AgentPublic/cnil huggingface dataset:
35. Le rapporteur estime quant à lui que la société s’est constituée un entrepôt de données de santé pseudonymisées à partir des données que lui communiquent les médecins panélistes, afin de les mettre à disposition de ses clients – dont certains appartiennent au même groupe – qui réalisent des études et statistiques dans le domaine de la santé. Ainsi, le rapporteur estime que la société CEGEDIM SANTÉ est tenue de se conformer à la règlementation relative à la protection des données à caractère personnel pour traiter lesdites données et, notamment, de disposer d’une autorisation pour ce faire.
36. En défense, la société fait également valoir qu’elle a mis en œuvre, depuis 2022, des nouvelles mesures d’appauvrissement des données au stade de l’extraction, données qui sont depuis lors moins précises. Elle ne collecte par exemple plus les informations des patients dont l’année de naissance est inférieure ou égale à 1920 ou si le patient est âgé de plus de 95 ans, elle ne collecte plus le nombre exact d’enfants des patients (0 si pas d’enfants, 1 si 1 enfant ou plus, et si le patient a moins de 18 ans le nombre d’enfants est systématiquement à 0) ou encore ne collecte plus les informations des patients ayant un sexe indéterminé.
37. La formation restreinte considère qu’il y a lieu d’examiner la nature des données traitées et la qualification du traitement avant de pouvoir déterminer les responsabilités associées à celui-ci.
1) Sur la nature des données traitées dans le flux CROSSWAY
a) Sur le cadre juridique applicable
38. L’article 4, paragraphe 1, du RGPD définit la notion de données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification […] .
39. L’article 4, paragraphe 15, du RGPD dispose que les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne constituent des données de santé.
40. L’article 4, paragraphe 5, du RGPD définit la pseudonymisation comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable .
41. La formation restreinte relève que, contrairement à la notion de pseudonymisation, la notion d’anonymisation n’est pas définie par le RGPD.
42. Le considérant 26 du RGPD dispose que Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche
43. Dans son arrêt Breyer rendu sous l’empire de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (CJUE, 2ème chambre, 19 octobre 2016, C-582/14), la Cour de justice de l’Union européenne (ci-après la CJUE ) a jugé que le considérant 26 de la directive 95/46 énonce que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne (§ 42) et que dans la mesure où ce considérant fait référence aux moyens susceptibles d’être raisonnablement mis en œuvre tant par le responsable du traitement que par une autre personne , le libellé de celui-ci suggère que, pour qu’une donnée puisse être qualifiée de donnée à caractère personnel […], il n’est pas requis que toutes les informations permettant d’identifier la personne concernée doivent se trouver entre les mains d’une seule personne (§ 43).
44. Cette jurisprudence a été confirmée dans l’arrêt OC c/ Commission européenne (CJUE, 6ème chambre, 7 mars 2024, C-479/22). Dans ladite affaire, la CJUE a jugé que la circonstance que des informations supplémentaires sont nécessaires pour identifier la personne concernée n’est pas de nature à exclure que les données en cause puissent être qualifiées de données à caractère personnel (§ 49), tout en prenant en compte le fait que la possibilité de combiner les données en cause avec des informations supplémentaires constitue un moyen susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée en prenant en considération l’ensemble des facteurs objectifs tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci (§ 50). 
45. La CJUE précise en outre dans cet arrêt qu’ il est inhérent à l’ identification indirecte d’une personne que des informations supplémentaires doivent être combinées avec les données en cause aux fins de l’identification de la personne visée (§ 55) et que la requérante n’était pas tenue d’apporter la preuve qu’elle avait effectivement été identifiée par l’une de ces personnes, puisqu’une telle condition n’est pas prévue à l’article 3, point 1, du règlement 2018/1725, celui-ci se limitant à exiger qu’une personne soit identifiable (§ 61).
46. Enfin, dans l’arrêt IAB Europe c/ Gegevensbeschermingsautoriteit (CJUE, 4ème chambre, 7 mars 2024, C-604/22), la Cour a considéré que L’article 4, point 1, du RGPD doit être interprété en ce sens qu’une chaîne composée d’une combinaison de lettres et de caractères, telle que la TC String [Transparency and Consent String], contenant les préférences d’un utilisateur d’Internet ou d’une application relatives au consentement de cet utilisateur au traitement des données à caractère personnel le concernant par des fournisseurs de sites Internet ou d’applications ainsi que par des courtiers de telles données et par des plateformes publicitaires, constitue une donnée à caractère personnel au sens de cette disposition dans la mesure où, lorsque celle-ci peut, par des moyens raisonnables, être associée à un identifiant, tels que notamment l’adresse IP de l’appareil dudit utilisateur, elle permet d’identifier la personne concernée. . Elle ajoute que la circonstance que, sans une contribution extérieure, une organisation sectorielle détenant cette chaîne ne peut ni accéder aux données qui sont traitées par ses membres dans le cadre des règles qu’elle a établies ni combiner ladite chaîne avec d’autres éléments ne fait pas obstacle à ce que la même chaîne constitue une donnée à caractère personnel au sens de ladite disposition (§ 51).
47. Enfin, à titre d’éclairage, la formation restreinte relève que, dans son Avis 05/2014 sur les techniques d’anonymisation du 10 avril 2014, le Groupe de travail Article 29 sur la protection des données (ci-après G29 ), devenu le Comité européen de la protection des données (ci-après CEPD ), indique qu’un processus peut notamment être qualifié d’anonymisation lorsqu’il résiste aux trois types de risques suivants :
- l’individualisation, qui correspond à la possibilité d’isoler une partie ou la totalité des enregistrements identifiant un individu dans l’ensemble de données ;
- la corrélation, qui consiste en la capacité de relier entre elles, au moins, deux enregistrements se rapportant à la même personne concernée ou à un groupe de personnes concernées ;
- l’inférence, qui est la possibilité de déduire, avec un degré de probabilité élevé, la valeur d’un attribut à partir des valeurs d’un ensemble d’autres attributs.
48. À défaut de résister aux trois types de risques mentionnés ci-dessus, les données ne seront pas nécessairement qualifiées de pseudonymes . Elles pourront être qualifiées d’anonymes dans l’hypothèse où le responsable de traitement est en mesure de démontrer que la réidentification n’est pas possible par des moyens raisonnables , c’est-à-dire que les risques de réidentification sont négligeables.
49. Le rapporteur fait valoir, à la lumière des différents éléments issus de la jurisprudence et de la doctrine, qu’il ne fait pas doute que le cadre juridique applicable permet d’apprécier le caractère anonyme ou pseudonyme des données traitées et de déterminer que, de manière constante, le suivi de personnes dans la durée, à l’aide d’un identifiant unique, permet d’isoler un individu dans un jeu de données et augmente donc le risque de levée du pseudonymat. 
50. La société considère au contraire que le cadre légal, jurisprudentiel et doctrinal autour de la question de l’anonymisation de données est source d’insécurité juridique pour les opérateurs. Elle souligne le manque de clarté de ce cadre et l’absence de référentiels, de méthodologies ou de prescriptions techniques permettant de démontrer le caractère anonyme d’un jeu de données. Elle soutient que les publications, notamment de la CNIL, du G29 et du CEPD, ne permettent pas d’assurer le respect du principe de prévisibilité du droit découlant de l’exigence constitutionnelle de sécurité juridique en droit français en ce qu’elles ne présentent pas de prescriptions, notamment techniques, suffisamment claires que ce soit pour permettre aux opérateurs d’assurer une confiance raisonnable dans le résultat des procédés d’anonymisation utilisés ou pour assurer la recevabilité de la preuve de l’anonymisation vis-à-vis de la CNIL. La société fait valoir différents arguments afin d’appuyer sa position.
51. Premièrement, la société fait état d’une décision rendue par le juge du tribunal de Milan (tribunal de Milan, ordonnance du 4 décembre 2023), dans le cadre d’un contentieux opposant l’autorité de protection des données italienne […] -, qui poursuit une activité similaire à celle de la société CEGEDIM SANTÉ au titre de l’observatoire . Selon la société, le juge a considéré qu’en l’état des éléments, l’autorité italienne n’avait pas démontré que les données n’étaient pas anonymes et qu’une expertise indépendante devait être conduite pour vérifier le caractère anonyme des données, les possibilités de réidentification des personnes, ainsi que le risque concret de cette réidentification en tenant compte du temps et des coûts nécessaires.
52. Deuxièmement, la société fait valoir qu’elle est fondée à se baser sur l’acceptation probabiliste de la notion de donnée à caractère personnel, estimant que l’analyse du risque d’identification ne doit pas nécessairement tendre à réduire ce risque à zéro, mais plutôt à réduire ce risque à un niveau acceptable au regard de la sensibilité des données, du contexte et des finalités du traitement. Elle cite à l’appui un document commun de l’autorité espagnole de protection des données et du CEPD publié en juin 2021, ainsi qu’un article publié et corédigé par le rapporteur, Monsieur CASTELLUCCIA, en 2020.
53. Troisièmement, elle fait valoir que le fait qu’un jeu de données puisse être relié à un identifiant n’exclut pas que ces données puissent être anonymes, à l’instar des données contenues dans la base OpenDamir du SNIIRAM. La société estime que si les données de l’OpenDamir, plus précises à de nombreux égards que celles traitées par CEGEDIM SANTÉ, ont pu être considérées comme anonymes, celles doivent également l’être.
54. Enfin, la société soutient que même en cas d’identification d’un code patient associé aux informations connues sur l’individu recherché dans le flux CROSSWAY, cela ne conduit pas nécessairement à la réidentification. En effet, elle soutient qu’il n’existe qu’une certaine probabilité que les informations retrouvées dans la base soient celles de la personne recherchée. Elle estime que de multiples incertitudes mettent en échec la possibilité de réidentification , par exemple parce qu’un individu peut partager les caractéristiques connues avec d’autres individus ou encore parce qu’il n’est pas possible de savoir si l’individu recherché est présent ou non dans la base. La société cite à l’appui un extrait d’une publication de la Direction de la recherche, des études de l'évaluation et des statistiques (DREES).
55. À titre liminaire, la formation restreinte rappelle que, si la CNIL dispose de pouvoirs de publication de lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel (en application de l’article 8, paragraphe 2, b) de la loi Informatique et Libertés), les règles juridiques sont fixées par les législateurs français et européen, et interprétées par les juridictions compétentes. Ainsi, quand bien même la CNIL n’a pas publié de référentiels ou de lignes directrices spécifiques aux notions de pseudonymisation et d’anonymisation, la formation restreinte relève que le CEPD a publié des lignes directrices qui demeurent pertinentes. La formation restreinte souligne que les écritures produites tant par le rapporteur que par la société révèlent que ces notions font l’objet de nombreuses publications, tant sur le plan jurisprudentiel que doctrinal. L’absence de référentiels, lignes directrices ou recommandations de la CNIL ne saurait donc être suffisante pour considérer que le cadre juridique applicable n’est pas clair.
56. S’agissant ensuite de la décision rendue par le tribunal de Milan, la formation restreinte observe que le juge a décidé de suspendre l’efficacité exécutive de la décision de l’autorité de protection des données italienne uniquement concernant les sanctions accessoires de publication sur le site de la société et de transmission aux ordres et fédérations concernés, dans l’attente qu’une expertise indépendante soit menée, afin de déterminer si les données traités par la filiale italienne de CEGEDIM SANTÉ sont pseudonymisées ou anonymisées. 
57. La formation restreinte constate que le juge ne suspend en revanche pas l’amende et l’injonction prononcées. Il n’affirme pas non plus que les données traitées sont anonymes. La formation restreinte souligne à cet égard que l’autorité italienne de protection des données a estimé dans sa décision que les données traitées sont des données à caractère personnel, notamment puisqu’un identifiant unique est attribué à chaque patient.
58. S’agissant de la base OpenDamir évoquée par la société, la formation restreinte observe que les deux traitements ne sont pas comparables dans la mesure où dans OpenDamir, chaque ligne correspond à un remboursement de l’assurance maladie et non à un patient. Un fichier est édité chaque mois et il est impossible de suivre le parcours médical d’un même patient dans le temps via OpenDamir. Au contraire, dans le traitement en cause, la société CEGEDIM SANTÉ est en mesure d’identifier que plusieurs fichiers transmis successivement par un même médecin concernent un même patient.
59. En outre, s’agissant de l’étude de la DREES citée par la société, la formation restreinte relève qu’elle précise également qu’ une accumulation de ressemblances avec une personne connue pourrait, au fil de l’addition des millésimes diffusés, au fur et à mesure de l’enrichissement annuel de la base, conduire à une probabilité d’identification proche de l’unité , ce qui correspond à la façon dont le traitement mis en œuvre par CEGEDIM SANTÉ est construit puisqu’il est possible de retracer le parcours de soins précis d’un patient d’un même médecin dans le temps et que la société dispose d’un large volume de données. Cette même étude de la DREES indique clairement que le remplacement de l’identifiant initial d’une personne par un autre identifiant arbitraire correspond à une pseudonymisation et non à une anonymisation. Ainsi, la formation restreinte considère que la mobilisation de cette étude de la DREES par la société n’est pas pertinente en l’espèce.
60. Enfin, la formation restreinte relève qu’il n’y a pas débat, ni dans la jurisprudence, ni dans la doctrine, sur le fait que l’attribution d’un code ou identifiant unique à des personnes afin de permettre leur suivi permet leur individualisation dans le jeu de données. En outre, il est clairement établi que pour évaluer le risque que soit levé le pseudonymat, il convient d’intégrer la possibilité de combiner un premier jeu de données avec d’autres données, lesquelles peuvent être détenues par des tiers. Au titre de ces autres données figurent par exemple les données de géolocalisation. 
b) Sur la nature des données traitées
61. S’agissant des données de patients, le rapporteur relève qu’il ressort des pièces du dossier que chaque patient se voit attribuer un identifiant unique pour un même médecin au sein du flux CROSSWAY. Ce numéro, qui ne repose sur aucun trait d’identité, est lié aux données médicales et administratives d’un même patient et permet donc le suivi de l’historique du patient pour un même médecin. Par conséquent, le rapporteur considère que, grâce à l’identifiant du patient qui lui est communiqué, la société CEGEDIM SANTÉ est en mesure d’identifier que plusieurs fichiers transmis successivement par un même médecin concernent un même patient au sein de son observatoire .
62. Le rapporteur en conclut que :
- d’une part, ce procédé, consistant à remplacer les données directement identifiantes par des données indirectement identifiantes, à savoir un identifiant unique pour le patient concerné d’un même médecin, correspond parfaitement à la définition de la pseudonymisation, et permet d’avoir un suivi longitudinal du patient ;
- d’autre part, dès lors qu’il est possible d’isoler ainsi un individu dans le jeu de données et d’accroître au cours du temps l’ensemble des données qui le concernent, les données des patients sont suffisamment riches pour permettre une levée du pseudonymat par des moyens raisonnables.
63. Dans le cadre des échanges contradictoires avec la société, le rapporteur a produit à l’appui de son analyse une démonstration dans laquelle il parvient à retracer avec précision le parcours de soins d’un enfant de 12 ans en ALD à partir de quelques lignes de données uniquement transmises par la société dans le cadre de la procédure de contrôle.
64. S’agissant des données des médecins, le rapporteur relève que la société génère un numéro de panel à partir du numéro de client du médecin et que ce numéro apparaît dans les fichiers générés par les médecins panélistes, transmis à CEGEDIM SANTÉ. Le rapporteur relève par ailleurs que la société dispose d’une table de correspondance entre le numéro de panel et l’identité du médecin et en conclut que la détention de cette table rend encore plus précises les données détenues par la société. Ainsi, le rapporteur considère que la société est en mesure d’identifier, parmi l’ensemble des panélistes, qu’un même médecin lui communique des fichiers et que dès lors, il s’agit de données pseudonymisées.
65. En défense, la société considère que les données sont anonymes. Elle considère que la démonstration du rapporteur est théorique et entièrement focalisée sur les possibilités d’individualisation des personnes à partir des données du flux CROSSWAY, le rapporteur ne cherchant à aucun moment à évaluer de manière précise et objective les risques réels et résiduels de réidentification des patients selon des moyens raisonnables susceptibles d’être utilisés par la société, dont notamment les éléments de contexte précis.
66. Or, la société soutient que le caractère identifiable d’une personne, permettant de considérer que des données constituent des données à caractère personnel, ne peut être affirmé par postulat, mais doit être validé par une analyse in concreto des moyens raisonnables permettant l’identification. Elle estime qu’il ressort des décisions Breyer et OC c/ Commission européenne précitées que ces moyens raisonnables doivent correspondre à des moyens légaux et mobilisables en pratique, prenant notamment en compte des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement. Elle ajoute qu’au-delà de l’analyse des éléments de contexte précis et de la quantification de l’éventualité de leur réalisation au regard des facteurs objectifs (temps, coût, main d’œuvre, technologies disponibles), il convient également de prendre en compte les motivations des personnes pouvant procéder à la réidentification. 
67. À l’appui de ses déclarations, la société produit une évaluation externe réalisée par la société […], mandatée par la société […], relative aux données de la base […] alimentée par le flux CROSSWAY. Ladite évaluation conclut à la nature anonyme des données.
68. Enfin, s’agissant de la table de correspondance détenue par la société, celle-ci soutient que la table recensant les codes et l’identité des médecins participant à l’observatoire ne peut être considérée comme un moyen raisonnable susceptible de pouvoir être utilisé pour aider à la réidentification des patients. En effet, la société fait valoir que la table de correspondance est gérée par une équipe dédiée et distincte de celle en charge d’opérer le flux CROSSWAY, sur un poste informatique isolé, avec un cloisonnement total des informations et une parfaite étanchéité des rôles et responsabilités entre ces deux équipes.
69. En premier lieu, la formation restreinte relève que le caractère pseudonyme ou anonyme des données présente un enjeu particulièrement important pour les personnes concernées puisque, si les données ne sont pas des données à caractère personnel, la règlementation en matière de protection des données ne leur est pas applicable et donc l’utilisation qui peut en être faite est totalement libre. En particulier, une base de données anonymes n’est pas soumise aux obligations de sécurisation fixées par l’article 32 du RGPD et peut être librement communiquée ou publiée. L’organisme qui opère une telle base n’est tenu à aucune obligation d’information.