s’engagent à effectuer une AIPD requise par l’article 35 du RGPD avant la mise en œuvre des traitements, en cohérence avec l’engagement de l’OFB concernant le FCTP.
______________
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 8.I.4°.a) ;
Après avoir entendu le rapport de M. Alain Dru, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le droit de chasser est conditionné à la détention de trois éléments :
 
le titre permanent du permis de chasser, obtenu par la réussite d’un examen et délivré à vie ;
la validation du permis de chasser, qui consiste en une demande administrative et une cotisation à renouveler chaque année auprès de la fédération départementale compétente ; et
la souscription d’une assurance chasse.
 
L’article L. 423-4 du code de l'environnement crée un fichier national du permis de chasser constitué :
du fichier central des titres permanents du permis de chasser (FCTP) géré par l'Office français de la biodiversité (OFB) ; et
du fichier central des validations et autorisations de chasser (FCVA) géré par la Fédération nationale des chasseurs (FNC).
 
B. L’objet de la saisine
 
La CNIL a été saisie pour avis sur un projet de décret relatif à la création du fichier national du permis de chasser. Il vise à centraliser, au niveau national, les données relatives aux détenteurs d’un permis de chasser, d’une validation du permis de chasser ou d’une autorisation de chasser, dans un but de contrôle administratif.
 
L’OFB et la FNC sont responsables conjoints de ce traitement fondé sur l’obligation légale instituée par l’article L. 423-4 du code de l'environnement.
 
II. L
’avis de la CNIL
 
A. Sur les durées de conservation
 
En premier lieu, le projet de décret prévoit la conservation des données relatives au titulaire de l’autorisation de chasser, à ses accompagnateurs et au titulaire de la validation du permis de chasser " conformément aux dispositions prévues par le fichier central des validations et autorisations de chasser de la fédération nationale des chasseurs ".
Le ministère a précisé que ces données seront conservées pendant une durée de six années au terme de la validation ou de l’autorisation – soit sept ans au total -, ce qui correspond au délai de prescription administrative ou judiciaire. La CNIL considère que cette durée est justifiée et invite le ministère à l’inscrire dans le projet de décret.
 
En deuxième lieu, le projet de décret prévoit que les données relatives aux événements affectant la validité du permis de chasser, de l’autorisation de chasser ou de la validation du permis de chasser sont conservées pendant une durée maximale d’un an à compter de la date de fin de la mesure administrative ou de la mesure judiciaire affectant le titre.
 
Le projet de fichier national des permis de chasser a pour objet de vérifier, lors d’un contrôle administratif, que la personne contrôlée dispose à cet instant des autorisations nécessaires à la pratique de la chasse. Par conséquent, la CNIL s’interroge sur la conservation de ces données au terme de la mesure. Aussi, elle accueille favorablement la proposition du ministère de supprimer les données à la fin de la mesure et de ne les conserver au-delà qu’en cas de contentieux, en archivage intermédiaire et jusqu’à expiration des voies de recours.
En dernier lieu, d’une manière générale, la
CNIL rappelle également, compte tenu de la sensibilité des données traitées, que les mesures de sécurité techniques et organisationnelles doivent être adaptées pour se prémunir contre les atteintes à la confidentialité et à l’intégrité des données collectées.
 
B. Sur les destinataires des données
 
Le projet d’article D. 423-1-5 prévoit la consultation automatique du fichier national des interdits d’acquisition et de détention d’armes (FINIADA). L’article R. 312-81 du code de la sécurité intérieure (CSI) précise que la consultation du FINIADA par les agents habilités de l’OFB et de la FNC se fait sur " requête individuelle ".
 
La CNIL relève que le projet de décret permet aux seules personnes dont les missions le justifient et qui sont autorisées par le CSI à interroger le FINIADA à accéder à la donnée d’inscription ou non à ce fichier. Autrement dit, parmi les catégories de personnes citées comme destinataires par le projet d’article D. 423-1-4, les agents de développement des FNC (2°), les agents des réserves naturelles et les agents de l’Office national des forêts (3°) n’auront pas accès à cette donnée. La CNIL invite le ministère à distinguer de manière explicite les destinataires qui n’accèderont pas à la donnée d’inscription au FINIADA.
 
C. Sur la réalisation d’une analyse d’impact relative à la protection des données (AIPD)
Le projet de décret prévoit la collecte de données à caractère personnel à grande échelle, de données relatives à des condamnations ainsi que de données de personnes dites vulnérables (mineurs et personnes âgées).
 
Au regard de ces éléments et des critères établis par le Comité européen de la protection des données afin de déterminer si un traitement de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, la CNIL estime nécessaire la réalisation d’une AIPD.
La CNIL prend acte de l’engagement de l’OFB et de la FNC d’effectuer une AIPD. Un tel engagement ayant également été pris par l’OFB concernant le fichier central des titres permanents des permis de chasser, elle rappelle que cette analyse doit être effectuée avant la mise en œuvre du projet de traitement en application de l’article 35 du RGPD.
Les autres dispositions du projet de décision n’appellent pas d’observations de la part de la CNIL.
 
La présidente,
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Laurence FRANCESCHINI et M. Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-085C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société CEGEDIM LOGICIEL MEDICAUX FRANCE, par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 mars 2023 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société CEGEDIM SANTÉ le 12 octobre 2023 ; 
Vu les observations écrites versées par la société les 17 novembre 2023, 8 janvier et 21 mai 2024 ;
Vu les réponses du rapporteur à ces observations, notifiées à la société les 8 décembre 2023 et 15 mars 2024 ; 
Vu l’arrivée à échéance du mandat de commissaire de Monsieur François PELLEGRINI le 1erfévrier 2024 ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un nouveau rapporteur, Monsieur Claude CASTELLUCCIA, devant la formation restreinte, en date du 31 janvier 2024 ;
Vu la clôture de l’instruction, notifiée à la société le 28 mai 2024 ; 
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 juin 2024 :
- Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;
En qualité de représentants de la société CEGEDIM SANTÉ :
- […] ;
La société CEGEDIM SANTÉ ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante : 
I. Faits et procédure
1. La société CEGEDIM LOGICIELS MEDICAUX FRANCE, dont le siège social est situé au 137, rue d’Aguesseau à Boulogne-Billancourt (92100), est une société par actions simplifiée à associé unique. En 2020 et 2021, elle a réalisé un chiffre d’affaires de […] et de […] et un résultat net de […] et de […].
2. L’associé unique de la société CEGEDIM LOGICIELS MEDICAUX FRANCE est la société CEGEDIM SANTÉ (ci-après la société ), société par actions simplifiée, dont le siège social est sis au 137, rue d’Aguesseau, 92100 Boulogne-Billancourt. 
3. En sa qualité d’associé unique, la société CEGEDIM SANTÉ a décidé la dissolution anticipée sans liquidation de la société CEGEDIM LOGICIELS MEDICAUX FRANCE à compter du 22 novembre 2021. La société CEGEDIM SANTÉ a repris l’intégralité des activités de la société CEGEDIM LOGICIELS MEDICAUX FRANCE, ainsi que les traitements des données à caractère personnel qu’elle réalisait. 
4. La société CEGEDIM SANTÉ fait partie du groupe CEGEDIM, spécialisé dans la gestion des flux numériques de l’écosystème santé entre professionnels et dans la conception de logiciels métier, destinés notamment aux professionnels de santé. En 2022, le chiffre d’affaires du groupe CEGEDIM s’est élevé à […] et son résultat net à […].
5. L’activité de la société CEGEDIM SANTÉ consiste à éditer et vendre des logiciels de gestion aux médecins de ville exerçant en cabinets et en centres de santé. Environ 25 000 cabinets médicaux et 500 centres de santé utilisent les logiciels proposés par la société. Celle-ci édite notamment le logiciel CROSSWAY, qui permet aux médecins de gérer leur agenda, les dossiers de leurs patients et leurs prescriptions. 
6. La société propose à un panel de médecins de ville utilisant ce logiciel, éligibles en fonction de critères géographiques, d’âges et de spécialités, d’adhérer à un observatoire en vue de collecter des données issues des dossiers des patients. En cas d’adhésion à l’observatoire , les données contenues dans les logiciels des médecins sont extraites dans le flux CROSSWAY afin d’être ensuite utilisées dans le cadre d’études et de statistiques dans le domaine de la santé réalisées par les clients de la société CEGEDIM SANTÉ, dont les sociétés […] et […]. À titre d’exemples, les clients de la société CEGEDIM SANTÉ réalisent des études sur la prise en charge des patients en fonction de leurs pathologies, sur les disparités démographiques, régionales et les profils de prise en charge des médecins et la mesure de la consommation de soins. En 2021, environ […] médecins avaient adhéré à cet observatoire .
7. En contrepartie, les médecins du panel bénéficient d’une remise sur la licence d’utilisation du logiciel CROSSWAY et la société leur donne accès aux études statistiques réalisées par la […] , ainsi qu’à des tableaux de bord personnalisés.
8. Par décision n° 2020-085C du 12 mai 2020, la présidente de la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société CEGEDIM LOGICIEL MEDICAUX FRANCE, par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre. 
9. Le 30 mars 2021, une délégation de la CNIL a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le Règlement ou RGPD ).
10. Les 12 avril 2021 et 16 février 2023, la société a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place.
11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 2 mars 2023, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
12. Le 12 octobre 2023, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements à l’article 5, paragraphe 1, a) du RGPD et à l’article 66 de la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de se mettre en conformité avec les manquements constatés. Il proposait également que cette décision soit rendue publique. 
13. Le 17 novembre 2023, la société a produit des observations en réponse au rapport de sanction. 
14. Le rapporteur a répondu aux observations de la société le 8 décembre 2023.
15. Le 8 janvier 2024, la société a produit ses deuxièmes observations en réponse.
16. Le mandat de commissaire de Monsieur François PELLEGRINI arrivant à son terme le 1er février 2024, la présidente de la CNIL a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur le 31 janvier 2024, en application de l’article 40 I alinéa 5 du décret n° 2019-536 du 29 mai 2019.
17. Le 15 mars 2024, le rapporteur a produit une réponse aux deuxièmes observations de la société.
18. Le 21 mai 2024, la société a produit ses troisièmes observations.
19. Par courrier du 27 mai 2024, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close. 
20. Par courrier du 27 mai 2024, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 13 juin 2024.
21. Le 12 juin 2024, la société a, par l’intermédiaire de son conseil, sollicité le report de la clôture de l’instruction jusqu’à la tenue de la séance de la formation restreinte prévue le lendemain, afin de pouvoir verser une pièce complémentaire, à savoir la copie d’un courrier adressé par la société CEGEDIM LOGICIELS MEDICAUX à la CNIL le 25 avril 2013. Le président de la formation restreinte a fait droit à cette demande. 
22. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision 
A. Sur le grief tiré de la méconnaissance des droits de la défense et du droit à un procès équitable
23. La société soutient qu’il a été porté atteinte à ses droits de la défense dans la mesure où, par courrier du 21 décembre 2023, le président de la formation restreinte lui a refusé l’extension de délai sollicité pour produire ses deuxièmes observations, en méconnaissance du droit à un procès équitable selon elle. Elle précise que, pour pouvoir répondre aux nouveaux arguments avancés par le rapporteur concernant plus particulièrement l’analyse du risque de réidentification pour lequel celle-ci estime que des analyses complémentaires sont nécessaires, la société a dû faire appel à un expert, qui n’était en mesure de rendre ses conclusions que pour la mi-janvier 2024, alors que son délai pour répondre expirait le 8 janvier 2024.
24. La société soutient par ailleurs que des éléments de preuve essentiels qu’elle a invoqués en défense pour démontrer le caractère anonyme des données du flux CROSSWAY n’ont pas été repris par le rapporteur, de sorte qu’elle s’interroge sur la prise en compte effective de ses arguments et donc sur le respect de ses droits de la défense et sur la garantie d’un procès équitable.
25. En premier lieu, la formation restreinte relève que les délais qui ont été appliqués dans le cadre de la procédure contradictoire sont ceux définis par l’article 40 I du décret n° 2019-536 précité. Elle note que la société a en outre bénéficié d’un délai de cinq jours supplémentaires pour produire ses premières observations en défense, conformément à sa demande formulée auprès du président de la formation restreinte. 
26. En deuxième lieu, la formation restreinte souligne que le rapport de sanction a été notifié à la société dès le 12 octobre 2023. Rien ne faisait donc obstacle à ce qu’elle mandate un expert dès cette date puisque, dès le rapport de sanction, le rapporteur considérait que les données que la société traite ne sont pas anonymes mais pseudonymes. L’analyse et la position du rapporteur sur ce point ont été constantes dans le cadre de la procédure de sanction et exposées dès le rapport de sanction. La société aurait donc pu solliciter un expert bien avant la réception de la réponse du rapporteur à ses premières observations en défense.
27. En troisième lieu, la formation restreinte relève que la société a pu produire les conclusions de l’expertise utiles à sa défense qu’elle souhaitait produire, puisque le rapporteur n’a pas clos l’instruction à l’issue des deuxièmes observations en défense de la société. Il a en effet décidé d’adresser une deuxième réponse aux observations de la société, laquelle a disposé d’un délai de deux mois et sept jours pour produire ses troisièmes observations en réponse. 
28. En dernier lieu, si la société estime que le rapporteur n’a pas suffisamment pris en compte les arguments qu’elle avance dans ses différents écrits et a commis différentes erreurs d’appréciation, la formation restreinte rappelle que l’ensemble des écritures et pièces produites à la fois par la société et par le rapporteur ont bien été portées à sa connaissance, et qu’elle dispose ainsi des éléments nécessaires afin de se prononcer sur le traitement en cause. La formation restreinte relève également que la société a pu présenter ses observations en défense dans ses trois jeux d’écriture, plusieurs tours de contradictoire ayant eu lieu dans le cadre de cette procédure, ainsi qu’oralement lors de la séance de formation restreinte du 13 juin 2024.
29. La formation restreinte considère dès lors que le grief tiré de la méconnaissance de ses droits de la défense et du droit à un procès équitable doit être écarté.
B. Sur le traitement en cause et la responsabilité de traitement
30. Au moment du contrôle effectué par la CNIL et jusqu’en 2022, la société collectait un certain nombre de données auprès des médecins panélistes ayant adhéré à son observatoire . Ces données étaient relatives à la fois au dossier administratif des patients (numéros de patient, année de naissance, sexe, catégorie socio-professionnelle, code de la région, date de la consultation), au dossier médical (allergies, antécédents du patient, antécédents familiaux, taille, poids, pouls, tension, diagnostics du jour etc.), aux prescriptions pharmaceutiques (médicament, posologie, durée, etc.) et aux autres prescriptions (arrêt de travail, vaccins, résultats d’examens biologiques, etc.).
31. Toutes ces données sont chiffrées et reliées à un identifiant unique pour chaque patient, qui ne repose sur aucun trait d’identité du patient. Les données des patients sont extraites périodiquement du flux CROSSWAY pour constituer un fichier sur le poste du médecin panéliste. Lors de la génération de ce fichier, les numéros patients du flux sont rechiffrés. Le fichier est ensuite acheminé par canal chiffré HTTPS vers le serveur hébergeant la base de données qui agrège et stocke transitoirement les données. Ainsi, même si chaque patient se voit attribuer des identifiants différents dans le flux CROSSWAY et dans les fichiers transmis par les médecins à la société CEGEDIM SANTÉ, l’ensemble des données concernant un même patient du même médecin est bien toujours associé à ce deuxième identifiant dans le jeu de données communiqué à la société CEGEDIM SANTÉ. En revanche, un même patient se rendant dans un autre cabinet médical se verra attribuer un autre identifiant unique propre à cet autre cabinet. L’identifiant étant lié aux données médicales et administratives d’un même patient, il permet donc le suivi de l’historique du patient pour un seul et même cabinet.
32. Les lignes présentes dans la base de données sont composées des identifiants du patient et du médecin consulté, ainsi que de divers codes. […]. D’après les chiffres communiqués par la société, le nombre de lignes collectées entre le 1er janvier 2021 et le 2 avril 2021 par la société CEGEDIM SANTÉ est de plus de […].
33. Les données sont conservées trois mois à compter de leur réception dans le flux CROSSWAY. Ensuite, elles sont transmises aux clients de la société, dont la société […], qui réalise des études et statistiques dans le domaine de la santé. Bien que les données ne soient conservées que trois mois dans le flux, certaines présentent une profondeur historique plus importante. Par exemple, les données issues du téléservice HRi, qui sera évoqué ci-après, sont automatiquement téléchargées sur une profondeur de douze mois lorsque le médecin les consulte.
34. La société CEGEDIM SANTÉ considère que les données qu’elle traite sont anonymes et ne sont donc plus soumises au régime applicable en matière de protection des données à caractère personnel.