AgentPublic/cnil huggingface dataset:
76. En premier lieu, sur le principe du prononcé d’une sanction, la société indique qu’outre le fait qu’elle conteste les manquements reprochés par la rapporteure ou les justifie, elle a d’ores et déjà pris toutes les mesures pour remédier à l’ensemble des faits reprochés et assurer sa conformité à la législation applicable. Elle insiste sur la bonne volonté et les efforts dont elle a fait preuve tout au long de la procédure. La société considère que les facteurs d’atténuation posés par l’article 83, paragraphe 2, du RGPD devraient amener la formation restreinte à ne pas prononcer de sanction financière ou à tout le moins à réduire très significativement le montant de l’amende proposée par la rapporteure. Elle considère que les manquements allégués ne sont pas substantiels en l’espèce, dès lors qu’ils ont représenté un impact limité voire inexistant sur les droits et libertés des personnes concernées compte tenu de leur faible nombre et de leur caractère non structurel. 
77. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
78. La formation restreinte souligne que les manquements commis par la société portent sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel et que de nombreux manquements sont constitués. 
79. La formation restreinte relève ensuite que la société est le premier acteur de l’électricité en France, puisqu’elle dénombrait, fin décembre 2020, […] clients pour la fourniture d’électricité, de gaz et de services et environ […] prospects, s’agissant du marché des particuliers. Elle dispose donc de ressources importantes lui permettant de traiter les questions de protection des données à caractère personnel.
80. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués à l’article L. 34-5 du CPCE et aux articles 7, paragraphe 1, 12, 13, 14, 15, 21 et 32 du RGPD.
81. La formation restreinte souligne néanmoins les efforts dont la société […] a fait preuve dans le cadre de la procédure, puisqu’elle s’est mise en conformité s’agissant de l’ensemble des manquements relevés par la rapporteure. Elle considère par ailleurs que le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique, bien qu’étant un manquement structurel, est en l’espèce d’une gravité limitée dans la mesure où le nombre de prospects dont les données ont été collectées auprès de courtiers en données et ayant reçu de la prospection commerciale par voie électronique ne représente que […] % sur la période 2020-2022 de l’ensemble des personnes ciblées par des actions de prospection commerciale réalisées par […] auprès de prospects dont les données ont été obtenues via des courtiers en données. S’agissant du manquement à l’obligation d’information, la formation restreinte prend acte des déclarations de la société, selon lesquelles elle procédait à une large refonte des durées de conservation, l’empêchant ainsi de toutes les indiquer puisqu’elles étaient en cours de revue et de modification. Elle note en outre, au regard des saisines versées aux débats, que les manquements aux droits des personnes ne sont pas structurels et résultent d’erreurs humaines.
82. La formation restreinte rappelle que les violations du RGPD relevées en l’espèce sont des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
83. La formation restreinte rappelle également que les amendes administratives doivent être à la fois dissuasives et proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent notamment être prises en compte pour la détermination du montant de l’amende administrative. Elle relève à cet égard que le groupe […] a réalisé un chiffre d’affaires de plus de […] euros pour un résultat net de […] euros en 2020 et de plus de […] euros pour un résultat net de […] euros en 2021.
84. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative d’un montant de 600 000 euros apparaît justifié.
85. En deuxième lieu, une injonction de mettre en conformité le traitement avec les dispositions des articles 7, paragraphe 1, 14 et 32 du RGPD et L. 34-5 du CPCE a été initialement proposée par la rapporteure. 
86. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas prononcer d’injonction sous astreinte.
87. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité s’agissant de l’ensemble des manquements relevés par la rapporteure. Elle considère dès lors qu’il n’y a pas lieu de prononcer d’injonction.
88. En troisième lieu, s’agissant de la publicité de la décision de sanction, la société demande à la formation restreinte de ne pas la publier ou, à titre subsidiaire, de l’anonymiser immédiatement ou au plus tard dans un délai de huit jours. 
89. La formation restreinte considère que la publicité de la sanction se justifie au regard de la nature et du nombre de manquements commis, ainsi que du nombre de personnes concernées par lesdites violations, en particulier plus de 2 400 000 clients s’agissant du manquement à la sécurité des données.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 600 000 (six cent mille) euros pour les manquements à l’article L. 34-5 du CPCE et aux articles 7, paragraphe 1, 12, 13, 14, 15, 21 et 32 du RGPD ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés (CNIL),
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), notamment son article 58 ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8 I 2° b et 66 ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Adopte un référentiel relatif aux traitements de données à caractère personnel mis en œuvre par le laboratoire titulaire des droits d'exploitation d'un médicament bénéficiant d'une autorisation d'accès précoce.
ANNEXE
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE PAR LE LABORATOIRE TITULAIRE DES DROITS D'EXPLOITATION D'UN MÉDICAMENT BÉNÉFICIANT D'UNE AUTORISATION D'ACCÈS PRÉCOCE
Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié;
1. Définitions
Au sens du présent référentiel, les termes suivants sont ainsi définis, comme le prévoit le Règlement général sur la protection des données (RGPD) :
1.1. Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée " personne concernée ") ; est réputée être une " personne physique identifiable " une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
1.2. Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.
1.3. Responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une autorisation d'accès précoce, en assure la gestion, le suivi des patients, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci.
1.4. Représentant : une personne physique ou morale établie dans l'Union, désignée par le responsable du traitement ou le sous-traitant par écrit, en vertu de l'article 27, qui les représente en ce qui concerne leurs obligations respectives en vertu du règlement général sur la protection des données.
1.5. Sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple des fournisseurs de plateformes électroniques, des établissements au sein desquels la collecte des données à caractère personnel est assurée, ou d'un prestataire de services hébergeur de données de santé.
1.6. Destinataire : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers.
1.7. Tiers : une personne physique ou morale, une autorité publique, un service ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel.
1.8. Données génétiques : données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question.
2. A qui s'adresse ce référentiel ?
2.1. Ce référentiel encadre exclusivement les traitements de données à caractère personnel :
mis en œuvre par l'entreprise qui assure l'exploitation du médicament disposant d'une autorisation d'accès précoce, ci-après le responsable de traitement ;
et ayant pour finalités la mise à disposition du médicament sous autorisation d'accès précoce et le suivi des patients traités par un médicament dans le cadre d'une telle autorisation.
2.2. Sont visés par le présent référentiel les traitements de données à caractère personnel relatifs au suivi des patients traités par un médicament disposant d'une autorisation d'accès précoce mis en œuvre à partir de la date d'entrée en vigueur du présent référentiel.
2.3. Sont concernés par le présent référentiel les responsables de traitement établis en France ou qui recourent aux services d'un sous-traitant établi en France ou qui mettent en œuvre un traitement de données à caractère personnel relatives à des personnes résidant en France (patient, personne affectée, professionnel de santé), quel que soit leur lieu d'établissement. Dans l'hypothèse où le responsable de traitement ne serait pas établi sur le territoire de l'Union européenne, il est tenu de désigner par un mandat écrit un représentant établi dans l'Union européenne conformément à l'article 27 du règlement général sur la protection des données (RGPD).
2.4. Le présent référentiel n'est pas applicable :
aux traitements de données à caractère personnel mis en œuvre par les professionnels de santé et les systèmes ou services de soins de santé (p. ex. : établissements de santé, agences sanitaires, etc.) en application des dispositions du 1° de l'article 65 de la loi " informatique et libertés " (par exemple : dossier médical, dossier patient informatisé) ;
aux traitements de données à caractère personnel mis en œuvre par les laboratoires pharmaceutiques à des fins de traçabilité des médicaments ;
aux traitements de données à caractère personnel mis en œuvre par les laboratoires pharmaceutiques à des fins de gestion de la pharmacovigilance (1) ;
aux traitements de données à caractère personnel mis en œuvre pour l'exécution de la convention de dédommagement mentionnée à l'article R. 5121-70 du code de la santé publique (CSP) ;
aux traitements de données à caractère personnel mis en œuvre dans le cadre d'une autorisation d'accès compassionnel ou d'un cadre de prescription compassionnelle prévus à l'article L. 5121-12-1 du CSP.
3. Portée du référentiel
3.1. Ce référentiel précise le cadre juridique, issu du RGPD et des dispositions nationales, applicable aux traitements de données à caractère personnel constitués pour la mise à disposition du médicament sous autorisation d'accès précoce, ainsi que du suivi des patients traités par un médicament sous autorisation d'accès précoce.
3.2. Les responsables de traitement qui réalisent auprès de la CNIL une déclaration de conformité au présent référentiel sont autorisés à mettre en œuvre un traitement de données à caractère personnel à des fins de mise à disposition d'un médicament sous autorisation d'accès précoce et de suivi des patients s'il est strictement conforme au référentiel.
3.3. Tout traitement de données à caractère personnel à des fins de mise à disposition d'un médicament sous autorisation d'accès précoce et de suivi des patients qui ne respecte pas l'ensemble des exigences définies par le présent référentiel doit faire l'objet d'une demande d'autorisation spécifique, conformément aux dispositions de l'article 66 III de la loi " informatique et libertés ".
3.4. Les responsables de traitement doivent mettre en œuvre toutes les mesures appropriées (techniques et organisationnelles) afin de garantir la protection des données à caractère personnel traitées, à la fois dès la conception du traitement et par défaut. Ils doivent, en outre, démontrer cette conformité tout au long de la vie des traitements. Les traitements de données à caractère personnel mis en œuvre dans le cadre du présent référentiel doivent également être inscrits dans le registre des activités de traitement prévu à l'article 30.1 du RGPD.
3.5. Les principes dégagés par la CNIL, dans le présent référentiel, constituent une aide à la réalisation de l'analyse d'impact relative à la protection des données (AIPD) que les responsables de traitement concernés doivent mener (article 14 du présent référentiel). Les responsables de traitement pourront ainsi définir les mesures leur permettant d'assurer la proportionnalité et la nécessité de leurs traitements, de garantir les droits des personnes et la maîtrise des risques présentés par leurs traitements.
4. Responsables de traitement et sous-traitants
4.1. Dans le cadre du présent référentiel, l'organisme ou l'établissement au sein duquel la collecte de données à caractère personnel est assurée agit en qualité de sous-traitants pour la collecte et la transmission de données à caractère personnel au responsable de traitement. Ces établissements et, le cas échéant, les professionnels de santé intervenant dans la prise en charge du patient, restent responsables des traitements pour lesquels ils définissent les finalités et les moyens, notamment à des fins de tenue et de gestion des dossiers médicaux.
4.2. Est également qualifié de sous-traitant, tout organisme intervenant dans le traitement et répondant à la définition de l'article 1.5 du présent référentiel, notamment le fournisseur d'une plateforme électronique de saisie des données à caractère personnel relatives au suivi des patients traités par un médicament disposant d'une autorisation d'accès précoce.
4.3. En cas de recours à un sous-traitant, la prestation doit s'effectuer dans les conditions prévues à l'article 28 du RGPD. Un contrat de sous-traitance doit être conclu entre le prestataire et le responsable de traitement. Ce contrat doit notamment :
spécifier la répartition des responsabilités relatives aux mesures de sécurité et à la gestion des violations de données entre les différents acteurs ;
prévoir les conditions de restitution et de destruction des données ;
prévoir les modalités pour le responsable de traitement pour s'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.) ;
préciser les modalités selon lesquelles le sous-traitant aide, dans la mesure du possible, le responsable de traitement à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées.
4.5. Chaque sous-traitant doit tenir un registre des activités de traitement effectuées pour le compte d'un responsable de traitement dans les conditions de l'article 30.2 du RGPD.
4.6. Dans le cas où le responsable de traitement a recours aux services d'un sous-traitant pour l'hébergement, le stockage ou la conservation des données de santé, ce sous-traitant doit être un hébergeur de données de santé agréé ou certifié selon les dispositions du CSP.
5. Objectif(s) poursuivi(s) par le traitement (Finalités)
5.1. Un traitement de données à caractère personnel mis en œuvre dans le cadre d'une autorisation d'accès précoce a pour finalité de permettre la vérification de l'éligibilité du patient au médicament et le suivi des patients en bénéficiant.
5.2. Pour ce faire, le traitement de données à caractère personnel vise à permettre :
la collecte, l'enregistrement, l'analyse, le suivi, la documentation, la transmission et la conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions de médicaments dans le cadre défini par l'article L. 5121-12 du CSP ;
la gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant des médicaments sous accès précoce et les personnels agissant sous leur responsabilité ou autorité ;
en ce qui concerne les rapports de synthèse, mentionnés à l'article R. 5121-70-1 du CSP, et uniquement s'ils contiennent des données à caractère personnel, l'évaluation des médicaments ayant bénéficié d'une autorisation d'accès précoce par la Haute Autorité de santé (HAS).
5.3. Les données à caractère personnel recueillies pour ces finalités pourront être réutilisées uniquement dans les conditions prévues par le RGPD et la loi " informatique et libertés " applicables aux traitements de données à caractère personnel mis en œuvre à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, et sous réserve de l'accomplissement des formalités préalables requises auprès de la CNIL. Par ailleurs, l'entreposage de données à caractère personnel en vue de leur réutilisation à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé (entrepôt de données de santé) est également soumise au respect des conditions prévues par le RGPD et la loi " informatique et libertés ", ainsi qu'à l'accomplissement des formalités préalables auprès de la CNIL, sauf en cas de recueil du consentement exprès de la personne.
5.4. Ces réutilisations ultérieures constituent des traitements de données distincts de ceux mis en œuvre pour les finalités définies à l'article 5.2.
6. Base(s) légale(s) du traitement
6.1. Dans le cadre du présent référentiel, les obligations légales imposées au responsable de traitement, notamment à l'article L. 5121-12, ainsi qu'aux articles R. 5121-68 et suivants du CSP, sont retenues comme bases légales du traitement de données à caractère personnel conformément aux dispositions de l'article 6.1.c du RGPD.
6.2. La collecte de données sensibles pour les finalités mentionnées à l'article 5 du présent référentiel est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique ; elle a notamment pour objectif de garantir le respect de normes élevées de qualité et de sécurité des soins de santé et des médicaments, conformément aux dispositions de l'article 9.2.i du RGPD et de l'article 66 de la loi " informatique et libertés ".
7. Données à caractère personnel concernées
7.1. Seules peuvent faire l'objet d'un traitement les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies, à savoir la mise à disposition du médicament disposant d'une autorisation d'accès précoce, ainsi que le suivi des patients traités par un médicament concerné par l'autorisation d'accès précoce, dans les conditions et selon les spécificités prévues à l'article L. 5121-12, ainsi qu'aux articles R. 5121-68 et suivants du CSP.
7.2. A ce titre, en fonction de l'objectif poursuivi par le traitement de données à caractère personnel, du médicament concerné et des situations, conformément au protocole d'utilisation thérapeutique et de recueil des données (PUT-RD) défini par la HAS et élaboré, le cas échéant, en lien avec l'Agence nationale de sécurité des médicaments et des produits de santé (ANSM), le responsable de traitement peut collecter et traiter :
a) les données relatives aux patients :
données d'identification du patient : trois premières lettres du nom et deux premières lettres du prénom, numéro, code alphanumérique ou code alphabétique, informations signalétiques (sexe, poids, taille, âge ou année et mois de naissance ou date de naissance complète si nécessaire dans un contexte pédiatrique), à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et de l'identifiant national de santé (INS) ;
données relatives aux caractéristiques de la population bénéficiant du médicament sous autorisation d'accès précoce impliquant les informations sur la santé du patient notamment l'histoire de la maladie, les antécédents personnels ou familiaux, les pathologies ou événements associés ;
données relatives aux conditions d'utilisation du médicament impliquant notamment les traitements concomitants, les informations relatives au mode de prescription, de dispensation et d'utilisation du médicament ainsi qu'à la conduite thérapeutique du prescripteur ;
données portant sur l'efficacité du médicament ;
données liées à la qualité de vie impliquant notamment les questionnaires et leurs résultats ;
données portant sur la sécurité du médicament : nature et fréquence des effets indésirables.
En complément de ces données, le responsable de traitement peut également collecter et traiter les données suivantes sous réserve qu'elles soient strictement nécessaires au regard du produit prescrit et de la pathologie en cause :
l'origine ethnique ;
les données génétiques, à l'exclusion du génome complet ;
la vie sexuelle ;
la consommation de tabac, d'alcool et de drogues ;
b) le cas échéant, les données collectées concernant les personnes en lien avec le patient, uniquement si la prise du médicament les a affectées (partenaire, descendance), notamment les données d'identification dont le lien avec le patient, les données d'efficacité et les données portant sur des effets indésirables telles que décrites à l'article 7.a ;
c) les données relatives aux professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant des médicaments sous accès précoce (notamment les médecins prescripteurs et les pharmaciens dispensateurs) et les personnels agissant sous leur responsabilité ou autorité : nom, prénom, spécialité, numéro d'inscription au répertoire partagé des professionnels de santé (RPPS), coordonnées professionnelles.