AgentPublic/cnil huggingface dataset:
42. La délégation a également constaté, dans le cadre du contrôle en ligne du 3 septembre 2019 que, parmi les pages dont la suppression avait été demandée à la société par les plaignants ayant saisi la CNIL, cinq étaient toujours présentes, au jour du contrôle, sur le site web de la société et qu’elles contenaient les données personnelles des plaignants (les pages signalées par […]). Pour trois autres plaignants ([…]), si les fiches correspondant à leur établissement avaient effectivement été supprimées, des données les concernant, comme l’activité professionnelle et le département dans lequel se situe la société, demeuraient accessibles dans des pages d’index du site www.[...] et apparaissaient ainsi toujours à la saisie du nom des plaignants lors d’une recherche effectuée sur un moteur de recherche.
43. La société a été mise en demeure de procéder à la suppression des données des plaignants concernés ([…]) et de mettre en place une procédure permettant de prendre en compte de manière effective toute demande d’exercice du droit d’effacement des personnes dont les données à caractère personnel figurent dans la base de données de la société.
44. La rapporteure relève dans son rapport de sanction que la société n’a pas procédé, dans le délai imparti, à la suppression des données de tous les plaignants, les données de […] étant toujours accessibles.
45. La société indique, dans un courrier du 6 juillet 2021, avoir réinitialisé la totalité de sa base de données et que celle-ci est à présent exclusivement constituée à partir des données du répertoire SIRENE diffusé par l’INSEE. Elle précise que les demandes formulées par les personnes sur les précédentes informations diffusées sur le site [...] ont été de facto annulées car ces données ont été supprimées lors de cette mise à jour. Désormais, la société ne diffuse plus que les données publiées chaque mois par l’INSEE, et mises à jour auparavant par cette dernière.
46. La formation restreinte considère qu’il ressort des dispositions précitées du RGPD que, lorsque le traitement a pour base légale l’intérêt légitime du responsable de traitement, celui-ci doit faire droit à la demande d’effacement formulée par la personne concernée lorsque celle-ci s’est opposée au traitement de ses données à caractère personnel et que le responsable de traitement ne démontre pas de motifs légitimes et impérieux justifiant le traitement.
47. La formation restreinte relève qu’au jour des constats, dans huit des seize plaintes visées dans la présente procédure, la société n’a pas apporté de réponse efficace aux demandes formulées et les données à caractère personnel en cause sont restées accessibles, directement dans les fiches d’entreprise diffusées sur le site web.
48. En outre, la formation restreinte note que le responsable de traitement n’invoque aucun motif légitime impérieux justifiant que le traitement qu’il met en œuvre primerait sur les droits des plaignants, alors que les personnes concernées ont manifesté leur opposition au traitement et qu’elles ont formulé une demande d’effacement de leurs données à caractère personnel.
49. La formation restreinte considère par ailleurs que les mesures que la société annonce avoir récemment mises en place en lien avec la mise à jour de sa base de données, qui permettraient selon cette dernière de satisfaire aux demandes d’exercice des droits, ne sont pas suffisantes pour s’assurer de la prise en compte de ces demandes, dès lors que les données de trois plaignants restent toujours accessibles sur le site malgré la mise à jour effectuée.
50. La formation restreinte retient, en tout état de cause, que la société ne s’est pas mise en conformité à l’expiration du délai fixé dans la mise en demeure du 21 juillet 2020.
51. Dans ces conditions, la formation restreinte considère que la société a failli à l’obligation prévue par l’article 17 du Règlement.
3. Sur le manquement à l’obligation de mettre en œuvre un registre des activités de traitement
52. L’article 30 du RGPD dispose que chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité . Cette obligation ne peut être imposée aux entreprises comptant moins de 250 salariés, sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel […] .
53. Il ressort des constatations de la délégation de la CNIL que la société ne met pas en œuvre un registre des activités de traitement.
54. La société a été mise en demeure le 21 juillet 2020 de mettre en œuvre un registre des activités de traitement. Elle n’a toutefois pas apporté de réponse sur cette injonction dans le cadre de la mise en demeure.
55. La rapporteure considère dans son rapport de sanction que la société a dès lors manqué à son obligation prévue par l’article 30 du RGPD.
56. La société ne produit aucun élément en défense sur ce point.
57. La formation restreinte relève que si la société compte un unique salarié en la personne de son président, […], le traitement mis en œuvre par la société n’est toutefois pas occasionnel puisqu’il constitue le cœur de son activité. La société aurait dès lors dû mettre en œuvre un registre de ses activités de traitement.
58. La formation restreinte retient que la société ne s’est pas mise en conformité à l’expiration du délai fixé dans la mise en demeure du 21 juillet 2020, ni ultérieurement.
59. Dans ces conditions, la formation restreinte considère que la société a méconnu l’obligation prévue par l’article 30 du Règlement.
4. Sur le manquement à l’obligation de coopérer avec les services de la CNIL
60. L’article 31 du RGPD dispose que le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions .
61. La délégation de la CNIL a constaté que la société n’avait pas répondu à toutes les demandes qu’elle avait formulées à la suite du contrôle sur audition réalisé le 5 septembre 2019, mais seulement à certaines, la plupart du temps de manière insatisfaisante ou incomplète. Par ailleurs, il a été constaté par la délégation que, dans la boîte de réception des courriels de la société, quatre courriels de la CNIL en date des 13 novembre 2017, 16 janvier 2018, 29 janvier 2018 et 1er février 2018, n’étaient pas ouverts. Ces courriers n’ayant pas été lus par le responsable de traitement, aucune réponse ne leur a été apportée.
62. La société a donc été mise en demeure, le 21 juillet 2020, notamment de communiquer les pièces sollicitées lors du contrôle sur audition. La mise en demeure comportait également d’autres injonctions visant à la mise en conformité du traitement et au respect des droits des personnes.
63. La rapporteure soutient dans son rapport de sanction que la société n’a répondu que très partiellement à la demande de communication de pièces de la délégation de contrôle, malgré les nombreux échanges, et que la société ne s’est par conformé aux exigences de la mise en demeure dans le délai imparti, ce qui constitue un manquement à l’obligation de coopération prévue à l’article 31 du RGPD.
64. En défense, le responsable de traitement a fait part de difficultés de gestion de la charge de travail induite. Il affirme toutefois, dans un courrier du 6 juillet 2021, avoir consacré près d’un mois complet à répondre la même chose aux services de la CNIL, considérant qu’il s’était mis en conformité avec le RGPD.
65. En premier lieu, la formation restreinte relève que les treize échanges entre la société et la CNIL n’ont pas permis d’aboutir à la communication de l’intégralité des pièces sollicitées lors de l’audition du 5 septembre 2019 (pièces mentionnées ci-dessus au paragraphe 7). Pourtant, de multiples relances ont été adressées en septembre et octobre 2019 à la société par les services de la CNIL, sans succès, et le dernier courrier envoyé par la CNIL par un mail du 8 novembre 2019 étant resté sans réponse. A l’issue de ces nombreux échanges, sur l’intégralité des demandes formulées par la CNIL, la société n’a communiqué que les conditions particulières de location de […], les conditions d’utilisation de […], une indication - sans justificatif - de l’état sur le site de […] des fiches correspondant aux seize saisines reçues par la CNIL et une capture d’écran de la page de téléchargement des bases SIRENE des entreprises du site data.gouv.fr. Ainsi, aucune réponse n’a été apportée sur les échanges entre les plaignants et la société, la communication d’une copie d’une réponse à une demande d’effacement d’une fiche et le dénombrement du nombre d’entreprises individuelles présentes dans la table PROFESSIONNEL 3 de la base de données de la société.
66. En second lieu, la formation restreinte note que, malgré les divers échanges et relances dans le cadre de l’instruction de la mise en demeure, aucune réponse satisfaisante n’a été apportée aux cinq injonctions formulées dans ce cadre.
67. Dans ces conditions, la formation restreinte considère que la société a méconnu l’obligation prévue par l’article 31 du Règlement.
III. Sur les mesures correctrices et la publication de la délibération de sanction
68. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
69. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
70. Sur le prononcé d’une amende et son montant, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société.
71. Concernant l’amende proposée par la rapporteure, la société soutient en défense que son montant est excessif, compte tenu de ses capacités financières.
72. La formation restreinte analyse les critères dressés par l’article 83 de la manière suivante.
73. Tout d’abord, la formation restreinte relève le nombre de manquements et le fait qu’ils constituent des manquements portant atteinte aux droits des personnes et aux principes fondamentaux de la protection des données à caractère personnel, ainsi qu’à l’obligation de coopération avec la CNIL.
74. Ensuite, la formation restreinte considère que ces manquements ont eu des conséquences directes pour les personnes concernées, puisque seize plaintes sont à l’origine de la procédure. En outre, si les difficultés rencontrées dans l’exercice de leurs droits ont conduit seize personnes à saisir la CNIL de plaintes, la CNIL a également constaté que cent trente-cinq demandes d’exercice des droits n’avaient pas été traitées par la société au jour du contrôle.
75. La formation restreinte souligne également la durée particulièrement longue pendant laquelle la société a été accompagnée par les services de la CNIL, qui lui ont adressé de nombreuses demandes dans le cadre de la procédure de contrôle, ainsi qu’une mise en demeure en vue d’aboutir à une mise en conformité. Malgré un accompagnement particulièrement long et minutieux par les services de la Commission, la société n’a pas pris les mesures de nature à lui permettre d’être en totale conformité avec les dispositions du RGPD. Surtout, la société n’a pas coopéré de manière satisfaisante avec les services de la Commission et ce comportement apparaît délibéré.
76. Enfin, la formation restreinte observe que si la société a fini par prendre certaines mesures en vue d’une mise en conformité avec le RGPD, celles-ci ne sont intervenues que tardivement, et uniquement dans le cadre de la procédure de sanction. En outre, la formation restreinte note que la société ne satisfait pas aux demandes de tous les plaignants, ni à toutes les injonctions de la mise en demeure.
77. L’ensemble de ces manquements et leur gravité justifient qu’une amende soit prononcée.
78. S’agissant du montant de l’amende administrative, la formation restreinte note qu’en 2018 le chiffre d’affaires de la société s’est élevé à […], avec un résultat net comptable de […]. En 2019, le chiffre d’affaires de la société s’est élevé à […]avec un résultat net […].
79. Dès lors, au regard des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende de 3000 euros apparaît effectif, proportionné et dissuasif, conformément aux exigences de l’article 83, paragraphe 1, du RGPD, au regard de la taille de l’entreprise et de sa situation financière.
80. Sur la publicité de la décision, la formation restreinte considère que la gravité de certains manquements justifie, par elle-même, la publication de la présente décision.
81. La formation restreinte rappelle en outre que les manquements ont donné lieu à plusieurs plaintes reçues par la CNIL et que les manquements en lien avec l’exercice des droits des personnes sont graves. Elle considère que la publication de sa décision permet d’informer les personnes de l’existence des manquements commis par la société.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la X une amende administrative d’un montant de trois mille (3 000) euros, au regard des manquements constitués aux articles 16, 17, 30 et 31 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission a été saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel. Ce traitement, dont la finalité présente un caractère d’intérêt public, relève de la procédure prévue aux articles 66, 72 et suivants de la loi du 6 janvier 1978 modifiée.
Responsable de traitement
Le centre régional de coordination des dépistages des cancers en Occitanie (CRCDC-OC)
Avis du comité
Avis favorable du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 24 octobre 2019.
Finalité et intérêt public du traitement
Étude portant sur l’évaluation de l’apport de l’utilisation d’une Intelligence Artificielle dans le programme de dépistage organisé du cancer du sein français.
La Commission estime, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi "informatique et libertés".
Elle relève en outre que le projet fait partie des lauréats de l’appel à projets lancé en 2019 par la Plateforme des données de santé ("projet pilote").
Nature des données traitées, incluant des données issues du SNDS historique 
La Commission relève qu’un appariement est envisagé entre la base de données du dépistage organisé du cancer du sein (DOCS) du Gard et de la Lozère et les données du système national des données de santé (SNDS). 
 
Sur la base de données existante
L’extraction du jeu de données de la base du dépistage organisé du cancer du sein (DOCS) du Gard et de la Lozère portera sur les années 2004 à 2019. 
 
Sur les données issues du SNDS, sous réserve de leur disponibilité
 
Le projet nécessite un accès aux données du SNIRAM-DCIR pour les années 2006 à 2019 du PMSI pour les années 2006 à 2019 et du CEPIDC pour les années 2006 à 2016.
 
Le traitement de ces données devra s’effectuer en conformité avec les dispositions des articles L. 1461-1 à L. 1461-7 du code de la santé publique.
 
Sur l’extraction et l’appariement des données
 
L’appariement entre la base du dépistage organisé du cancer du sein (DOCS) du Gard et de la Lozère et les données du SNDS est effectué selon une approche déterministe. 
 
Le CRCDC-OC transmet via la procédure SAFE, le numéro d'inscription au répertoire des personnes physiques (NIR), la date de naissance, le sexe et l’identifiant d’accrochage des personnes concernées à la CNAM qui réalise l’extraction des données du SNDS.
La Commission relève qu’une table de correspondance entre l’identifiant patient et l’identifiant d’accrochage sera conservée par le CRCDC-OC sur l’infrastructure HDS d’Epiconcept, jusqu'à la dernière mise à jour des données du projet, puis sera supprimée.
 
Sur la concaténation finale de la base pseudonymisée
La Commission rappelle que ne devront être transférées dans l’espace de travail de la solution technique de la Plateforme des données de santé que les données strictement nécessaires et pertinentes pour la réalisation des analyses prévues dans le cadre de l’étude.
Les équipes de la Plateforme des données de santé ne seront en charge que de la concaténation des données reçues, ainsi que de la génération d’un numéro pseudonyme. 
Sur l’information et les droits des personnes
La Commission relève qu’une partie des personnes concernées ne sera pas individuellement informée préalablement à la mise en œuvre du traitement ou dans les délais prévus à l’article 14-3-a du RGPD, mais le seront pendant la réalisation de l’étude, par l’envoi d’un courrier d’invitation aux femmes ciblées par le dépistage (74,6% des femmes de l’étude), auquel sera annexé une note d’information. Cet envoi sera réalisé par les Centres Régionaux de de Coordinations des Dépistages des Cancers Occitanie (CRCDC-OC), site du Gard et de la Lozère. L’invitation à réaliser un dépistage étant transmise tous les deux ans, l’ensemble de ces femmes sera informé avant la fin de l’étude. 
 
En application de l'article 69 de la loi "informatique et libertés" modifiée et de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
 
S’agissant des personnes qui ne seront pas informées individuellement (femmes n’étant plus ciblées par le dépistage), la Commission relève que des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes des personnes concernées seront mises en œuvre, notamment par : 
 
la diffusion sur le site web du responsable de traitement (CRCDC-OC) et sur le site web de la Plateforme des données de santé d’une information relative au projet de recherche;
la diffusion d’une note d’information par voie d’affichage dans les cabinets de radiologie adhérents au programme ; 
la publication d’une note d’information dans un journal local.
 
La Commission rappelle que les différents supports d’information relatifs au projet de recherche devront comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données.
 
 
Sur les modalités
 d’exercice des droits :
 
La Commission relève que les droits peuvent s’exercer de la manière suivante : 
 
par courrier auprès du CRCDC-OC, site du Gard et de la Lozère ;
par courriel à l’adresse mail générique créée pour le projet et accessible sur le site web du CRCDC-OC et de la Plateforme des données de santé. 
lors de la réalisation de l’examen de dépistage.
 
Concernant les données issues du SNDS les demandes d’exercice des droits seront adressées à la CNAM. 
 
La Commission relève que le responsable de traitement envisage de restreindre l’exercice des droits des personnes sur la base de données de l’étude en raison de la pseudonymisation des données et de la destruction de la table de correspondance. 
La Commission rappelle que, conformément aux principes de transparence et de loyauté prévus par l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail "Article 29" le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits. La Commission rappelle également que si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD. 
 
Concernant l’équipe de chercheurs, utilisateurs de l’espace projet de la Plateforme des données de santé :
Les utilisateurs de l’espace projet sont informés de la gestion de leurs comptes et de la traçabilité de leurs activités sur la Plateforme des données de santé lors de la lecture et de la signature des conditions générales d’utilisation (CGU). Ces CGU détaillent les modalités d’exercice des droits relatifs à leurs données à caractère personnel.
Mesures de sécurité
(articles 5-1-f et 32 du Règlement général sur la protection des données)
La Commission relève que la sécurité des données de l’espace projet dédié au projet "DEEP-PISTE" dépend essentiellement de la solution technique de la Plateforme des données de santé, qui a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation le 14 mai 2020 selon le référentiel de sécurité du SNDS pour une durée d’un an incluant une réunion de suivi sous une durée de six mois, qui a eu lieu le 20 novembre 2020. 
 
 
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la Commission concernant la solution technique de la Plateforme des données de santé, qui correspond à une bulle sécurisée SNDS et qui hébergera à ce titre le projet "DEEP-PISTE".
Également, le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "DEEP-PISTE" et intégrant les éléments fournis par la Plateforme des données de santé pour sa solution technique 0.9. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 06 novembre 2020, pour une durée de trois ans sous réserve de la mise en œuvre du plan d’action qu’il a défini.
 
La Commission relève que les données seront pseudonymisées avec des identifiants propres aux phases d’extraction, d’appariement et de mise à disposition sur l’espace projet, et que les transferts de données seront chiffrés.
 
La Commission prend acte que la répartition des rôles et responsabilités entre le responsable de traitement et la Plateforme des données de santé, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces ainsi que la gestion des alertes et des incidents est formalisée par une convention. La Commission rappelle que cette convention doit être conforme à l’article 28 du Règlement général sur la protection des données.