AgentPublic/cnil huggingface dataset:
69. Elle ajoute qu’il est relativement rare que la CNIL sanctionne des organismes sur le fondement de l’article 30 du RGPD et que les décisions qui visent ce manquement concerneraient des faits plus graves (absence totale de registre, absence de mise en conformité après une mise en demeure, etc.).
70. La formation restreinte relève que la société […] met en œuvre un registre des activités de traitement, tenu en commun avec la société […], rachetée par elle, pour des traitements relatifs aux ressources humaines ou aux activités de prospection.
71. La formation restreinte note que ledit registre ne distingue pas quelle société agit en qualité de responsable de traitement pour l’activité en question. En effet, il n’est pas précisé pour les activités de ressources humaines ou de prospection si c’est la société […] ou la société […] qui agit en qualité de responsable de traitement. Or la société […] aurait dû, au regard du nombre de données traitées et de son activité, veiller au caractère exhaustif, précis et à jour de son registre des activités de traitement.
72. Il résulte de ce qui précède que le manquement à l’article 30 du RGPD est caractérisé.
73. La formation restreinte note que la société a mis à jour son registre des activités de traitement qui est désormais conforme aux exigences du RGPD.
C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel
74. L’article 32, paragraphe 1, du RGPD prévoit que "Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment "des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une "procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
75. La rapporteure relève que dans le cadre du contrôle effectué sur place le 19 mai 2022, la société a indiqué qu’"il existe un seul compte administrateur de la base de données. Il est partagé par Monsieur […] et le directeur technique ". Elle considère que cette pratique n’est pas conforme aux exigences de sécurité et rappelle que conformément aux règles élémentaires relatives à la sécurité des systèmes d’information, pour être efficace, un mot de passe doit demeurer secret et individuel. Or, l’utilisation de comptes non individuels ne permet pas d’identifier de façon précise les connexions et de tracer les usages et actions réalisées par les personnes ayant accès au compte administrateur.
76. En défense, la société affirme que l’authentification et l’accès à la base de données sont rendus possibles via deux étapes d’authentification : une connexion par VPN grâce à une clé d’authentification individuelle et une seconde étape d’authentification au compte d’administration partagé entre les deux salariés habilités. La connexion VPN se fait grâce à un processus d’édition de clés d’authentification individuelles, les clés n’étant pas partagées entre les salariés.
77. Elle ajoute que les arguments de la rapporteure ne sont pas pertinents au regard de la taille et de la structure de […].
78. La formation restreinte considère que la connexion au VPN au moyen de clés d’authentification individuelles constitue une bonne pratique et qu’elle permet, au regard du nombre restreint de personnes accédant au compte d’administration et de leur qualité, d’imputer les accès et actions effectuées au sein de la base de données par un compte administrateur partagé en cas de nécessité.
79. La formation restreinte conclut, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes physiques, que la société avait mis en œuvre les mesures techniques appropriées afin de garantir un niveau de sécurité adapté au risque.
80. Il résulte ce qui précède que le manquement à l’article 32 du RGPD n’est pas constitué.
II. Sur le prononcé de mesures correctrices
81. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : "lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination
du montant de l'amende, les critères précisés au même article 83 ".
82. L’article 83 du RGPD prévoit quant à lui que : "Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
83. La société indique qu’elle estime que le montant proposé par la rapporteure, de cinq-cent-mille euros, n’est pas proportionné au regard de la gravité des faits reprochés. La société évoque les lignes directrices 04/2022 du CEPD du 12 mai 2022 sur le calcul du montant des amendes administratives. A la lumière de ces lignes directrices, elle rappelle que les traitements entrepris n’emportent pas une sensibilité particulière, que le traitement n’est pas transfrontalier, que le préjudice subi par les prospects n’est pas substantiel et qu’elle n’a pas souhaité tromper les prospects dans le cadre de la collecte des données.
84. En premier lieu, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
85. S’agissant de l’obligation de disposer d’une base légale pour les traitements mis en oeuvre, la formation restreinte insiste d’abord sur le fait que l’écosystème de la revente de données de partenaires en partenaires exige des garanties particulièrement fortes quant à la qualité et à la validité du consentement obtenu par le primo-collectant des données et dont les partenaires se prévalent à des fins de prospection commerciale. Elle rappelle que l’absence de recueil d’un consentement valide prive de base légale la transmission des données de prospects à des partenaires, qui apparait dès lors illicite. Elle considère que les exigences doivent être particulièrement renforcées s’agissant des modalités de recueil du consentement des utilisateurs des sites web édités par la société, dont l’objet est d’offrir des perspectives de gains, ces personnes n’ayant pas nécessairement conscience de la portée de leur accord dans le cadre de leur inscription. Elle souligne également que la base de données de prospects de la société compte environ six millions de prospects.
86. La formation restreinte note également que, en transmettant des données de prospects à ses partenaires à des fins d’opérations techniques et de qualification alors que ce traitement relève de la prospection commerciale et que les personnes concernées n’ont pas spécifiquement consenti à cette transmission, la société […] ne disposait pas d’une base juridique. La formation restreinte relève que la société a cessé cette pratique.
87. S’agissant du manquement à l’obligation de mettre en œuvre un registre des activités de traitement, la formation restreinte estime que même si ce manquement est de faible gravité, le prononcé d’une amende apparaît justifié.
88. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 6 et 30 du RGPD.
89. En deuxième lieu, s’agissant du montant de l’amende administrative, la formation restreinte rappelle que certaines violations du RGPD relevées comportent des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
90. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte.
91. Dès lors, au regard de la responsabilité de la société, de ses capacités financières, de sa coopération au cours de la procédure et des critères pertinents de l’article 83, paragraphe 2, du RGPD, la formation restreinte estime qu’une amende de soixante-quinze mille euros apparaît justifiée.
92. En troisième lieu, s’agissant du prononcé d’une injonction, la formation restreinte relève que le consentement recueilli par le biais du formulaire de collecte proposé par la société dans le cadre de ses premières observations et visé aux paragraphes 47 et 48 ne présente toujours pas un caractère univoque. La formation restreinte considère qu’il est nécessaire de prononcer une injonction sur ce point.
93. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une astreinte d’un montant de mille (1 000) euros par jour de retard et liquidable à l’issue d’un délai d’un mois.
94. En quatrième lieu, s’agissant de la publicité de la sanction, la société soulève les conséquences désastreuses pour sa réputation en la désignant comme un acteur négligent alors même qu’elle est réellement investie dans le respect des normes du RGPD. Cette publicité impacterait aussi bien sa réputation auprès de ses partenaires économiques que des internautes. Elle demande donc que la décision ne soit pas publique ou, à défaut, qu’elle soit anonymisée dans les quinze jours suivant la publication.
95. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité de certains des manquements en cause, de la portée du traitement et du nombre de personnes concernées, soit environ 6 millions de prospects.
96. Elle relève également que cette mesure permettra d’informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits auprès de la société.
97. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société […] d’un montant de soixante-quinze mille ( 75 000 €) pour manquements aux articles 6 et 30 du RGPD ;
• prononcer à l’encontre de la société […] une injonction de mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairée et univoque quant à la transmission de leurs données à caractère personnel à des partenaires à des fins de prospection ;
• assortir l’injonction d’une astreinte de mille (1 000) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement d’intérêt public " Plateforme des données de santé " (GIP PDS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé " EMC2 " ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III (loi " informatique et libertés ") ;
Vu le code de la santé publique (CSP) ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le groupement d’intérêt public dénommé " Plateforme des données de santé " (GIP PDS), dont les missions sont précisées à l’article L. 1462-1 du CSP, est le responsable de traitement.
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données de santé (délibération n° 2021-118 du 7 octobre 2021 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé), à l’exception :
des sources des données collectées ;
des catégories de données concernées ;
des sous-traitants ;
des mesures de sécurité relatives au cloisonnement de certaines données.
Sur la finalité du traitement et sa base légale :
S’agissant de la finalité du traitement :
Le GIP PDS souhaite constituer un entrepôt de données de santé afin de permettre la réalisation de recherches, d’études et d’évaluations dans le domaine de la santé, dénommé " EMC2 ". Ces recherches, études et évaluations seront destinées à :
observer et évaluer la prise en charge des patients ; 
caractériser des populations de patients ;
évaluer l'utilisation et/ou les pratiques, l’efficacité et la sécurité en vie réelle des produits de santé, en particulier les médicaments et les dispositifs médicaux inscrits au remboursement ou en accès précoce ;
mener des évaluations médico-économiques des produits de santé administrés ou utilisés en vie réelle ;
développer et évaluer des actions de prévention pour les pathologies d’intérêt ;
concevoir et valider des outils d’aide à l’interprétation des signaux, d’aide au diagnostic ou d’aide à la prise en charge préventive ou curative.
Ce traitement s’inscrit dans le cadre d’un appel d’offres de l’Agence européenne des médicaments (EMA) pour la constitution d’une base de données afin de conduire des études en pharmaco-épidémiologie. Le GIP PDS a été attributaire du lot 3 de cet appel d’offres et une convention de prestation de service a été conclue le 13 décembre 2021 avec l’EMA.
 
Les données rassemblées au sein de EMC2 seront mises au format OMOP-CDM (" Observational Medical Outcome Partnership 
– Common Data Model ") favorisant l’interopérabilité et la mise en œuvre d’apprentissage fédéré à l’échelle européenne, voire internationale.
 
La constitution de l’entrepôt nécessite un appariement entre les données de la base principale du système national des données de santé (SNDS) et les dossiers médicaux fournis par les établissements de santé partenaires.
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
 
Il y a lieu de faire application des dispositions des articles 44-3° et 66-III de la loi " informatique et libertés ", qui soumettent à des formalités préalables les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.
 
Le GIP PDS s’est engagé à communiquer tous les trois ans à la CNIL un rapport sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations réalisées à partir des données de l’entrepôt.
S’agissant de la base légale du traitement et de l’exception pour le traitement des données sensibles :
 
Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le GIP PDS. Ce traitement est, à ce titre, licite au sens de l’article 6-1-e) du RGPD.
 
Le traitement de données sensibles est nécessaire au projet autorisé par la présente décision, pour l’application des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés ".
Sur les sous-traitants :
Plusieurs organismes interviendront en qualité de sous-traitants dans la mise en œuvre de ce traitement. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
En application de l’article 28 du RGPD, le GIP PDS est tenu de s’assurer que l’ensemble de ses sous-traitants présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles permettant de garantir la conformité du traitement à l’ensemble de la règlementation relative à la protection des données à caractère personnel.
Sur les sources et la nature des données traitées :
S’agissant des sources des données :
L’entrepôt regroupera les données issues :
des dossiers médicaux issus des Hospices civils de Lyon (HCL), du centre Léon Bérard (CLB), du centre hospitalier universitaire de Nancy (CHU de Nancy) et de la Fondation hôpital Saint-Joseph (FHSJ), ci-après " les établissements partenaires " ;
des composantes de la base principale du SNDS.
 
Concernant les données issues des dossiers médicaux : seuls les patients, à l’exception de ceux faisant l’objet d’une mesure de protection juridique, ayant été hospitalisés en médecine, chirurgie ou obstétrique (MCO) à partir de 2022 dans l’un des établissements partenaires seront concernés par l’entrepôt.
 
Les données collectées depuis 2018 concernant ces patients seront rassemblées au sein de l’entrepôt, qui sera ensuite mis à jour une fois par an.
 
Concernant les données, les points de non-conformité vis-à-vis du référentiel sont les suivants :
l’inclusion du sexe du patient, du mois de naissance, de l’année de naissance et de la date de décès dans la base de données principale de l’entrepôt ;
l’inclusion du nom de la commune de résidence dans la base de données principale de l’entrepôt.
 
Ces non-conformités ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt.
 
Concernant les données issues du SNDS : les données transmises par les établissements partenaires seront appariées avec les données de la base principale du SNDS, et plus précisément :
le système national d’information inter-régimes de l’assurance maladie (SNIIRAM) ;
le programme de médicalisation des systèmes d’information (PMSI) ;
les données sur les causes de décès du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) ;
les données médico-sociales du système d’information des maisons départementales des personnes handicapées ;
les données issues la base de données relative au dépistage des cas de covid-19, dénommée " SI-DEP " ;
les données issues de la base de données relative aux vaccinations contre la covid-19, dénommée " Vaccin Covid ".
 
L’entrepôt comportera également des données provenant exclusivement du SNDS, afin de :
constituer une population témoin ;
d’identifier et de récupérer les données relatives aux enfants des femmes prises en charge dans l’un des établissements partenaires ayant accouché depuis 2015.
Pour cette population témoin, les enfants des femmes ayant accouché depuis 2015, ainsi que les données appariées avec celles des établissements partenaires, les données précitées de la base principale du SNDS collectées à partir de l’année 2015 seront mises à disposition par la Caisse nationale d’assurance maladie (CNAM), sous réserve de leur disponibilité. Elles seront mises à jour une fois par an afin de permettre un suivi rétrospectif et prospectif des personnes concernées.
 
S’agissant de la nature des données traitées :
Outre les catégories de données visées par le référentiel entrepôt de données de santé, l’entrepôt contiendra les données des professionnels de santé (spécialité, mode d’exercice, sexe, âge et département d’implantation).
 
Seules des données pseudonymisées et structurées seront rassemblées au sein de l’entrepôt. Le GIP PDS n’aura accès ni aux données directement identifiantes de personnes ni aux documents bruts produits à l’occasion de leur prise en charge sanitaire. Les opérations de pseudonymisation et de structuration des données seront mises en œuvre par les établissements partenaires avant la transmission des données.
S’agissant des modalités d’appariement des données :
L’appariement sera réalisé de manière déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des personnes concernées. Ces données identifiantes seront issues des dossiers médicaux des établissements partenaires et transmises directement par ceux-ci à la CNAM. Ces données identifiantes seront accompagnées d’un " numéro d’accrochage " non signifiant et aléatoire, qui sera ensuite transmis par la CNAM avec les données extraites du SNDS. Ce numéro d’accrochage sera le seul identifiant transmis avec les données de l’étude issues des dossiers médicaux des établissements de santé partenaires.
 
Pour permettre le dédoublonnage a posteriori des patients ayant été sélectionnés dans plusieurs centres, la CNAM génèrera également, pour chaque numéro d’accrochage, un identifiant unique dérivé du NIR correspondant, à travers les fonctions de pseudonymisation du SNDS.