AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés du 24 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers ;
Vu la décision n° 2021-029C de la présidente de la Commission nationale de l’informatique et des libertés du 25 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès des sociétés […] et […] ;
Vu la décision n° 2021-031C de la présidente de la Commission nationale de l’informatique et des libertés du 2 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel accessible en ligne et qui serait en lien avec les faits relatés par le journal Libération dans son article intitulé Les informations confidentielles de 500 000 patients français dérobées à des laboratoires ;
Vu la décision n° 2021-034C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ;
Vu la décision n° 2021-035C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 6 octobre 2021 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 9 décembre 2021 ;
Vu les observations écrites versées par le conseil de la société […] le 24 janvier 2022 ;
Vu la réponse du rapporteur à ces observations notifiée le 7 février 2022 au conseil de la société ;
Vu les observations écrites versées par le conseil de la société […] reçues le 21 février 2022 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 10 mars 2022 :
Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] :
[…]
La société […] ayant eu la parole en dernier ;
Après en avoir délibéré, la formation restreinte a adopté la décision suivante :
Faits et procédure
La société […] (ci-après " la société ") est une société par actions simplifiée à associé unique immatriculée au registre du commerce et des sociétés de […] sous le numéro […] depuis le […]. Elle a pour activité l’édition de logiciels applicatifs. Elle compte entre […] salariés.
La société […] fait partie du groupe […], qui emploie environ […] personnes et qui est composé, en France, de […] sociétés.
La société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales, appelées solutions de gestion de laboratoire. Environ […] laboratoires de biologie médicale privés et entre […] et […] laboratoires d’analyses d’établissements publics de santé sont équipés des solutions éditées par la société […].
À ce jour, […] logiciels sont commercialisés, parmi lesquels le logiciel […]. Deux solutions auparavant commercialisées par la société […] ne sont plus maintenues et sont considérées comme obsolètes, parmi lesquelles […], dont la " fin de vie " a été atteinte en septembre 2019 selon la société. Les clients utilisateurs de la solution […] ont été destinataires d’un courrier adressé par la société […] (ancienne dénomination de […]) en 2018 pour les informer de l’" arrêt définitif de la maintenance " de cette solution.
Pour l’utilisation des logiciels commercialisés par les sociétés […] et […], les clients font l’acquisition d’une licence. La société […] assure également des prestations d’installation, de démarrage et d’accompagnement des clients à l’utilisation du logiciel. Un contrat de maintenance est en règle générale conclu pour assurer les mises à jour des solutions, lesquelles incluent notamment de nouvelles fonctionnalités et permettent de maintenir les solutions en conformité avec les normes en vigueur.
Le 23 février 2021, un article de presse intitulé " Les informations confidentielles de 500 000 patients français dérobées à des laboratoires et diffusées en ligne " a été publié par le journal Libération. Cet article faisait état de la présence sur un forum d’un lien de téléchargement vers un fichier contenant les données médico-administratives de près de 500 000 personnes : " Selon les spécialistes, la fuite est d’une ampleur inédite en France pour des données ayant trait à la santé. Le fichier en question, que " CheckNews " a pu consulter, contient l’identité complète de près d’un demi-million de Français, souvent accompagnée de données critiques, comme des informations sur leur état de santé ou même leur mot de passe. Initialement partagée sur des forums de pirates informatiques, cette base de données est de plus en plus largement diffusée ".
En application de la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après la " Commission " ou la " CNIL ") du 24 février 2021, la CNIL a effectué une mission de contrôle en ligne afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés ") et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD " ou le " Règlement ") de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers.
Dans le cadre du contrôle en ligne diligenté, le fichier contenant les données médico-administratives a été téléchargé. Il est apparu que les données à caractère personnel de 491 840 patients y figuraient, parmi lesquelles :
des données d’identification : numéro de sécurité sociale, nom, prénoms, sexe, adresse postale, numéro de téléphone, adresse électronique, date de la dernière visite médicale, date de naissance ;
deux colonnes de commentaires libres contenant notamment des informations relatives aux pathologies des patients (VIH, cancers, maladies génétiques), à l’état de grossesse, aux traitements médicamenteux suivis par le patient ou encore des données génétiques ;
des données d’identification du médecin prescripteur : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ;
des données relatives au préleveur : nom, prénom, adresse, numéro de téléphone ;
des données relatives à la mutuelle du patient : " Id tiers payant " (suite de chiffres), adresse postale, numéro de téléphone ;
une colonne " Identifiant SR " et une colonne " MP ", correspondant, au regard de son contenu, aux identifiants et mots de passe utilisés par le patient pour se connecter à son espace.
En application de la décision n° 2021-029C de la présidente de la Commission du 25 février 2021, la CNIL a effectué une mission de contrôle sur pièces auprès des sociétés […] et […], afin de vérifier la conformité à la loi Informatique et Libertés et au RGPD des traitements mis en œuvre par des laboratoires d’analyses médicales au moyen des solutions ou services commercialisés par ces sociétés. Cette mission s’est effectuée par l’envoi d’un questionnaire à la société […], adressé par courriel le 25 février 2021.
Le 26 février suivant, la société a transmis des éléments de réponse à la CNIL, notamment les noms et adresses des laboratoires d’analyses médicales concernés par la violation de données susvisée.
En application de la même décision, une délégation de la CNIL a procédé, le 1er mars 2021, à une mission de contrôle sur place dans les locaux de […], situés […], après information du procureur de la République territorialement compétent et de la déléguée à la protection des données de […] et […].
Les 5 mars, 10 mars, 1er avril, 6 avril et 19 avril 2021, les sociétés […] et […] ont transmis les éléments complémentaires sollicités par la délégation lors du contrôle sur place.
En parallèle, le 1er mars 2021, la CNIL a fait délivrer une assignation en référé d’heure à heure aux différents fournisseurs d’accès à Internet, afin que soit assuré le blocage effectif du fichier contenant les données de près de 500 000 patients.
En application de la décision n° 2021-031C de la présidente de la Commission du 2 mars 2021, la CNIL a effectué une mission de contrôle en ligne le jour même, afin de vérifier la présence du fichier litigieux en ligne, en le recherchant à partir de différents moteurs de recherche.
Par ordonnance du 4 mars 2021, le juge des référés du tribunal judiciaire de PARIS a enjoint " à la SA ORANGE, la SAS FREE, la SA SFR et la SA BOUYGUES TELECOM de mettre en œuvre ou de faire mettre en œuvre, sans délai et pour une période de 18 mois à compter de la présente décision toutes mesures les plus adaptées et les plus efficaces de surveillance ciblées de nature à assurer le blocage effectif du service de communication au public en ligne " […] " sur leurs réseaux ".
En application des décisions n° 2021-034C et n° 2021-035C de la présidente de la Commission du 5 mars 2021, la CNIL a effectué des missions de contrôle sur place auprès des sociétés […] et […] le 10 mars 2021.
Les deux laboratoires ayant été concernés par la violation de données susvisée, il s’agissait de vérifier le respect par ces deux sociétés des dispositions de la loi Informatique et Libertés et du RGPD.
Par courriel du 11 juin 2021 adressé à la déléguée à la protection des données des sociétés […] et […], la délégation de la CNIL a sollicité des éléments complémentaires auprès de ces sociétés, lesquels ont été transmis le 24 juin 2021.
Aux fins d’instruction de ce dossier, la présidente de la Commission a, le 6 octobre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée.
À l’issue de son instruction, le rapporteur a, le 9 décembre 2021, fait notifier à la société […] un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.
Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative, au regard des manquements constitués aux articles 28 paragraphe 3, 29 et 32 du RGPD. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Par courrier du 10 décembre 2021, la société, par l’intermédiaire de son conseil, a sollicité un délai supplémentaire pour fournir ses observations en réponse. Par courrier du 15 décembre 2021, le président de la formation restreinte lui a accordé un délai supplémentaire jusqu’au 24 janvier 2022.
Le 24 janvier 2022, la société a produit des observations en réponse au rapport de sanction.
Le rapporteur a répondu aux observations de la société le 7 février 2022. Un courrier était également remis à la société, l’informant que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 mars 2022.
Le 21 février 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.
La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
Motifs de la décision
Sur la qualité de la société à l’égard des traitements en cause
Aux termes de l’article 4 du RGPD, le responsable de traitement est défini comme " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement " (point 7) et le sous-traitant est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement " (point 8).
Le rapporteur relève que la société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales. Dans le cadre du service qu’elle propose aux laboratoires, la société ne fait, d’une part, que mettre à disposition des laboratoires les outils, notamment informatiques, pour faciliter la mise en œuvre des traitements et, d’autre part, agit uniquement au nom et sous la responsabilité des laboratoires pour la maintenance du logiciel et, le cas échéant, la migration vers un autre logiciel par exemple. La société doit donc être regardée comme agissant en tant que sous-traitant des laboratoires au sens de l’article 4, point 8, du RGPD selon le rapporteur.
En défense, la société ne conteste pas l’analyse du rapporteur sur ce point.
La formation restreinte considère que les notions de responsable de traitement et de sous-traitant doivent faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer l’une ou l’autre de ces qualités à une entité. À ce titre, elle relève qu’il ressort des éléments communiqués à la CNIL que la société […] agit en qualité de sous-traitant des traitements mis en œuvre pour le compte de ses clients, les laboratoires, qui sont responsables de traitement, dans la mesure où elle met à disposition des laboratoires des outils informatiques leur permettant de mettre en œuvre leurs traitements et qu’elle agit, de manière générale, uniquement sur la base de leurs instructions.
Il appartient dès lors à la formation restreinte d’examiner, au regard de cette qualité, les griefs formulés par le rapporteur à l’encontre de la société.
Sur les manquements au regard du RGPD
1. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement
Aux termes de l’article 28, paragraphe 3, du RGPD, " Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant :
a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis ; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public ;
b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
c) prend toutes les mesures requises en vertu de l'article 32 ;
d) respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant ; […] ".
Le rapporteur considère qu’il ressort des éléments transmis par la société […] que les différents documents encadrant les relations contractuelles entre la société sous-traitante et les laboratoires ne comportent pas les mentions requises par l’article 28 du RGPD. Il relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation ne comportent aucune des mentions requises par cet article. De même, il note que les mentions requises ne figurent pas non plus dans les contrats de maintenance conclus entre la société et les laboratoires, tels que transmis à la CNIL.
En défense, si la société ne conteste pas la matérialité du manquement à l’article 28 du RGPD, elle précise que la conclusion d’un contrat de sous-traitance constitue une obligation tant pour le responsable de traitement que pour le sous-traitant. Elle en conclut que la société […] ne saurait être tenue seule responsable de ce manquement. Elle insiste en outre sur les efforts mis en œuvre pour se conformer au RGPD dès 2018 et indique que de nouveaux modèles de contrat de sous-traitance respectant les exigences de l’article 28 sont en cours de déploiement.
En premier lieu, la formation restreinte relève que le fait que l’obligation résultant de l’article 28, paragraphe 3, du RGPD incombe tant au responsable de traitement qu’au sous-traitant est sans incidence sur l’existence d’une responsabilité propre du sous-traitant. Elle note que c’est la société elle-même qui transmet aux laboratoires ses propres conditions générales de vente qui font office d’encadrement contractuel au titre du RGPD.
En deuxième lieu, la formation restreinte relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation, transmises par la société dans le cadre de la procédure de contrôle, ne comportent aucune des mentions requises par l’article 28 du RGPD. De même, elle note que les mentions requises ne figurent pas non plus dans les contrats de maintenance transmis à la CNIL, conclus entre la société et les laboratoires. À titre d’illustration, le contrat de maintenance conclu entre […] (ancienne dénomination de […]) et la société […], le 13 septembre 2019, comporte certes une partie dédiée aux données à caractère personnel, mais qui ne répond pas aux exigences de l’article 28 du RGPD et vise des dispositions obsolètes de la loi Informatique et Libertés. La formation restreinte note en outre que l’exemple de contrat d’assistance et de maintenance, remis par la société à la délégation de la CNIL lors du contrôle sur place du 1er mars 2021, ne contient pas non plus les mentions obligatoires au titre de l’article 28 du RGPD. S’il contient une partie dédiée aux données à caractère personnel, celle-ci ne répond pas aux exigences posées par cet article.
En troisième lieu, la formation restreinte prend note que la société […]a déployé de nouveaux modèles de contrat de sous-traitance et a entamé des démarches pour se mettre en conformité avec les dispositions de l’article 28 du RGPD. Pour autant, il n’en demeure pas moins que la société a entamé des démarches auprès de ses clients dans le cadre de la présente procédure et qu’elle n’était pas en conformité au moment des constatations effectuées par la CNIL. Elle ne l’est d’ailleurs toujours pas s’agissant de certains contrats, puisque la société a indiqué, dans ses dernières observations, poursuivre ses actions visant à transmettre à l’ensemble de ses clients les contrats mis à jour et à les négocier le cas échéant.
Dès lors, au regard de l’ensemble de ces éléments, la formation restreinte considère que ces faits constituent un manquement à l’article 28, paragraphe 3, du RGPD, que la société ne conteste pas au demeurant.
2. Sur le manquement à l’obligation pour le sous-traitant de ne traiter les données à caractère personnel que sur instruction du responsable de traitement
Aux termes de l’article 29 du RGPD, " Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre ".
Le rapporteur relève que la société […] a extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients, les laboratoires […] et […]. Le rapporteur en conclut que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD.
En défense, la société précise que l’outil d’extraction disponible sur l’ancien logiciel […], utilisé pour ces migrations, ne permettait que de procéder à une extraction totale du fichier des patients du laboratoire concerné, sans possibilité d’ajouter des filtres sur les champs à exporter pour n’en extraire que certains. Elle ajoute que […] opérait bien la migration des données de ses clients vers une nouvelle solution logicielle en conformité avec leurs instructions, puisqu’une fois le fichier des données à migrer constitué, la société demandait toujours la validation du laboratoire concerné avant d’effectuer la migration. La société en conclut qu’elle a opéré les opérations d’extraction nécessaires à la migration et que le périmètre des données à migrer a été défini à ce titre conformément aux instructions des laboratoires concernés et compte tenu des limitations techniques des outils utilisés à l’époque pour effectuer ces migrations.
Dans ses dernières observations en réponse, la société indique qu’elle " n’entend pas minorer la réalité de son manquement à l’obligation de ne procéder à des traitements de données à caractère personnel, en qualité de sous-traitant, que sur les seules instructions du responsable de traitement ". Elle rappelle néanmoins les importants investissements engagés par l’entreprise, depuis plusieurs années, pour développer notamment de nouvelles solutions logicielles. Elle ajoute que c’est justement parce qu’elle était consciente du caractère obsolète du logiciel […] et des outils de migration associés qu’elle s’est attachée à développer une solution plus innovante et respectueuse des exigences du RGPD et c’est ainsi qu’elle a proposé à ses clients, dès 2018, de passer au logiciel […].
En premier lieu, la formation restreinte relève que, ainsi qu’il sera établi ci-après, les différents éléments recueillis dans le cadre des contrôles des laboratoires […] et […] ont permis d’établir que […] avait extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients.