AgentPublic/cnil huggingface dataset:
107. La formation restreinte observe ensuite qu’il ne ressort pas de ce courrier que la CNIL estimait, au regard de ses missions de vérification en 2002 puis en 2014, qu’il s’agissait d’un traitement de données anonymisées ne relevant pas du champ d’application de la loi Informatique et Libertés. Si tel avait été le cas, elle n’aurait pas énuméré dans son courrier de clôture un certain nombre de recommandations à mettre en œuvre afin d’assurer la sécurité des données traitées. Or, le courrier invitait notamment la société à mettre en œuvre un mécanisme de purge automatique des fichiers conservés sur les postes des médecins ou encore à désigner un correspondant Informatique et Libertés . 
108. En tout état de cause, la formation restreinte rappelle qu’il incombe au responsable de traitement de prendre en compte les évolutions doctrinales et de réévaluer régulièrement les mesures techniques et organisationnelles du traitement mis en œuvre.
109. En conclusion, la formation restreinte ne remet pas en cause la validité du courrier de 2014 mais, tenant compte de son ancienneté et des évolutions du cadre légal et jurisprudentiel, elle estime ne pas être liée par cette position ancienne, position reposant elle-même sur une délibération de la CNIL vieille de plus de vingt ans et des constats afférents. La formation restreinte considère que ce courrier ne saurait démontrer à lui seul la qualité de sous-traitant de la société CEGEDIM SANTÉ.
110. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que la société CEGEDIM SANTÉ est responsable du traitement au sens de l’article 4, point 7, du RGPD. Dès lors, en mettant en œuvre le traitement en cause, la société, si elle collecte et traite des données à caractère personnel en qualité de responsable du traitement, doit se conformer à la règlementation relative à la protection des données à caractère personnel. 
C. Sur le manquement à l’article 66 de la loi Informatique et Libertés
111. L’article 65 de la loi Informatique et Libertés prévoit que les traitements contenant des données concernant la santé des personnes sont soumis à la Section 3 : Traitements de données à caractère personnel dans le domaine de la santé du Chapitre III : Obligations incombant au responsable de traitement et au sous-traitant , à l’exception de différentes catégories de traitements, listées aux alinéas 1 à 6 de cet article.
112. L’article 66 de la loi Informatique et Libertés dispose pour sa part :
 I - Les traitements relevant de la présente section ne peuvent être mis en œuvre qu'en considération de la finalité d'intérêt public qu'ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d'intérêt public.
II - Des référentiels et règlements types, au sens des b et c du 2° du I de l'article 8, s'appliquant aux traitements relevant de la présente section sont établis par la Commission nationale de l'informatique et des libertés, en concertation avec la plateforme des données de santé mentionnée à l'article L. 1462-1 du code de la santé publique et des organismes publics et privés représentatifs des acteurs concernés.
Les traitements conformes à ces référentiels peuvent être mis en œuvre à la condition que leurs responsables adressent préalablement à la Commission nationale de l'informatique et des libertés une déclaration attestant de cette conformité. […]
III - Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu'après autorisation de la Commission nationale de l'informatique et des libertés. La demande d'autorisation est présentée dans les formes prévues à l'article 33. […] . 
113. Ainsi, en vertu du III de l’article 66 de la loi Informatique et Libertés, les traitements de données à caractère personnel dans le domaine de la santé, dont font partie les entrepôts de données de santé, ne peuvent être mis en œuvre qu’après autorisation de la CNIL ou à la condition d’être conformes à un référentiel mentionné au II de cet article et ce, au regard de l’intérêt public qu’ils présentent.
114. Le rapporteur considère que la société collecte des données pseudonymisées issues des dossiers patients informatisés, transmis par les médecins panélistes via le flux CROSSWAY, afin de se constituer cet entrepôt de données de santé. En l’absence de recueil du consentement des personnes concernées au versement de leurs données dans un entrepôt de données de santé (en application de l’article 9, paragraphe 2, a) du RGPD), la constitution d’un tel entrepôt est soumise à formalités préalables auprès de la CNIL. Or, le rapporteur rappelle que la société CEGEDIM SANTÉ n’a pas recueilli le consentement explicite des personnes concernées par la collecte, l’enregistrement et la conservation des données de santé comprises dans l’entrepôt, n’a présenté aucune demande d’autorisation concernant le traitement en cause et n’a adressé à la CNIL aucune déclaration attestant de la conformité du traitement à un référentiel au sens du paragraphe II de l’article 66 de la loi Informatique et Libertés. Le rapporteur en conclut que la société a méconnu les obligations prévues à l’article 66 de la loi Informatique et Libertés dans le domaine de la santé.
115. En défense, la société soutient qu’un manquement à l’article 66 de la loi Informatique et Libertés n’est pas constitué dans la mesure où elle ne traite pas de données à caractère personnel, y compris des données pseudonymes ou des données de santé. Elle soutient que le flux CROSSWAY ne contient que des données anonymes et que dès lors, elle ne constitue pas un entrepôt de données de santé et n’a pas à procéder aux formalités prévues par l’article 66 de la loi Informatique et Libertés pour pouvoir traiter lesdites données. 
116. Par ailleurs, elle considère qu’il ne peut lui être reproché d’avoir méconnu ses obligations dans la mesure où le cadre juridique applicable, surtout la définition de la notion d’anonymisation , manque de clarté. La société soutient notamment qu’il ne peut lui être reproché de ne pas avoir saisi la CNIL d’une demande de conseil car la CNIL n’a jamais fait état de la possibilité pour les organismes de la saisir pour valider les méthodes d’anonymisation employées et qu’en tout état de cause, elle a, de bonne foi, considéré que les données qu’elles traitaient étaient anonymes.
117. À titre liminaire, la formation restreinte note que la CNIL a procédé à certaines publications sur son site web antérieurement au contrôle, par exemple sur la définition d’une donnée de santé (début 2018), les formalités à réaliser pour le traitement de données de santé (début 2018) ou encore la distinction entre un entrepôt de données de santé et une recherche (fin 2019). En plus de ses propres ressources, la CNIL relaye d’autres sources d’informations comme elle l’a par exemple fait avec l’Avis 05/2014 sur les techniques d’anonymisation du G29. Comme elle l’a déjà souligné, la formation restreinte rappelle également que le cadre juridique est avant tout posé par les législateurs français et européen.
118. Dès lors, la formation restreinte considère que la société ne pouvait pas ignorer, au jour du contrôle, le régime juridique applicable à l’entrepôt de données de santé qu’elle se constitue, d’autant plus que d’autres sociétés qui mettent en œuvre des traitements similaires sur le même marché ont demandé des autorisations à la CNIL et que ces autorisations sont publiques et accessibles sur le site web www.legifrance.gouv.fr . Si la société considère que ces autorisations ne sont pas comparables à la base de données qu’elle se constitue, notamment au regard de la richesse des données collectées par ces sociétés, la formation restreinte rappelle que dès lors qu’un organisme se constitue un entrepôt de données de santé, il est tenu de se conformer à ses obligations et notamment à l’article 66 de la loi Informatique et Libertés, peu importe la richesse de l’entrepôt et la granularité des données collectées. 
119. La formation restreinte rappelle que, pour les raisons exposées ci-avant, la société CEGEDIM SANTÉ traitait, au jour du contrôle, des données de santé de manière pseudonymisée pour se constituer un entrepôt de données de santé, de sorte qu’elle était tenue de respecter le RGPD et la loi Informatique et Libertés.
120. En premier lieu, la formation restreinte relève que la seule exception prévue aux obligations de l’article 65 de ladite loi susceptible de s’appliquer en l’espèce est celle relative au cas dans lequel la personne concernée a donné son consentement explicite au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, conformément à l’article 65 1°, renvoyant à l’alinéa a) de l’article 9, paragraphe 2, du RGPD. Or, en l’espèce, dans la mesure où la société CEGEDIM SANTÉ considère ne pas traiter de données à caractère personnel, elle n’a mis en œuvre aucune mesure pour se conformer aux règles applicables en matière de traitement de ces données. En particulier, la société n’a mis en œuvre aucun mécanisme de recueil du consentement explicite et préalable des patients des médecins du panel pour le traitement en cause.
121. En conséquence, la formation restreinte considère que, dès lors que la société traitait des données de santé au jour du contrôle et qu’elle ne peut se prévaloir d’aucune des exceptions prévues à l’article 65 de la loi Informatique et Libertés, le traitement qu’elle met en œuvre est soumis à la section 3 du chapitre III de la loi Informatique et Libertés.
122. En deuxième lieu, la formation restreinte relève qu’en l’espèce, la société ne s’est pas conformée aux exigences de l’article 66 de la loi Informatique et Libertés pour se constituer un entrepôt de données de santé.
123. Tout d’abord, elle relève que la société n’a formulé aucune demande d’autorisation visant à ce que le traitement en cause soit considéré comme nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique ou nécessaire à des fins de recherche scientifique.
124. Ensuite, la formation restreinte rappelle qu’en l’absence d’autorisation de la CNIL, un traitement de données à caractère personnel dans le domaine de la santé peut également être mis en œuvre s’il est conforme à un référentiel au sens du II de l’article 66 de la loi Informatique et Libertés, à condition que le responsable du traitement adresse préalablement à la CNIL une déclaration attestant de cette conformité. La formation restreinte constate que ce n’est pas le cas en l’espèce et que la société n’a adressé à la CNIL aucune déclaration attestant de cette conformité.
125. En troisième lieu, la formation restreinte prend acte des nouvelles mesures mises en œuvre postérieurement au contrôle.
126. D’une part, la société a indiqué qu’elle ne collectait plus certaines données depuis 2022. Cependant, comme développé ci-avant, la formation restreinte considère que les éléments communiqués par la société en cours de procédure ne lui permettent pas de s’assurer qu’elle traite désormais des données anonymes. Elle relève par ailleurs, en tout état de cause, que les mesures déployées en 2022 ne sauraient exonérer la société de sa responsabilité pour le passé.
127. D’autre part, la société a indiqué qu’à compter de la fin du mois de juillet 2024, elle n’interviendrait plus dans la gestion du flux CROSSWAY, qui alimente désormais directement la base […] détenue par la société […]. Ainsi, les données du flux CROSSWAY ne transitent plus via la société CEGEDIM SANTÉ. 
128. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que la société traitait des données de santé au jour du contrôle et jusqu’à juillet 2024 et qu’elle aurait dû se conformer aux exigences de l’article 66 de la loi du 6 janvier 1978 modifiée pour se constituer un entrepôt de données de santé.
129. Par conséquent, la formation restreinte considère que la société a manqué à ses obligations en traitant des données à caractère personnel dans le domaine de la santé en violation de l’article 66 de la loi du 6 janvier 1978 modifiée.
130. Au regard des mesures prises par la société au cours de la procédure, la formation restreinte considère qu’il n’y a pas lieu de prononcer une injonction de mise en conformité avec les dispositions de l’article 66 précité, comme le proposait le rapporteur, la société n’intervenant plus à ce jour dans la gestion du flux CROSSWAY.
D. Sur le manquement à l’article 5, paragraphe 1, a) du RGPD
131. Aux termes de l’article 5, paragraphe 1, a) du RGPD, Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) .
132. L’article L. 162-4-3 du code de la sécurité sociale dispose que les médecins peuvent, à l'occasion des soins qu'ils délivrent et sous les conditions prévues à l'article L. 161-31, consulter les données issues des procédures de remboursement ou de prise en charge qui sont détenues par l'organisme dont relève chaque bénéficiaire de l'assurance maladie. Dans ce cas, ils en informent préalablement le patient. Le bénéficiaire des soins donne son accord à cet accès en permettant au médecin d'utiliser, à cet effet, le moyen d'identification électronique mentionné à l'article L. 161-31. Le relevé des données mis à la disposition du médecin contient les informations nécessaires à l'identification des actes, produits ou prestations pris en charge pour les soins délivrés en ville ou en établissement de santé, au regard notamment des listes mentionnées aux articles L. 162-1-7, L. 165-1 et L. 162-17. Il comporte également le code prévu pour les identifier dans ces listes, le niveau de prise en charge et, pour les patients atteints d'une affection de longue durée, les éléments constitutifs du protocole de soins mentionné au septième alinéa de l'article L. 324-1. […] .
133. L’article R. 162-1-10 du même code dispose quant à lui que Pour l'application de l'article L. 162-4-3, les organismes gestionnaires des régimes de base d'assurance maladie assurent, à l'usage des médecins conventionnés ou exerçant leur activité dans un établissement ou un centre de santé, à l'occasion des soins qu'ils délivrent, la mise en œuvre d'un service de consultation par voie électronique des informations afférentes aux prestations délivrées à leurs bénéficiaires .
134. Pour la mise en œuvre de ces dispositions, l’assurance maladie a mis en place, notamment, deux téléservices : 
- le téléservice HRi : informations relatives à l’historique des remboursements de santé effectués par l’assurance maladie pour un patient sur les douze derniers mois ;
- le téléservice ALDi : données relatives aux affections longue durée (ALD) reconnues par l’assurance maladie pour un patient (notamment la date de la consultation, le code de l’ALD, les dates de début et de fin de l’ALD et l’information selon laquelle l’ALD est prise en charge). 
135. En l’espèce, la délégation de contrôle a constaté que, parmi les données transmises par le flux CROSSWAY à la société CEGEDIM SANTÉ, figurent des données issues de ces deux téléservices. 
136. La délégation a par ailleurs été informée que les informations transmises à la société CEGEDIM SANTÉ par l’intermédiaire du flux CROSSWAY peuvent être issues de l’interrogation des téléservices ou avoir été directement renseignées par les médecins.
137. Le rapporteur soutient que les dispositions du code de la sécurité sociale et du code de la santé publique prévoient uniquement un droit de consultation des données contenues dans les téléservices mis en place par la Caisse nationale d’assurance maladie (CNAM) par des professionnels habilités. Elles ne prévoient pas la possibilité pour un acteur privé, par l’intermédiaire du médecin, de collecter directement ces données depuis les téléservices. Ainsi, le rapporteur estime que la collecte de ces données par CEGEDIM SANTÉ est illicite et effectuée en violation de l’article 5, paragraphe 1, a) du RGPD.
1) Sur les données issues du téléservice ALDi
138. La formation restreinte rappelle que les dispositions du code de la sécurité sociale régissent uniquement les modalités d’accès direct aux données personnelles issues du téléservice ALDi, mais ne prescrivent pas l’accès à ces mêmes données depuis les dossiers informatisés des médecins. La CNIL a d’ailleurs autorisé par le passé des extractions pseudonymisées des dossiers patients, pour la constitution de bases de données de santé, sans exclure par principe que soient importées dans ces bases des données issues originellement des bases de l’assurance maladie, à condition que le traitement soit proportionné et suffisamment sécurisé, et que les autres règles de traitement des données à caractère personnel soient respectées. Dans ces conditions, la formation restreinte estime que, ainsi que la société le soutient, celle-ci est autorisée à recevoir dans le flux CROSSWAY les données issues du téléservice ALDi dans la mesure où elles sont intégrées au dossier informatisé du patient du médecin par le médecin lui-même, au même titre que les autres données qui y sont enregistrées.
139. Or, il ressort des pièces du dossier que l’extracteur CROSSWAY a pour seul objet de permettre l’extraction des données issues des dossiers informatisés des patients mais ne procède à aucune connexion au téléservice et n’en aspire pas les données directement. En particulier, la société fait valoir que le médecin peut, dans un premier temps, consulter les données issues du téléservice ALDi sans les télécharger et, dans un second temps, décider de télécharger ces données et de les verser au dossier patient informatisé du logiciel CROSSWAY.
140. La formation restreinte prend acte des éléments apportés par la société et estime que le manquement à l’article 5, paragraphe 1, a) du RGPD n’est pas constitué s’agissant de la collecte de données issues du téléservice ALDi. 
2) Sur les données issues du téléservice HRi 
141. S’agissant des données issues du téléservice HRi, la société soutient en défense que les dispositions du code de la sécurité sociale ne prévoient pas de règles qui prescrivent ou interdisent l’accès aux dossiers informatisés des médecins contenant des données provenant du téléservice HRi, de surcroît lorsqu’un tel accès ne concerne que des données anonymes. Ainsi, la société estime être autorisée à recevoir ces données dans le flux CROSSWAY, au même titre que les autres données qui figurent dans les dossiers patients.
142. Plus particulièrement, la société fait valoir que les données issues du téléservice HRi sont enregistrées dans le flux CROSSWAY en local sur le poste du médecin, par le médecin lui-même au moment de la consultation du téléservice, et que ce n’est que dans un second temps que les données sont récupérées par l’extracteur CROSSWAY. Elle en conclut que l’extracteur CROSSWAY ne procède à aucune aspiration directe de ces données et que la collecte ne peut donc être considérée comme illicite. Cependant, la société a indiqué être disposée, à titre subsidiaire et dans l’hypothèse où la formation restreinte retiendrait la position du rapporteur, à faire évoluer le logiciel CROSSWAY dans un sens où le téléchargement des données HRi n’interviendrait que sur option activable par les médecins. 
143. En tout état de cause, la société insiste sur sa transparence et sa bonne foi, soutenant que la CNIL avait connaissance des modalités de remontée des données d’historique de remboursement auprès de la société CEGEDIM LOGICIELS MEDIDAUX, puis CEGEDIM SANTÉ. Elle produit à l’appui de sa défense un courrier daté du 25 avril 2013 dans lequel la société CEGEDIM LOGICIELS MEDIDAUX informait la CNIL de l’intégration dans le logiciel des médecins d’une fonctionnalité permettant la conservation des données issues de l’historique de remboursement.
144. Enfin, la société insiste sur le fait que l’accès aux données du téléservice HRi par les professionnels de santé est recommandé par le GIE SESAME-Vitale et que, plus globalement, cette fonctionnalité d’accès aux données par les médecins poursuit un objectif de santé publique et de prévention de l’iatrogénie médicamenteuse, afin qu’ils puissent disposer des informations relatives aux médicaments, soins et examens prescrits à leur patient par d’autres médecins.
145. Le rapporteur insiste sur le fait que la difficulté ne réside pas dans le fait que le médecin accède aux données des téléservices HRi et puisse les verser dans le dossier informatisé patient, mais dans le fait qu’à partir du moment où le médecin y accède, la société CEGEDIM SANTÉ se voit transmettre les données automatiquement, sans que le médecin ait jugé nécessaire que ces informations figurent dans le dossier du patient au sein de son logiciel de travail, en procédant lui-même à leur intégration dans le dossier.
146. La formation restreinte constate qu’à la différence des données issues du téléservice ALDi, la consultation des données issues du téléservice HRi par le médecin emporte leur téléchargement automatique, sur une profondeur de douze mois, dans le dossier informatisé du patient du logiciel CROSSWAY.
147. En ne prévoyant pas d’étape intermédiaire par laquelle le médecin peut consulter les données sans que la consultation n’emporte automatiquement le téléchargement dans le dossier patient, la formation restreinte estime que la société CEGEDIM SANTÉ procède à une aspiration automatique des données issues du téléservice HRi dans le flux CROSSWAY, dès que le médecin se connecte au logiciel pour consulter les données et sans aucune action complémentaire de sa part. 
148. La formation restreinte estime par ailleurs que le critère de praticité invoqué en défense par la société, selon lequel les médecins ont accès directement aux informations relatives aux médicaments, soins et examens prescrits à leurs patients par d’autres médecins afin de détecter d’éventuelles incompatibilités, ne saurait justifier une utilisation des données de patients allant à l’encontre de la réglementation.
149. La formation restreinte rappelle en outre que ce n’est pas l’accès aux données du téléservice HRi par les médecins ni leur versement au dossier informatisé patient qui est remis en cause, mais le fait que l’extracteur ne prévoit pas de la possibilité de consulter les données sans téléchargement automatique dans le dossier patient et donc, de facto, sans aspiration de ces données par la société CEGEDIM via l’extracteur CROSSWAY. La formation restreinte estime que cette collecte de données intervient en méconnaissance des articles L. 162-4-3 et R. 162-1-10 du code de la sécurité sociale et de l’article R. 1111-8-6 du code de la santé publique, qui ne prévoient pas pour un acteur privé cette possibilité de collecter directement, par l’intermédiaire de la seule consultation par un médecin du téléservice HRi, des données qu’il contient.
150. Enfin, s’agissant du courrier du 25 avril 2013 produit par la société, la formation restreinte relève que celui-ci ne détaille pas les modalités de consultation, de téléchargement dans le dossier patient puis de transmission des données de l’historique de remboursement à la société CEGEDIM LOGICIELS MEDICAUX. Or, la formation restreinte rappelle que ce n’est pas l’accès aux données par les médecins qui est remis en cause, mais les modalités de leur transmission à la société. Dès lors, le contenu de ce courrier n’est pas de nature à influer sur la caractérisation du manquement.