AgentPublic/cnil huggingface dataset:
70. En l’espèce, s’agissant des données des patients, la formation restreinte relève que la société CEGEDIM SANTÉ, au moment du contrôle effectué par la CNIL et jusqu’en 2022, collectait de très nombreuses données auprès des médecins panélistes relatives à la fois au dossier administratif des patients, au dossier médical, aux prescriptions pharmaceutiques et aux autres prescriptions. La formation restreinte relève que la société a indiqué, depuis 2022, ne plus collecter d’informations relatives à la catégorie socio-professionnelle, à la situation familiale et au nombre d’enfants. Le code de la région a également été supprimé et la société a indiqué avoir appauvri les mesures de taille et de poids. 
71. La formation restreinte relève que, même si chaque patient se voit attribuer des identifiants différents dans le flux CROSSWAY et dans les fichiers transmis par les médecins à la société CEGEDIM SANTÉ, l’ensemble des données concernant un même patient d’un même médecin reste associé à ce deuxième identifiant dans le jeu de données communiqué à la société CEGEDIM SANTÉ. Dès lors, grâce à l’identifiant du patient qui lui est communiqué, la société CEGEDIM SANTÉ est en mesure de relier à un même identifiant plusieurs fichiers transmis successivement par un même médecin concernant un même patient, ce que la société ne conteste d’ailleurs pas, et de disposer ainsi de son parcours de soins auprès de ce médecin.
72. Ainsi, la formation restreinte relève qu’il est possible d’isoler un individu dans le jeu de données dans la mesure où l’identifiant unique permet de suivre les patients au fil du temps. Dès lors, par nature, le traitement ne résiste pas au risque de l’individualisation tel que décrit dans l’Avis 05/2014 sur les techniques d’anonymisation du 10 avril 2014 précité. 
73. S’agissant par ailleurs des données des médecins, la formation restreinte relève que la société CEGEDIM SANTÉ est en mesure d’identifier, parmi l’ensemble des médecins panélistes et grâce à l’identifiant du médecin, qu’un même médecin lui communique des fichiers.
74. En deuxième lieu, la formation restreinte observe que les données recueillies sont particulièrement riches et la profondeur de données importante : d’une part car la société traite de nombreuses données ; d’autre part car, bien que la société ne conserve les données que trois mois dans sa base, elle récupère via le téléservice HRi des données sur une profondeur de douze mois, qui contiennent des informations relatives à l’historique des remboursements de santé effectués par l’assurance maladie pour un patient. Cet ensemble de données particulièrement riche et exhaustif permet ainsi à la société de retracer les parcours de soin des personnes sur les douze derniers mois, ce qui fait courir un risque encore plus important de levée du pseudonymat.
75. Dans la mesure où les trois critères prévus dans l’Avis 05/2014 sur les techniques d’anonymisation, précité, ne sont pas remplis, la formation restreinte en conclut qu’il convient d’évaluer in concreto le risque de réidentification pour établir le caractère anonyme ou pseudonyme des données.
76. En ce sens, elle observe que le rapporteur est parvenu, dans le cadre de ses écritures, à retracer le parcours d’un enfant de douze ans en ALD à partir d’un jeu de données réduit transmis par la société. Elle relève que pour ce faire, il y a consacré peu de temps et peu de moyens : le rapporteur a mené une analyse à partir des données communiquées par la société en utilisant uniquement le logiciel Excel et la nomenclature communiquée par celle-ci afin d’associer les codes alphanumériques à des informations sur le patient et les actes médicaux prodigués. Dans ce cadre, le rapporteur n’a pas eu recours à des sources de données tierces, par exemple à des données des courtiers en données ( data brokers ) ou encore à des données de géolocalisation. Or, la formation restreinte constate qu’il ressort de la doctrine citée par le rapporteur dans ses écritures qu’il est possible de réidentifier une part significative de personnes dans un jeu de données pseudonymisées à partir de données de géolocalisation (voir notamment les études Unique in the Shopping Mall: On the Re-identifiability of Credit Card Metadata de Yves-Alexandre de MONTJOYE ou encore GeoTrouveTous – projet de réidentification par géolocalisation du laboratoire d’innovation numérique de la CNIL).
77. La formation restreinte relève ainsi qu’une corrélation entre des données tierces et les informations détenues par la société CEGEDIM SANTÉ (notamment les données relatives au patient et les informations relatives à ses consultations) augmenterait considérablement les possibilités de levée du pseudonymat. Si la société conteste détenir des informations géographiques, la formation restreinte rappelle qu’un code région était collecté jusqu’en 2022 et qu’elle détient par ailleurs une table de correspondance entre les numéros de panel des médecins et l’identité de ces derniers. 
78. La société conteste également en défense la possibilité de recourir à des données de tiers pour apprécier le caractère anonyme ou non d’un jeu de données. Or, la formation restreinte rappelle à cet égard que la CJUE a jugé qu’afin de qualifier une information de donnée à caractère personnel, il n’est pas nécessaire que cette information permette, à elle seule, d’identifier la personne concernée. Elle a également estimé que le fait que des informations supplémentaires, y compris des contributions extérieures, sont nécessaires pour identifier la personne concernée, n’est pas de nature à exclure que les données en cause puissent être qualifiées de données à caractère personnel (arrêts OC c/ Commission européenne , §§ 47 et 55, et IAB Europe c/ Gegevensbeschermingsautoriteit , § 51, précités).
79. La formation restreinte souligne en tout état de cause que si le rapporteur est parvenu à isoler un individu et à suivre une partie de son parcours de soins avec un tel niveau de détail, à partir d’un extrait seulement d’un jeu de données considérablement plus riche, et de surcroît sans avoir recours à des informations supplémentaires, alors il apparaît possible de lever le pseudonymat des individus par des moyens raisonnables. La formation restreinte relève à ce titre la richesse des données détenues par la société : elle a reçu plus de […] lignes entre le 1er janvier 2021 et le 2 avril 2021 (une ligne correspondant à un événement, par exemple une consultation), détenait […] codes patients sur la période de janvier à mars 2021 et […] codes prescripteurs en avril 2021.
80. Par ailleurs, si le rapporteur n’a pas nommément levé le pseudonymat de l’enfant dont il a suivi une partie du parcours de soins, la formation restreinte rappelle que cette condition n’est pas nécessaire à la qualification de donnée à caractère personnel. En effet, la CJUE a jugé dans l’arrêt OC c/ Commission qu’il n’est pas nécessaire d’apporter la preuve d’une identification effective, puisqu’ une telle condition n’est pas prévue à l’article 3, point 1, du règlement 2018/1725, celui-ci se limitant à exiger qu’une personne soit identifiable (§ 61). La formation restreinte considère qu’il convient de raisonner par analogie s’agissant du RGPD, puisque la définition posée à l’alinéa 1 de l’article 4 du RGPD est exactement la même.
81. En troisième lieu, la formation restreinte rappelle que lorsque les trois critères posés par l’avis du G29 précité ne sont pas remplis, la société doit mener une analyse pour être en mesure de démontrer que les risques de réidentification induits par le processus sont négligeables. Or, la société n’a pas mené une telle analyse s’agissant des constats faits au moment du contrôle de la CNIL. Ce n’est qu’en octobre 2023 que la société indique avoir mené une telle analyse, laquelle ne vaut donc que pour le traitement des données postérieur à 2022. De surcroît, pour évaluer les risques de réidentification, la formation restreinte relève que la société a fait le choix de ne combiner qu’un nombre réduit de données parmi l’ensemble des données dont elle dispose, rendant ainsi le résultat de son étude insuffisamment fiable (en l’espèce, elle a choisi de ne combiner dans son évaluation que l’année de naissance du patient, son sexe et l’information selon laquelle il a ou non des enfants, alors qu’elle disposait de très nombreuses autres données dont notamment le poids et la taille approximatifs, l’historique des consultations, les prescriptions et leur durée, les antécédents médicaux, les constantes physiologiques (glycémie, tension, etc.) et les pathologies diagnostiquées).
82. S’agissant des conclusions de l’évaluation menée par la société […], fournie lors du contradictoire, la formation restreinte considère qu’elles ne remettent pas en cause cette appréciation. En effet, l’évaluation ne porte pas sur le traitement tel que constaté au jour du contrôle mais uniquement sur celui mis en œuvre postérieurement, lequel inclut de nouvelles mesures, consistant notamment en l’appauvrissement de la profondeur des données traitées. Dès lors, l’évaluation ne permet pas de démontrer l’anonymat des données au jour du contrôle. 
83. En tout état de cause, la formation restreinte relève que l’expertise de la société […] n’intègre pas, dans son évaluation de la robustesse des techniques de dé-identification […] et des résultats obtenus quant à l’anonymat des ensembles de données , l’ensemble des facteurs permettant de représenter la richesse des données telle qu’elle résulte du suivi durant plusieurs années des mêmes personnes.
84. Enfin et surtout, la formation restreinte note que l’expertise de la société […] arrive à la même conclusion que le rapporteur s’agissant de la possibilité d’isoler un individu dans la base détenue par la société CEGEDIM SANTÉ, l’expertise arrivant également à la conclusion que le k-anonymat est égal à 1, c’est-à-dire qu’il est possible d’isoler un individu dans la base de données. Le k-anonymat est en effet un modèle de mesure de la confidentialité garantissant qu’il existe pour chaque identifiant au sein d’un jeu de données une classe d’équivalence correspondante contenant au moins K-enregistrements. La formation restreinte constate ainsi que bien que l’expertise […] ne conclut pas à la possibilité de réidentification des individus, elle conclut à la possibilité d’isoler un individu dans le jeu de données, ce qui correspond déjà au premier des trois types de risques identifiés par le G29 dans son Avis 05/2014 sur les techniques d’anonymisation du 10 avril 2014 précité.
85. La seconde phase de l’expertise consiste à effectuer une analyse de risques pour étudier quelle est la vraisemblance que les données détenues par la société soient rendues accessibles, par exemple, en cas de violation de données, à des personnes en capacité de rattacher ces données aux identités exactes des patients. La formation restreinte relève le haut niveau de sécurité mis en avant par la société. En revanche, elle conclut que l’exercice mené porte sur le risque d’accès aux données et de probabilité de violation des données. Or, le niveau de sécurité mis en place afin d’assurer la confidentialité des données, aussi élevé soit-il, est sans incidence sur la qualification des données traitées.
86. Il résulte de l’ensemble de ce qui précède qu’au jour du contrôle et jusqu’en 2022, les données directement identifiantes étaient remplacées par des données indirectement identifiantes, à savoir un identifiant unique pour le patient concerné, ce qui permettait de traiter ses données sans pouvoir l’identifier de manière directe. Néanmoins, le pseudonymat pouvait être levé tant la richesse des informations était importante. 
87. Dès lors, la formation restreinte considère que les données traitées par la société CEGEDIM SANTÉ jusqu’en 2022 sont pseudonymes et non anonymes.
88. La formation restreinte prend note des mesures complémentaires mises en place par la société depuis 2022, à savoir qu’elle ne collecte plus certaines données et que, pour d’autres, elle ne collecte plus le même niveau de granularité. La société estime qu’ainsi modifié, son traitement est anonyme. Cependant, la formation restreinte estime que l’analyse de l’état nouveau du traitement n’était pas l’objet initial de la procédure et qu’elle n’est pas en état de se prononcer sur ce point dans le cadre de la présente décision. Elle invite la société, si elle le souhaite, à saisir la CNIL d’une demande de conseil pour qu’il soit statué sur le caractère anonyme ou non de la base dans son nouvel état. 
2) Sur la qualification du traitement en entrepôt de données de santé
89. La société soutient que le traitement qu’elle met en œuvre n’est pas un entrepôt de données de santé, mais un réseau de médecins qui acceptent de transmettre des données anonymes issues de leurs dossiers médicaux aux partenaires de la société CEGEDIM SANTÉ, à savoir les sociétés […] et […]. Elle estime notamment que la nature transitoire du flux, dans lequel les données ne sont conservées que trois mois, démontre qu’il ne s’agit pas d’une base de données pérenne tel un entrepôt.
90. La formation restreinte rappelle que la notion d’entrepôt de données de santé n’est pas dans la loi Informatique et Libertés mais constitue une construction doctrinale de la CNIL pour l’application des articles 65 et suivants de cette loi. Elle s’apprécie à l’aide d’un faisceau d’indices prenant en compte notamment, mais pas uniquement, la durée de conservation des données. Parmi les éléments déterminants d’une qualification en entrepôt de données de santé figurent ceux de la réutilisation des données dans des traitements ultérieurs, de l’alimentation au fil de l’eau de la base ainsi que des finalités du traitement. 
91. En l’espèce, la formation restreinte constate qu’il ressort des pièces du dossier que la société CEGEDIM SANTÉ : 
- collecte massivement des données de santé de patients et de médecins (plus de […] lignes reçues dans la base entre le 1er janvier 2021 et le 2 avril 2021 - une ligne correspondant à un événement, par exemple une consultation ; […] codes patients détenus sur la période de janvier à mars 2021 ; […] codes prescripteurs détenus en avril 2021) ; 
- alimente sa base au fil de l’eau, afin d’obtenir un volume important de données (remontée journalière des données depuis les postes des médecins) ; 
- met les données à disposition de ses clients qui réalisent des études et des statistiques dans le domaine de la santé. Figure parmi ces clients la société […].
92. La formation restreinte prend acte des modifications substantielles apportées au traitement et effectives au 1er juin 2024. Plus particulièrement, la remontée des données depuis le poste des médecins vers la société […] n’est plus opérée par l’intermédiaire de la société CEGEDIM SANTÉ. Depuis la fin du mois de juillet 2024, la société CEGEDIM SANTÉ n’intervient plus dans la gestion du flux CROSSWAY issu des logiciels des médecins, ces derniers alimentant directement la base […] détenue par la société […]. 
93. Au regard de ce qui précède, la formation restreinte estime que la société se constituait un entrepôt de données de santé au moment du contrôle par la CNIL et ce, jusqu’à la réorganisation effective au 1er juin 2024 par laquelle les données ne transitent plus via CEGEDIM SANTÉ. 
3) Sur le statut de la société en termes de responsabilité de traitement
94. Aux termes de l’article 4 du RGPD, le responsable du traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (point 7) et le sous-traitant est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement (point 8).
95. À titre d’éclairage, dans ses lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées le 7 juillet 2021, le CEPD explicite la définition du responsable de traitement en ces termes : La détermination des finalités et des moyens revient à décider respectivement du “pourquoi” et du “comment” du traitement : pour une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé la raison pour laquelle le traitement a lieu (c’est-à-dire “à quelles fins” ou “pourquoi”) et comment cet objectif sera atteint (c’est-à-dire quels moyens doivent être mis en œuvre pour atteindre l’objectif). Une personne physique ou morale qui exerce cette influence sur le traitement de données à caractère personnel participe ainsi à la détermination des finalités et des moyens du traitement en question, conformément à la définition énoncée à l’article 4, paragraphe 7, du RGPD. Le responsable du traitement doit décider à la fois des finalités et des moyens du traitement […]. (§§ 35 et 36).
96. S’agissant de la sous-traitance, les lignes directrices précitées précisent que L’article 4, paragraphe 8, du RGPD définit un sous-traitant comme étant la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement et que Pour être considéré comme un sous-traitant, deux conditions de base doivent être satisfaites :
a) être une entité distincte du responsable du traitement et
b) traiter des données à caractère personnel pour le compte du responsable du traitement (§§ 73 et 76).
97. Le rapporteur considère que la société CEGEDIM SANTÉ définit les finalités et moyens du traitement en cause et constitue un entrepôt de données de santé pour les besoins de sa propre activité, pour mettre ensuite les données à disposition de ses clients qui les réutilisent dans le cadre d’études et de statistiques dans le domaine de la santé.
98. En défense, la société indique intervenir en tant que sous-traitant, d’une part, des médecins utilisant le logiciel CROSSWAY et, d’autre part, des sociétés […] et […] pour lesquelles elle opère le flux CROSSWAY. Elle fait valoir que la détermination des finalités et moyens du traitement invoquée par le rapporteur ne vaut que pour la gestion et le recrutement d’un panel de médecins par la société CEGEDIM SANTÉ, et non pour l’obtention des données des patients de ces derniers. Ainsi, elle soutient ne pas poursuivre de finalités propres pour l’usage des données issues de ce flux et limiter son intervention à un rôle d’intermédiaire technique pour la remontée des données du flux CROSSWAY depuis le poste des médecins vers les sociétés partenaires.
99. La société cite à l’appui de ses déclarations un courrier de clôture de contrôle du 26 novembre 2014 à l’encontre de la société CEGEDIM LOGICIELS MEDICAUX FRANCE (dissoute en 2021 et dont l’intégralité de l’activité a été reprise par la société CEGEDIM SANTÉ) dans lequel la CNIL aurait reconnu à la société ce statut de sous-traitant. Elle estime que ce courrier trouve toujours à s’appliquer dans la mesure où les circonstances de fait et de droit, applicables à la qualification des parties n’ont pas évolué et que le courrier constitue un acte valablement adopté par une personne ayant autorité pour représenter et engager la CNIL, à savoir la Présidente de la Commission. En outre, elle soutient que l’ancienneté du courrier ne saurait être un argument valable dans la mesure où l’acception de la notion d’anonymat n’a pas été modifiée de manière substantielle par le RGPD ou la loi Informatique et Libertés depuis. 
100. En premier lieu, la formation restreinte relève que dans l’analyse d’impact qu’elle a conduit, la société s’est désignée en qualité de responsable du traitement de son observatoire et non uniquement pour le recrutement du panel de médecins. Il ressort par ailleurs des pièces du dossier que la société CEGEDIM SANTÉ encadre par des contrats la collecte de données auprès des médecins éligibles souhaitant adhérer à son observatoire épidémiologique , et définit également les modalités de transmission de ces données à ses partenaires […] et […].
101. S’agissant des finalités du traitement, la formation restreinte note que la société détermine le périmètre et les finalités de l’utilisation des données de son observatoire vis-à-vis de ses partenaires. Plus particulièrement, le contrat conclu avec la société […] stipule que l’usage autorisé [des données] est le suivant : réalisation directement ou par personne interposée d’analyses ou études liées à la santé et l’avenant au contrat conclu avec la société […] prévoit notamment qu’elle n'utilisera les données relatives aux prescriptions médicales transmises par CLM [CEGEDIM SANTÉ] que pour réaliser des études. Les résultats des études ne seront commercialisés que sous la forme de statistiques. Toute autre forme de commercialisation des données est interdite (traduction libre). Par ailleurs, la société définit le périmètre des participants à l’observatoire en proposant l’adhésion et l’utilisation du logiciel CROSSWAY à un panel représentatif de médecins de ville, éligibles en fonction de critères géographiques, d’âges et de spécialités.
102. S’agissant des moyens du traitement, la formation restreinte relève que les contrats conclus entre la société et les médecins panélistes ne portent pas uniquement sur le simple recrutement des médecins mais détaillent les moyens du traitement, dont les modalités de collecte et de transmission des données. Tels que conçus, les contrats imposent par exemple aux médecins les conditions de participation au réseau et de transmission des données à la société, notamment s’agissant des catégories de données qui sont collectées, des modalités de communication des données et de la fréquence de leur collecte.
103. La formation restreinte considère qu’il ressort des pièces du dossier que la société CEGEDIM SANTÉ détermine les finalités et les moyens du traitement en cause, qu’elle organise le traitement pour répondre à ses propres besoins et afin de mettre en œuvre son observatoire et qu’elle ne reçoit pas de directive à exécuter. 
104. La formation restreinte précise que la transmission des données à des partenaires tiers, qui réutiliseront les données pour leur propre compte, ne fait pas obstacle à la qualification de responsable de traitement de la société CEGEDIM SANTÉ. En cas de traitements en chaîne , chacune des sociétés intervient en tant que responsable de traitement, déterminant les moyens pour le traitement qu’elle met en œuvre pour les finalités qui lui sont propres.
105. En second lieu, la formation restreinte estime que le traitement ne peut être apprécié qu’en tenant compte des constats effectués lors de la mission de contrôle du 30 mars 2021 et à la lumière de la doctrine et de l’état de l’art actuels. La formation restreinte ne s’estime pas liée par les constats effectués lors de la mission de contrôle de 2012. 
106. La formation restreinte relève d’abord que le droit à la protection des données à caractère personnel a connu des évolutions conséquentes depuis le courrier de clôture de contrôle adressé à la société CEGEDIM LOGICIELS MEDICAUX FRANCE en 2014, lequel faisait suite à des missions de vérifications menées en 2001 et mars 2012. Ce courrier est par ailleurs antérieur à l’entrée en vigueur du RGPD, texte de référence en matière de protection des données à caractère personnel. Les évolutions de la doctrine s’expriment particulièrement dans la terminologie utilisée, le courrier faisant mention de l’anonymat du patient , à un moment où la notion d’anonymat faisait référence à l’absence de données directement identifiantes, et non à l’impossibilité d’identifier une personne physique à partir d’un jeu de données.