AgentPublic/cnil huggingface dataset:
72. En défense, la société explique que la décision de déployer le dispositif de caméras " test " a été prise dans un contexte de recrudescence de vols, durant la période estivale, lorsque que la déléguée à la protection des données n’était pas disponible. Elle rappelle néanmoins qu’en temps normal, la déléguée à la protection des données est systématiquement associée aux questions de protection des données.
73. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier, et sans que cela ne soit contesté par la société en défense, que la déléguée à la protection des données a été informée pour la toute première fois de l’existence du dispositif par courriers électroniques du 28 septembre 2023 puis par visioconférence le 2 octobre 2023, soit postérieurement à l’installation du dispositif et à son démontage.
74. Ainsi, la société n’a pas associé la déléguée à la protection des données alors qu’elle s’apprêtait à déployer un traitement de données à caractère personnel au moyen de caméras dissimulées dans des détecteurs de fumée. Pourtant, au regard des caractéristiques particulières du dispositif rappelées précédemment, la formation restreinte considère que la consultation en amont de la déléguée à la protection des données aurait donné l’opportunité à cette dernière de rappeler au responsable de traitement les conditions dans lesquelles un tel dispositif peut être déployé, comme cela fait d’ailleurs partie de ses missions au titre de l’article 39-1 du RGPD. La formation restreinte souligne d’ailleurs qu’interrogée par la délégation de contrôle, la déléguée à la protection des données a indiqué que si la société l’avait sollicitée, elle l’aurait alertée sur le fait que la mise en place d’un tel dispositif était contraire aux principes de transparence et de loyauté.
75. La formation restreinte observe ensuite que la décision de recourir à des caméras " test " a été prise en urgence, durant la période estivale, ce qui a rendu difficile la consultation en amont de la déléguée à la protection des données. Toutefois, outre le fait que la société ne rapporte pas l’impossibilité de différer l’installation dans l’attente de la consultation de la déléguée à la protection des données, le caractère particulièrement intrusif du dispositif envisagé aurait dû, à lui seul, conduire le responsable de traitement à consulter la déléguée avant de démarrer l’installation du dispositif. La formation restreinte note de surcroit que la société n’a informé la déléguée du déploiement du dispositif, ne serait-ce que, par exemple, en lui adressant un message dont elle aurait pu prendre connaissance ultérieurement, et que ce sont les salariés qui, bien après la fin de la période estivale, l’ont informée de l’existence du dispositif les 28 septembre et 2 octobre 2023.
76. La formation restreinte considère qu’en n’associant pas la déléguée à la protection des données à la mise en place du dispositif de vidéosurveillance " test ", la société a méconnu les dispositions de l’article 38-1 du RGPD.
III. Sur les mesures correctrices sanction et leur publicité
77. Aux termes de l’article 20 de la loi du 6 janvier 1978 susvisée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
78. L’article 83 du RGPD dispose que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
79. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
A. Sur le prononcé d’une amende administrative
80. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, le caractère délibéré ou non de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et le nombre de personnes et les catégories de données à caractère personnel concernées par la violation.
81. La rapporteure considère que les manquements aux articles 5-1-a), 5-1-c), 33 paragraphes 1 et 5 et 38-1 du RGPD justifient le prononcé d’une amende administrative.
82. En défense, la société considère que la gravité des manquements qui lui sont reprochés ne justifient pas le prononcé d’une amende et qu’un rappel à l’ordre constituerait une mesure plus appropriée. Elle rappelle que les salariés étaient déjà informés de la présence de caméras dans les réserves, que ces derniers n’ont subi aucun préjudice et qu’elle n’avait pas l’intention de visionner les images issues des caméras " test ". Elle rappelle en outre qu’elle n’avait pas connaissance de ce que les caméras " test " étaient dotées de micros.
83. En premier lieu, s’agissant des manquements aux articles 5-1-a, 5-2 et 5-1-c du RGPD, la formation restreinte considère que l’utilisation de caméras prenant l’apparence de détecteurs de fumée, permettant de surcroît l’enregistrement du son, a porté atteinte aux libertés et droits fondamentaux des salariés qui ont été filmés et enregistrés à leur insu. La formation restreinte considère, contrairement à ce que soutient la société, que les images enregistrées avaient bien vocation à être visionnées ne serait-ce que pour confirmer que les angles de prises de vue pour les futures caméras étaient adéquats. Elle rappelle en outre que les faits en cause ont fait l’objet d’une plainte adressée à la CNIL. Elle rappelle d’ailleurs que des conversations privées ont été enregistrées, dont l’une évoquant la démission d’un salarié. Elle note enfin que ce n’est qu’à la faveur du démontage des caméras par les salariés que les manquements ont cessé.
84. S’agissant des manquements à l’articles 33, paragraphes -1 et 5, du RGPD, la formation restreinte rappelle qu’une violation de données peut potentiellement avoir une série d’effets négatifs sur les personnes concernées. C’est pourquoi il est primordial que le responsable de traitement confronté à une violation de données documente cet incident, en évalue les risques pour les droits et libertés des personnes concernées et, le cas échéant, en informe l’autorité de protection des données.
85. S’agissant du manquement à l’article 38-1 du RGPD, la formation restreinte rappelle que le fait de ne pas avoir consulté la déléguée à la protection des données préalablement à la mise en œuvre du traitement lié au dispositif de caméras " test " a conduit la société à déployer un traitement de données à caractère personnel non conforme avec les dispositions applicables.
86. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
87. Au regard des éléments du dossier, la formation restreinte considère que la société a mis en place un dispositif susceptible de tromper les salariés. Outre le fait que les caméras - captant le son - prenaient l’apparence de détecteurs de fumée, la société n’a pas documenté l’installation du dispositif, réalisée au mois d’août, et n’a pas associé la déléguée à la protection de données à son déploiement, laquelle aurait d’ailleurs sinon, selon ses déclarations, alerté la société sur le fait que le dispositif n’était pas conforme au cadre prévu par le RGPD.
88. La formation restreinte considère que les manquements résultent d’une succession de fautes, en ne vérifiant pas le modèle de caméra choisi par son prestataire, en ne documentant pas l’installation du dispositif, en n’évaluant pas les risques associés à son installation, et en ne consultant pas sa déléguée à la protection des données et considère donc que la société a fait preuve d’une négligence certaine.
89. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié s’agissant des manquements aux articles 5-1-a), 5-2, 5-1-c), 33 paragraphes 1 et 5, et 38-1 du RGPD.
B. Sur le montant de l’amende administrative
90. La formation restreinte relève d’abord qu’en application de l’article 83 du RGPD, une amende administrative pouvant atteindre 20 millions d'euros ou, s'agissant d'une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu, est susceptible d’être prononcée.
91. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois dissuasives et proportionnées.
92. La formation restreinte observe que le chiffre d’affaires de la société pour l’année 2023 était de […] pour un résultat […].
93. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du RGPD, la formation considère qu’une amende administrative d’un montant de cent mille euros pour sanctionner les manquements aux articles 5-1-a), 5-2 et 5-1-c), 33 paragraphes 1 et 5 et 38-1 du RGPD apparait dissuasive et proportionnée.
C. Sur la publicité de la sanction
94. La rapporteure considère que compte tenu de la gravité des manquements en cause, la publicité de la décision de la formation restreinte est justifiée.
95. La société rappelle que, selon elle, les manquements aux articles 5-1-a, 5-2 et 5-1-c ne sont pas constitués et que les autres manquements n’ont pas porté préjudice aux personnes concernées. Elle considère donc que la publicité n’est pas justifiée.
96. La formation restreinte considère qu’une telle mesure se justifie au regard de la gravité des manquements en cause.
97. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer à l’encontre de la société SAMARITAINE SAS, une amende administrative d’un montant de cent-mille (100 000) euros au regard des manquements constitués aux articles 5-1-a), 5-2, 5-1-c), 33 paragraphes 1 et 5 et 38-1 du Règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données;
- rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément les sociétés à l’issue d’une durée de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Décide :
Article 1
Les agents de la direction des contrôles et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Fabienne AMIARD ;
Mme Madeleine CAZETTES DE SAINT LEGER ;
Mme Virginie CLAUDE-LOONIS ;
Mme Audrey DANEL ;
Mme Ludivine DELELIS ;
Mme Caroline DEROUET ;
M. Martin FRIEYRO ;
Mme Marie GAILLARDON ;
Mme Sophie GEISTEL ;
M. Rodolphe GÉNISSEL ;
Mme Sarah GUILLOU ;
Mme Marion JABOT ;
Mme Lucile JOURDANNAUD ;
Mme Morgane LE HIR ;
Mme Maud LETAY ;
Mme Alexandrine MANDRON ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Rébecca PRADEL ;
Mme Aude RICHARD.
Article 2
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 3
La délibération n° HABS-2025-004 du 17 juillet 2025 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "SOG HEALTH" ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Observation liminaire
La CNIL a été saisie d’une demande de modification de la décision DT-2024-019 autorisant la mise en œuvre d’un entrepôt intitulé "SOG-HEALTH". En dehors des modifications mentionnées dans la présente décision, les conditions de mise en œuvre du traitement restent inchangées.
Sur les points de non-conformité au référentiel concerné
En dehors des points de non-conformité ayant fait l’objet d’un examen spécifique dans la décision DT-2024-019 et la présente décision, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur le responsable de traitement
La responsabilité du traitement mis en œuvre dans le cadre de l’entrepôt de données de santé "SOG HEALTH" reposera désormais sur la société CLINITYX BY GERS (CLINITYX).
Sur le régime juridique applicable
La constitution de cet entrepôt implique notamment un traitement des données visées au 6° du I de l’article L. 1461-1 du code de la santé publique (CSP), à savoir des données recueillies à l'occasion d'activités de prévention, de diagnostic, de soins donnant lieu à une prise en charge des frais par la sécurité sociale. Ces données seront réutilisées et mises à disposition pour l’une des finalités visées au III de l’article L. 1461-1 du CSP, notamment à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé.
Par conséquent, les dispositions des articles L. 1461-1 et suivants du CSP sont applicables en l’espèce dont :
le référentiel de sécurité visé au 3° du IV de cet article ;
l’interdiction de poursuite des finalités visées à l’article V de cet article, et plus particulièrement la promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque (finalités interdites d’utilisation du Système national des données de santé - SNDS).
Sur les données traitées 
Les données gelées au sein de l’entrepôt dans les conditions prévues par la décision DT-2024-019 devront être supprimées. 
Sur les modalités d’information et d’exercice des droits
La société CLINITYX, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi "informatique et libertés".
Tous les documents d’information (individuelle ou collective) devront :
comporter l’ensemble des mentions prévues par le RGPD ;
préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées.
Les notes d’information relatives aux recherches réalisées à partir des données de l’entrepôt seront désormais publiées sur le portail de transparence de le société CLINITYX.
 
La société CLINITYX s’engage :
à effectuer une redirection automatique depuis le portail de transparence de la société GERS SAS vers le portail de transparence de la société CLINITYX sur lequel figureront désormais les informations relatives aux recherches réalisées à partir des données de l’entrepôt ;
à ce que l’ensemble des informations concernant les réutilisations de données versées dans l’entrepôt "SOG HEALTH" demeurent disponibles sur le portail de transparence de la société GERS SAS, qui restera actif. Une mise à jour des informations disponibles sur ce dispositif sera régulièrement réalisée par la société GERS SAS.
 
Conformément aux dispositions de l’article 12 du RGPD, l’information des personnes concernées ainsi que les modalités d’exercice de leurs droits devront être conformes au principe de transparence prévu au chapitre III du RGPD. Les coordonnées du délégué à la protection des données auprès duquel les personnes concernées pourront dorénavant exercer leurs droits devra figurer clairement sur les différents supports d’information.
 
Les notes d’informations relatives à la constitution de l’entrepôt et à son fonctionnement devront être mises à jour afin de mentionner les modifications apportées au traitement.
Elles seront transmises aux clients des officines partenaires dans les conditions prévues par la décision DT-2024-019.
Sur la sécurité des données et la traçabilité des actions
Le dossier de demande mentionne que certaines des mesures nécessaires à la pleine couverture des risques de sécurité identifiées par la décision DT-2024-019 ont été déployées et améliorées dans le cadre d’un plan d’actions formalisé. Les mesures de sécurité décrites dans le dossier sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur la gouvernance de l’entrepôt
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. 
 
En complément, eu égard à la nature des données traitées ainsi qu’aux finalités des traitements poursuivis ou envisagés par la société et ses partenaires, une gouvernance globale d’entreprise devra être mise en œuvre par la société CLINITYX comportant en particulier :
une politique interne dédiée ;
une gouvernance interne avec l’organisation et la documentation adéquates ;
la formation et la sensibilisation de tous les acteurs ;
une séparation des tâches en lien avec le traitement des données de santé, appuyée sur des critères d’exclusion a priori de certains personnels, services ou fonctions pour l’accès à un espace projet ou au rapport détaillé d’une étude ;
la tenue d’une liste des personnes ayant un lien à caractère promotionnel avec des acteurs de santé ou un conflit d’intérêt par rapport à une étude ;
une gestion des risques de violation liés au détournement de finalité, notamment sous l’angle de la minimisation/granularité des données et des risques de réidentification ;
une surveillance des incidents et gestion des violations avec détournement de finalité ;
des contrôles réguliers, comité annuel et mesures d’amélioration.
Observations complémentaires
Dans l’hypothèse où la société CLINITYX souhaiterait soumettre une demande de modification ou de renouvellement, le dossier de demande devra comporter un bilan comprenant notamment :
la démonstration de la mise en œuvre effective d’une politique d’entreprise liée à la prévention des finalités interdites ;
les modalités d’information déployées afin d’informer individuellement et collectivement des personnes concernées par ce traitement ;
les modalités d’exercice des droits déployées ;
la liste des projets réalisés ou en cours de réalisation ainsi que l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt ;
une synthèse des demandes de mise à disposition des données ;
des indicateurs sur les modalités de fonctionnement de l’entrepôt ;
la liste exhaustive des habilitations associées à l’entrepôt pour le personnel de la société CLINITYX ;
les modalités de réalisation du plan d’actions et la résolution d’incidents éventuels.
AUTORISE, 
conformément à la présente délibération, la société 
CLINITYX BY GERS DATA à mettre en œuvre le traitement décrit ci-dessus pour une durée de trois ans à compter de la présente autorisation.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "THIN" ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Observation liminaire