AgentPublic/cnil huggingface dataset:
151. Au regard de ce qui précède, la formation restreinte estime que le manquement à l’article 5, paragraphe 1, a) du RGPD est constitué s’agissant de la collecte de données issues du téléservice HRi.
III. Sur le prononcé de mesures correctrices et la publicité
152. L’article 20, paragraphe IV, de la loi Informatique et Libertés dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou après avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues au III, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° A l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
153. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe IV, de la loi Informatique et Libertés, prévoit quant à lui que Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
154. La société fait valoir qu’elle a de bonne foi considéré qu’elle ne traitait pas de données à caractère personnel. Elle relève qu’une action répressive a été déclenchée à son encontre plus de deux ans après les contrôles sans que la CNIL ne lui ait préalablement notifié sa position divergente sur l’appréciation de la nature des données traitées et ne lui a donc pas donné l’occasion de procéder aux formalités requises. Elle soutient également que la CNIL avait connaissance du traitement mis en œuvre par la société depuis les contrôles menés auprès de CEGEDIM LOGICIELS MEDICAUX en 2002 et 2012 sans qu’il n’ait été demandé à la société de déposer une demande d’autorisation. Enfin, la société indique que, compte tenu de son statut de sous-traitant, elle ne peut être considérée comme responsable des manquements allégués, les dispositions de l’article 66 de la loi Informatique et Libertés et de l’article 5, paragraphe 1, a) du RGPD énonçant des obligations applicables aux responsables de traitement uniquement.
155. S’agissant du montant de l’amende proposé par le rapporteur, la société considère qu’il est disproportionné et qu’il n’est pas démontré comment la part du chiffre d’affaires de la société CEGEDIM SANTÉ relative à l’activité de l’observatoire a été prise en compte dans la détermination de ce montant.
156. En premier lieu, la formation restreinte relève que les manquements constatés aux dispositions de l’article 66 de la loi Informatique et Libertés et de l’article 5, paragraphe 1, a) du RGPD lui sont imputables en sa qualité de responsable du traitement en cause. 
157. En deuxième lieu, pour évaluer le bien-fondé du prononcé d’une amende, la formation restreinte souligne qu’il convient de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement, compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées par ce dernier.
158. La formation restreinte considère que les manquements constatés sont graves. En effet, tant le RGPD que la loi Informatique et Libertés prévoient un principe d’interdiction de traitement des catégories particulières de données, dont font partie les données de santé. Le régime prévu par la section 3 ( Traitements de données à caractère personnel dans le domaine de la santé ) du chapitre III ( Obligations incombant au responsable de traitement et au sous-traitant ) de la loi Informatique et Libertés constitue donc une exception à ce principe d’interdiction de traitement, qui doit être interprétée strictement. Le strict respect des dispositions de cette section par les responsables de traitements qui souhaitent traiter des données de santé est donc essentiel pour ne pas porter atteinte aux droits fondamentaux des personnes concernées. Or, en l’espèce, la formation restreinte relève que la société n’a pas respecté les obligations lui incombant en vertu de l’article 66 de la loi du 6 janvier 1978 modifiée. En outre, en collectant les données issues du téléservice HRi, dont l’usage et l’accès sont pourtant strictement encadrés, la société a enfreint le principe de licéité de traitement des données à caractère personnel et ce à des fins commerciales, élément qui doit être pris en compte dans la détermination du montant de l’amende.
159. La formation restreinte relève par ailleurs le caractère massif du traitement. En effet, le nombre de lignes reçues entre le 1er janvier 2021 et le 2 avril 2021 par la société CEGEDIM SANTÉ est de plus de […], ce qui est considérable et démontre l’ampleur du traitement en cause. Cette ampleur et la richesse des données traitées se reflètent également dans leur profondeur historique, la société récupérant via le téléservice HRi des données sur une profondeur de douze mois.
160. En troisième lieu, la formation restreinte estime qu’il ne peut être reproché à la CNIL de ne pas avoir demandé à la société de régulariser son traitement plus tôt, alors qu’elle avait connaissance de celui-ci avant le contrôle réalisé en 2021. La formation restreinte rappelle qu’en application du principe de responsabilité introduit aux articles 5, paragraphe 2, et 24 du RGPD, il appartient aux acteurs de se renseigner sur leurs obligations et de réaliser les démarches nécessaires afin d’être en conformité. La formation restreinte estime en application du critère prévu à l’alinéa b) de l’article 83, paragraphe 2, du RGPD que la société a fait preuve de négligence en considérant qu’elle pouvait, pour mettre en œuvre des traitements de données de santé, s’abstenir de respecter l’article 66 de la loi Informatique et Libertés. Dans la mesure où le traitement de données de santé est l’objet principal et historique de l’activité de la société, la formation restreinte considère que la société ne pouvait pas, de bonne foi, ignorer ses obligations découlant de la règlementation relative à la protection des données à caractère personnel, particulièrement en tant qu’acteur spécialisé dans le domaine de la santé et au regard de la doctrine disponible susmentionnée, d’autant plus que d’autres sociétés mettant en œuvre des traitements similaires sur le même marché ont demandé des autorisations à la CNIL et que ces autorisations sont publiques.
161. En quatrième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa g) de l’article 83, paragraphe 2, du RGPD relatif aux catégories de données à caractère personnel concernées par les manquements.
162. La formation restreinte rappelle que les données concernées sont notamment des données de santé, lesquelles sont des catégories particulières de données au sens de l’article 9 du RGPD, dites données sensibles . Compte tenu de la nature des données en cause, et du secteur dans lequel elle intervient, la formation restreinte considère que la société aurait dû faire preuve d’une vigilance particulière en ce qui concerne le traitement qu’elle met œuvre. 
163. En dernier lieu, la formation restreinte relève qu’en application des dispositions de l’article 20, paragraphe IV, de la loi Informatique et Libertés, la société CEGEDIM SANTÉ encourt une sanction financière d’un montant maximum de 20 millions d’euros ou 4 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Elle relève que le chiffre d’affaires de la société CEGEDIM LOGICIELS MEDICAUX France, dont la société CEGEDIM SANTÉ a repris l’intégralité des activités, était de […] en 2021.
164. Dès lors, au regard des manquements constatés, des capacités financières de la société et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de huit cent mille euros (800 000 €) apparaît justifiée.
B. Sur le prononcé d’une injonction 
165. D’une part, s’agissant de l’injonction proposée par le rapporteur d’anonymiser les données ou de mettre en conformité le traitement avec les dispositions de l’article 66 de la loi du 6 janvier 1978 modifiée, la formation restreinte relève que la société a fait part de modifications substantielles du traitement au cours de la procédure de sanction. D’après les informations communiquées par la société dans ses observations en défense, les données du flux CROSSWAY sont désormais transmises directement à la société […], sans l’intermédiaire de la société CEGEDIM SANTÉ.
166. En conséquence, il n’y a, en tout état de cause, pas lieu de prononcer une injonction de mise en conformité avec les dispositions de l’article 66 de la loi du 6 janvier 1978 modifiée pour le traitement opéré par la société CEGEDIM SANTÉ, cette société n’intervenant plus dans ce cadre.
167. D’autre part, la société demande, si la formation venait à retenir le manquement à l’article 5, paragraphe 1, a) du RGPD, que la proposition du rapporteur lui enjoignant de cesser la collecte des données issues du téléservice HRi ne soit pas suivie. Elle propose, à titre subsidiaire, de modifier le logiciel CROSSWAY de manière à supprimer la fonctionnalité de téléchargement automatique des données HRi par les médecins et de ne prévoir un téléchargement de ces données dans le dossier patient que sur action positive des médecins.
168. La formation restreinte prend acte que la société est disposée, en sa qualité d’éditrice du logiciel, à faire évoluer le flux CROSSWAY afin que le traitement soit conforme aux dispositions applicables. En outre, pour les raisons rappelées ci-dessus, essentiellement liées au fait que la société CEGEDIM SANTE n’est plus depuis ce mois de juillet responsable du traitement mais uniquement éditrice du logiciel, la formation restreinte considère qu’il n’y a pas lieu de prononcer une injonction. 
C. Sur la publicité 
169. Le rapporteur considère que la publicité de la sanction est nécessaire au regard de la gravité des manquements en cause et du nombre de personnes concernées. Il estime que la publicité contribuera à informer les personnes concernées de l’existence du traitement de leurs données, y compris de données de santé, dont la grande majorité n’a pas connaissance.
170. En défense, la société conteste la proposition du rapporteur de rendre publique la présente décision et fait valoir que si le manquement était aussi grave que le prétend le rapporteur, la CNIL ne l’aurait pas laissé perdurer sans action correctrice depuis 2014. Elle ajoute que la publicité de la délibération lui causerait un préjudice commercial et créerait un risque de divulgation d’informations sur l’hébergement et la transmission des données pouvant porter atteinte à la sécurité des données.
171. La société ajoute qu’elle ne dispose pas des moyens financiers de communiquer auprès des médecins afin de les convaincre de poursuivre leur adhésion à l’observatoire et que, de manière générale, la publicité de la sanction lui ferait encourir un risque réel quant à sa survie et au regard de sa santé financière précaire.
172. Enfin, elle estime que le rapporteur ne saurait utilement invoquer, pour justifier de la publicité de la sanction, la nécessité d’assurer l’information des personnes sur les traitements mis en œuvre par la société, alors qu’il ne retient aucun manquement relatif à l’information des personnes, que les personnes ont été informées individuellement par leur médecin de l’existence du traitement et que la société n’a aucun contact direct avec les personnes concernées.
173. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et du nombre de personnes concernées. Elle rappelle qu’en cas de publicité, les informations relevant du secret des affaires, visées à l’article L. 151 du code de commerce, sont occultées des décisions publiées par la formation restreinte. S’agissant de l’argument concernant l’impact d’une publicité sur ces relations avec les médecins partenaires, elle souligne que la société aura la possibilité de communiquer auprès de ses partenaires sur les actions qu’elle aura mises en œuvre pour se conformer à ses obligations.
174. S’agissant de l’information des personnes, la formation restreinte estime que bien qu’il ne soit pas fait grief à la société de ne pas avoir informé les personnes concernées du traitement existant dans la présente procédure, il apparaît essentiel que les personnes concernées aient connaissance des manquements commis par la société afin, notamment, de pouvoir faire valoir leurs droits.
175. La mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société CEGEDIM SANTÉ d’un montant de huit cent mille euros (800 000 €) au regard des manquements à l’article 66 de la loi n° 78-17 du 6 janvier 1978 modifiée et à l’article 5, paragraphe 1, a) du RGPD ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
 M. Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
Réutilisation des données d’une base existante
Les données des études nationales de coûts (ENC) collectées entre 2009 et 2023 par l'Agence technique de l'information sur l'hospitalisation (ATIH) (demande d’autorisation n° 1252075) seront réutilisées dans le cadre de la présente étude.
Information et droits des personnes
En application de l'article 14 du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de l’ATIH d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
Mesures de sécurité
Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du Règlement général sur la protection des données. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement reste pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Durée d’accès
2 ans à compter de la mise à disposition des données.
 
AUTORISE L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus.
 
La cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024.
Observations liminaires
sur le déploiement de la
plateforme Ouest Data
Hub et la responsabilité
de traitement
Chaque établissement du Groupement de coopération sanitaire des Hôpitaux universitaires du Grand Ouest (GCS HUGO) a développé un entrepôt de données de santé (EDS) à partir d’une plateforme technique identique : le système eHOP ( "entrepôt-Hôpital").
 
Le GCS HUGO s’est doté d’une plateforme technique pour le traitement des données massives en santé, dénommée plateforme Ouest Data Hub (ODH). Il est responsable de l’intégration des données sur la plateforme technique, de la pseudonymisation des données de la base projet (deuxième pseudonymisation), de la création de la base projet, de la gestion des comptes utilisateurs projet, de l’attribution des droits sur la base projet, du suivi des traces d’activité des gestionnaires HUGO et des utilisateurs sur l’espace projet.
 
Dans le cadre du déploiement de la plateforme ODH, le CHU de
Nantes :
est responsable de l’hébergement des données et de l’exploitation technique de la plateforme ;
met à disposition un espace projet dédié, des outils de gestion des comptes et de gestion des traces d’activité sur la plateforme ;
est responsable de la gestion des comptes gestionnaires.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et, d’autre part, que le responsable de traitement souhaite traiter des données du Système national des données de santé (SNDS) mises à disposition par la CNAM. Ainsi, ce traitement devra être mis en œuvre conformément à la MR-004, à l’exception des modalités d’information des personnes concernées et de la nature des données traitées.
Réutilisation des données
d’une base existante 
Les données des entrepôts suivants seront réutilisées dans le cadre de la présente étude :
l’entrepôt du Centre hospitalier universitaire d’Angers dénommé eHop Angers (demande d’autorisation n°2215237 - Décision DT-2020-003 du 24 août 2020) ;
l’entrepôt du Centre hospitalier universitaire de Brest (demande d'autorisation n° 2217775) ;
l’entrepôt du Centre hospitalier universitaire de Nantes dénommé eHop (demande d’autorisation n°2129203 – délibération n° 2018-295 du 19 juillet 2018) ;
l’entrepôt du Centre hospitalier universitaire de Rennes, dénommé eHop Rennes (demande d’autorisation n° 2212496 - délibération n°2020-028 du 27 février 2020) ;
l’entrepôt du Centre hospitalier universitaire de Tours (demande d’autorisation n° 2212853)
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2011 à 2021, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail CNAM
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
S’agissant des patients ayant reçu une note d’information individuelle lors de leur admission dans les centres participants comportant un dispositif spécifique d’information auquel ils peuvent se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir de leurs données :
 
Une note d’information qui devra comporter l’ensemble des mentions prévues par le RGPD sera diffusée sur le site web du responsable de traitement, des centres participants, ainsi que sur celui de la plateforme "Ouest Data Hub"
 
S’agissant des autres patients :
 
En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement