La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Laurence FRANCESCHINI et M. Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-085C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […], par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 mars 2023 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 12 octobre 2023 ;

Vu les observations écrites versées par la société les 17 novembre 2023, 8 janvier et 21 mai 2024 ;

Vu les réponses du rapporteur à ces observations, notifiées à la société les 8 décembre 2023 et 15 mars 2024 ;

Vu l’arrivée à échéance du mandat de commissaire de Monsieur François PELLEGRINI le 1erfévrier 2024 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un nouveau rapporteur, Monsieur Claude CASTELLUCCIA, devant la formation restreinte, en date du 31 janvier 2024 ;

Vu la clôture de l’instruction, notifiée à la société le 28 mai 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 13 juin 2024 :

– Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […], dont le siège social est situé au […], est une société par actions simplifiée à associé unique. En 2020 et 2021, elle a réalisé un chiffre d’affaires de […] et de […] et un résultat net de […] et de […].

2. L’associé unique de la société […] est la société […] (ci-après la société ), société par actions simplifiée, dont le siège social est sis au […].

3. En sa qualité d’associé unique, la société […] a décidé la dissolution anticipée sans liquidation de la société […] à compter du […]. La société […] a repris l’intégralité des activités de la société […], ainsi que les traitements des données à caractère personnel qu’elle réalisait.

4. La société […] fait partie du groupe […], spécialisé dans la gestion des flux numériques de l’écosystème santé entre professionnels et dans la conception de logiciels métier, destinés notamment aux professionnels de santé. En 2022, le chiffre d’affaires du groupe […] s’est élevé à […] et son résultat net à […].

5. L’activité de la société […] consiste à éditer et vendre des logiciels de gestion aux médecins de ville exerçant en cabinets et en centres de santé. Environ […] cabinets médicaux et […] centres de santé utilisent les logiciels proposés par la société. Celle-ci édite notamment le logiciel […], qui permet aux médecins de gérer leur agenda, les dossiers de leurs patients et leurs prescriptions.

6. La société propose à un panel de médecins de ville utilisant ce logiciel, éligibles en fonction de critères géographiques, d’âges et de spécialités, d’adhérer à un observatoire en vue de collecter des données issues des dossiers des patients. En cas d’adhésion à l’observatoire , les données contenues dans les logiciels des médecins sont extraites […] afin d’être ensuite utilisées dans le cadre d’études et de statistiques dans le domaine de la santé réalisées par les clients de la société […], dont les sociétés […] et […]. À titre d’exemples, les clients de la société […] réalisent des études sur la prise en charge des patients en fonction de leurs pathologies, sur les disparités démographiques, régionales et les profils de prise en charge des médecins et la mesure de la consommation de soins. En 2021, environ […] médecins avaient adhéré à cet observatoire .

7. En contrepartie, les médecins du panel bénéficient d’une remise sur la licence d’utilisation du logiciel […] et la société leur donne accès aux études statistiques réalisées par la […], ainsi qu’à des tableaux de bord personnalisés.

8. Par décision n° 2020-085C du 12 mai 2020, la présidente de la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […], par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre.

9. Le 30 mars 2021, une délégation de la CNIL a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le Règlement ou RGPD ).

10. Les 12 avril 2021 et 16 février 2023, la société a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place.

11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 2 mars 2023, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

12. Le 12 octobre 2023, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements à l’article 5, paragraphe 1, a) du RGPD et à l’article 66 de la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de se mettre en conformité avec les manquements constatés. Il proposait également que cette décision soit rendue publique.

13. Le 17 novembre 2023, la société a produit des observations en réponse au rapport de sanction.

14. Le rapporteur a répondu aux observations de la société le 8 décembre 2023.

15. Le 8 janvier 2024, la société a produit ses deuxièmes observations en réponse.

16. Le mandat de commissaire de Monsieur François PELLEGRINI arrivant à son terme le 1er février 2024, la présidente de la CNIL a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur le 31 janvier 2024, en application de l’article 40 I alinéa 5 du décret n° 2019-536 du 29 mai 2019.

17. Le 15 mars 2024, le rapporteur a produit une réponse aux deuxièmes observations de la société.

18. Le 21 mai 2024, la société a produit ses troisièmes observations.

19. Par courrier du 27 mai 2024, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close.

20. Par courrier du 27 mai 2024, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 13 juin 2024.

21. Le 12 juin 2024, la société a, par l’intermédiaire de son conseil, sollicité le report de la clôture de l’instruction jusqu’à la tenue de la séance de la formation restreinte prévue le lendemain, afin de pouvoir verser une pièce complémentaire, à savoir la copie d’un courrier adressé par la société […] à la CNIL le 25 avril 2013. Le président de la formation restreinte a fait droit à cette demande.

22. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le grief tiré de la méconnaissance des droits de la défense et du droit à un procès équitable

23. La société soutient qu’il a été porté atteinte à ses droits de la défense dans la mesure où, par courrier du 21 décembre 2023, le président de la formation restreinte lui a refusé l’extension de délai sollicité pour produire ses deuxièmes observations, en méconnaissance du droit à un procès équitable selon elle. Elle précise que, pour pouvoir répondre aux nouveaux arguments avancés par le rapporteur concernant plus particulièrement l’analyse du risque de réidentification pour lequel celle-ci estime que des analyses complémentaires sont nécessaires, la société a dû faire appel à un expert, qui n’était en mesure de rendre ses conclusions que pour la mi-janvier 2024, alors que son délai pour répondre expirait le 8 janvier 2024.

24. La société soutient par ailleurs que des éléments de preuve essentiels qu’elle a invoqués en défense pour démontrer le caractère anonyme des données […] n’ont pas été repris par le rapporteur, de sorte qu’elle s’interroge sur la prise en compte effective de ses arguments et donc sur le respect de ses droits de la défense et sur la garantie d’un procès équitable.

25. En premier lieu, la formation restreinte relève que les délais qui ont été appliqués dans le cadre de la procédure contradictoire sont ceux définis par l’article 40 I du décret n° 2019-536 précité. Elle note que la société a en outre bénéficié d’un délai de cinq jours supplémentaires pour produire ses premières observations en défense, conformément à sa demande formulée auprès du président de la formation restreinte.

26. En deuxième lieu, la formation restreinte souligne que le rapport de sanction a été notifié à la société dès le 12 octobre 2023. Rien ne faisait donc obstacle à ce qu’elle mandate un expert dès cette date puisque, dès le rapport de sanction, le rapporteur considérait que les données que la société traite ne sont pas anonymes mais pseudonymes. L’analyse et la position du rapporteur sur ce point ont été constantes dans le cadre de la procédure de sanction et exposées dès le rapport de sanction. La société aurait donc pu solliciter un expert bien avant la réception de la réponse du rapporteur à ses premières observations en défense.

27. En troisième lieu, la formation restreinte relève que la société a pu produire les conclusions de l’expertise utiles à sa défense qu’elle souhaitait produire, puisque le rapporteur n’a pas clos l’instruction à l’issue des deuxièmes observations en défense de la société. Il a en effet décidé d’adresser une deuxième réponse aux observations de la société, laquelle a disposé d’un délai de deux mois et sept jours pour produire ses troisièmes observations en réponse.

28. En dernier lieu, si la société estime que le rapporteur n’a pas suffisamment pris en compte les arguments qu’elle avance dans ses différents écrits et a commis différentes erreurs d’appréciation, la formation restreinte rappelle que l’ensemble des écritures et pièces produites à la fois par la société et par le rapporteur ont bien été portées à sa connaissance, et qu’elle dispose ainsi des éléments nécessaires afin de se prononcer sur le traitement en cause. La formation restreinte relève également que la société a pu présenter ses observations en défense dans ses trois jeux d’écriture, plusieurs tours de contradictoire ayant eu lieu dans le cadre de cette procédure, ainsi qu’oralement lors de la séance de formation restreinte du 13 juin 2024.

29. La formation restreinte considère dès lors que le grief tiré de la méconnaissance de ses droits de la défense et du droit à un procès équitable doit être écarté.

B. Sur le traitement en cause et la responsabilité de traitement

30. Au moment du contrôle effectué par la CNIL et jusqu’en 2022, la société collectait un certain nombre de données auprès des médecins panélistes ayant adhéré à son observatoire . Ces données étaient relatives à la fois au dossier administratif des patients (numéros de patient, année de naissance, sexe, catégorie socio-professionnelle, code de la région, date de la consultation), au dossier médical (allergies, antécédents du patient, antécédents familiaux, taille, poids, pouls, tension, diagnostics du jour etc.), aux prescriptions pharmaceutiques (médicament, posologie, durée, etc.) et aux autres prescriptions (arrêt de travail, vaccins, résultats d’examens biologiques, etc.).

31. Toutes ces données sont chiffrées et reliées à un identifiant unique pour chaque patient, qui ne repose sur aucun trait d’identité du patient. Les données des patients sont extraites périodiquement […] pour constituer un fichier sur le poste du médecin panéliste. Lors de la génération de ce fichier, les numéros patients du flux sont rechiffrés. Le fichier est ensuite acheminé par canal chiffré HTTPS vers le serveur hébergeant la base de données qui agrège et stocke transitoirement les données. Ainsi, même si chaque patient se voit attribuer des identifiants différents dans […] et dans les fichiers transmis par les médecins à la société […], l’ensemble des données concernant un même patient du même médecin est bien toujours associé à ce deuxième identifiant dans le jeu de données communiqué à la société […]. En revanche, un même patient se rendant dans un autre cabinet médical se verra attribuer un autre identifiant unique propre à cet autre cabinet. L’identifiant étant lié aux données médicales et administratives d’un même patient, il permet donc le suivi de l’historique du patient pour un seul et même cabinet.

32. Les lignes présentes dans la base de données sont composées des identifiants du patient et du médecin consulté, ainsi que de divers codes. […] D’après les chiffres communiqués par la société, le nombre de lignes collectées entre le 1er janvier 2021 et le 2 avril 2021 par la société […] est de plus de […].

33. Les données sont conservées trois mois à compter de leur réception […]. Ensuite, elles sont transmises aux clients de la société, dont la société […], qui réalise des études et statistiques dans le domaine de la santé. Bien que les données ne soient conservées que trois mois dans le flux, certaines présentent une profondeur historique plus importante. Par exemple, les données issues du téléservice HRi, qui sera évoqué ci-après, sont automatiquement téléchargées sur une profondeur de douze mois lorsque le médecin les consulte.

34. La société […] considère que les données qu’elle traite sont anonymes et ne sont donc plus soumises au régime applicable en matière de protection des données à caractère personnel.

35. Le rapporteur estime quant à lui que la société s’est constituée un entrepôt de données de santé pseudonymisées à partir des données que lui communiquent les médecins panélistes, afin de les mettre à disposition de ses clients – dont certains appartiennent au même groupe – qui réalisent des études et statistiques dans le domaine de la santé. Ainsi, le rapporteur estime que la société […] est tenue de se conformer à la règlementation relative à la protection des données à caractère personnel pour traiter lesdites données et, notamment, de disposer d’une autorisation pour ce faire.

36. En défense, la société fait également valoir qu’elle a mis en œuvre, depuis 2022, des nouvelles mesures d’appauvrissement des données au stade de l’extraction, données qui sont depuis lors moins précises. Elle ne collecte par exemple plus les informations des patients dont l’année de naissance est inférieure ou égale à 1920 ou si le patient est âgé de plus de 95 ans, elle ne collecte plus le nombre exact d’enfants des patients (0 si pas d’enfants, 1 si 1 enfant ou plus, et si le patient a moins de 18 ans le nombre d’enfants est systématiquement à 0) ou encore ne collecte plus les informations des patients ayant un sexe indéterminé.

37. La formation restreinte considère qu’il y a lieu d’examiner la nature des données traitées et la qualification du traitement avant de pouvoir déterminer les responsabilités associées à celui-ci.

1) Sur la nature des données traitées dans le […]

a) Sur le cadre juridique applicable

38. L’article 4, paragraphe 1, du RGPD définit la notion de données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification […] .

39. L’article 4, paragraphe 15, du RGPD dispose que les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne constituent des données de santé.

40. L’article 4, paragraphe 5, du RGPD définit la pseudonymisation comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable .

41. La formation restreinte relève que, contrairement à la notion de pseudonymisation, la notion d’anonymisation n’est pas définie par le RGPD.

42. Le considérant 26 du RGPD dispose que Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci. Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s’applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche .

43. Dans son arrêt Breyer rendu sous l’empire de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (CJUE, 2ème chambre, 19 octobre 2016, C-582/14), la Cour de justice de l’Union européenne (ci-après la CJUE ) a jugé que le considérant 26 de la directive 95/46 énonce que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne (§ 42) et que dans la mesure où ce considérant fait référence aux moyens susceptibles d’être raisonnablement mis en œuvre tant par le responsable du traitement que par une autre personne , le libellé de celui-ci suggère que, pour qu’une donnée puisse être qualifiée de donnée à caractère personnel […], il n’est pas requis que toutes les informations permettant d’identifier la personne concernée doivent se trouver entre les mains d’une seule personne (§ 43).

44. Cette jurisprudence a été confirmée dans l’arrêt OC c/ Commission européenne (CJUE, 6ème chambre, 7 mars 2024, C-479/22). Dans ladite affaire, la CJUE a jugé que la circonstance que des informations supplémentaires sont nécessaires pour identifier la personne concernée n’est pas de nature à exclure que les données en cause puissent être qualifiées de données à caractère personnel (§ 49), tout en prenant en compte le fait que la possibilité de combiner les données en cause avec des informations supplémentaires constitue un moyen susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée en prenant en considération l’ensemble des facteurs objectifs tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci (§ 50).

45. La CJUE précise en outre dans cet arrêt qu’ il est inhérent à l’ identification indirecte d’une personne que des informations supplémentaires doivent être combinées avec les données en cause aux fins de l’identification de la personne visée (§ 55) et que la requérante n’était pas tenue d’apporter la preuve qu’elle avait effectivement été identifiée par l’une de ces personnes, puisqu’une telle condition n’est pas prévue à l’article 3, point 1, du règlement 2018/1725, celui-ci se limitant à exiger qu’une personne soit identifiable (§ 61).

46. Enfin, dans l’arrêt IAB Europe c/ Gegevensbeschermingsautoriteit (CJUE, 4ème chambre, 7 mars 2024, C-604/22), la Cour a considéré que L’article 4, point 1, du RGPD doit être interprété en ce sens qu’une chaîne composée d’une combinaison de lettres et de caractères, telle que la TC String [Transparency and Consent String], contenant les préférences d’un utilisateur d’Internet ou d’une application relatives au consentement de cet utilisateur au traitement des données à caractère personnel le concernant par des fournisseurs de sites Internet ou d’applications ainsi que par des courtiers de telles données et par des plateformes publicitaires, constitue une donnée à caractère personnel au sens de cette disposition dans la mesure où, lorsque celle-ci peut, par des moyens raisonnables, être associée à un identifiant, tels que notamment l’adresse IP de l’appareil dudit utilisateur, elle permet d’identifier la personne concernée. . Elle ajoute que la circonstance que, sans une contribution extérieure, une organisation sectorielle détenant cette chaîne ne peut ni accéder aux données qui sont traitées par ses membres dans le cadre des règles qu’elle a établies ni combiner ladite chaîne avec d’autres éléments ne fait pas obstacle à ce que la même chaîne constitue une donnée à caractère personnel au sens de ladite disposition (§ 51).

47. Enfin, à titre d’éclairage, la formation restreinte relève que, dans son Avis 05/2014 sur les techniques d’anonymisation du 10 avril 2014, le Groupe de travail Article 29 sur la protection des données (ci-après G29 ), devenu le Comité européen de la protection des données (ci-après CEPD ), indique qu’un processus peut notamment être qualifié d’anonymisation lorsqu’il résiste aux trois types de risques suivants :

– l’individualisation, qui correspond à la possibilité d’isoler une partie ou la totalité des enregistrements identifiant un individu dans l’ensemble de données ;

– la corrélation, qui consiste en la capacité de relier entre elles, au moins, deux enregistrements se rapportant à la même personne concernée ou à un groupe de personnes concernées ;

– l’inférence, qui est la possibilité de déduire, avec un degré de probabilité élevé, la valeur d’un attribut à partir des valeurs d’un ensemble d’autres attributs.

48. À défaut de résister aux trois types de risques mentionnés ci-dessus, les données ne seront pas nécessairement qualifiées de pseudonymes . Elles pourront être qualifiées d’anonymes dans l’hypothèse où le responsable de traitement est en mesure de démontrer que la réidentification n’est pas possible par des moyens raisonnables , c’est-à-dire que les risques de réidentification sont négligeables.

49. Le rapporteur fait valoir, à la lumière des différents éléments issus de la jurisprudence et de la doctrine, qu’il ne fait pas doute que le cadre juridique applicable permet d’apprécier le caractère anonyme ou pseudonyme des données traitées et de déterminer que, de manière constante, le suivi de personnes dans la durée, à l’aide d’un identifiant unique, permet d’isoler un individu dans un jeu de données et augmente donc le risque de levée du pseudonymat.

50. La société considère au contraire que le cadre légal, jurisprudentiel et doctrinal autour de la question de l’anonymisation de données est source d’insécurité juridique pour les opérateurs. Elle souligne le manque de clarté de ce cadre et l’absence de référentiels, de méthodologies ou de prescriptions techniques permettant de démontrer le caractère anonyme d’un jeu de données. Elle soutient que les publications, notamment de la CNIL, du G29 et du CEPD, ne permettent pas d’assurer le respect du principe de prévisibilité du droit découlant de l’exigence constitutionnelle de sécurité juridique en droit français en ce qu’elles ne présentent pas de prescriptions, notamment techniques, suffisamment claires que ce soit pour permettre aux opérateurs d’assurer une confiance raisonnable dans le résultat des procédés d’anonymisation utilisés ou pour assurer la recevabilité de la preuve de l’anonymisation vis-à-vis de la CNIL. La société fait valoir différents arguments afin d’appuyer sa position.

51. Premièrement, la société fait état d’une décision rendue par le juge du tribunal de Milan (tribunal de Milan, ordonnance du 4 décembre 2023), dans le cadre d’un contentieux opposant l’autorité de protection des données italienne à une filiale italienne du groupe […] -, qui poursuit une activité similaire à celle de la société […] au titre de l’observatoire . Selon la société, le juge a considéré qu’en l’état des éléments, l’autorité italienne n’avait pas démontré que les données n’étaient pas anonymes et qu’une expertise indépendante devait être conduite pour vérifier le caractère anonyme des données, les possibilités de réidentification des personnes, ainsi que le risque concret de cette réidentification en tenant compte du temps et des coûts nécessaires.

52. Deuxièmement, la société fait valoir qu’elle est fondée à se baser sur l’acceptation probabiliste de la notion de donnée à caractère personnel, estimant que l’analyse du risque d’identification ne doit pas nécessairement tendre à réduire ce risque à zéro, mais plutôt à réduire ce risque à un niveau acceptable au regard de la sensibilité des données, du contexte et des finalités du traitement. Elle cite à l’appui un document commun de l’autorité espagnole de protection des données et du CEPD publié en juin 2021, ainsi qu’un article publié et corédigé par le rapporteur, Monsieur CASTELLUCCIA, en 2020.

53. Troisièmement, elle fait valoir que le fait qu’un jeu de données puisse être relié à un identifiant n’exclut pas que ces données puissent être anonymes, à l’instar des données contenues dans la base OpenDamir du SNIIRAM. La société estime que si les données de l’OpenDamir, plus précises à de nombreux égards que celles traitées par […], ont pu être considérées comme anonymes, celles […] doivent également l’être.

54. Enfin, la société soutient que même en cas d’identification d’un code patient associé aux informations connues sur l’individu recherché dans […], cela ne conduit pas nécessairement à la réidentification. En effet, elle soutient qu’il n’existe qu’une certaine probabilité que les informations retrouvées dans la base soient celles de la personne recherchée. Elle estime que de multiples incertitudes mettent en échec la possibilité de réidentification , par exemple parce qu’un individu peut partager les caractéristiques connues avec d’autres individus ou encore parce qu’il n’est pas possible de savoir si l’individu recherché est présent ou non dans la base. La société cite à l’appui un extrait d’une publication de la Direction de la recherche, des études de l’évaluation et des statistiques (DREES).

[… passage central omis : décision trop longue pour une cellule …]

119. La formation restreinte rappelle que, pour les raisons exposées ci-avant, la société […] traitait, au jour du contrôle, des données de santé de manière pseudonymisée pour se constituer un entrepôt de données de santé, de sorte qu’elle était tenue de respecter le RGPD et la loi Informatique et Libertés.

120. En premier lieu, la formation restreinte relève que la seule exception prévue aux obligations de l’article 65 de ladite loi susceptible de s’appliquer en l’espèce est celle relative au cas dans lequel la personne concernée a donné son consentement explicite au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, conformément à l’article 65 1°, renvoyant à l’alinéa a) de l’article 9, paragraphe 2, du RGPD. Or, en l’espèce, dans la mesure où la société […] considère ne pas traiter de données à caractère personnel, elle n’a mis en œuvre aucune mesure pour se conformer aux règles applicables en matière de traitement de ces données. En particulier, la société n’a mis en œuvre aucun mécanisme de recueil du consentement explicite et préalable des patients des médecins du panel pour le traitement en cause.

121. En conséquence, la formation restreinte considère que, dès lors que la société traitait des données de santé au jour du contrôle et qu’elle ne peut se prévaloir d’aucune des exceptions prévues à l’article 65 de la loi Informatique et Libertés, le traitement qu’elle met en œuvre est soumis à la section 3 du chapitre III de la loi Informatique et Libertés.

122. En deuxième lieu, la formation restreinte relève qu’en l’espèce, la société ne s’est pas conformée aux exigences de l’article 66 de la loi Informatique et Libertés pour se constituer un entrepôt de données de santé.

123. Tout d’abord, elle relève que la société n’a formulé aucune demande d’autorisation visant à ce que le traitement en cause soit considéré comme nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique ou nécessaire à des fins de recherche scientifique.

124. Ensuite, la formation restreinte rappelle qu’en l’absence d’autorisation de la CNIL, un traitement de données à caractère personnel dans le domaine de la santé peut également être mis en œuvre s’il est conforme à un référentiel au sens du II de l’article 66 de la loi Informatique et Libertés, à condition que le responsable du traitement adresse préalablement à la CNIL une déclaration attestant de cette conformité. La formation restreinte constate que ce n’est pas le cas en l’espèce et que la société n’a adressé à la CNIL aucune déclaration attestant de cette conformité.

125. En troisième lieu, la formation restreinte prend acte des nouvelles mesures mises en œuvre postérieurement au contrôle.

126. D’une part, la société a indiqué qu’elle ne collectait plus certaines données depuis 2022. Cependant, comme développé ci-avant, la formation restreinte considère que les éléments communiqués par la société en cours de procédure ne lui permettent pas de s’assurer qu’elle traite désormais des données anonymes. Elle relève par ailleurs, en tout état de cause, que les mesures déployées en 2022 ne sauraient exonérer la société de sa responsabilité pour le passé.

127. D’autre part, la société a indiqué qu’à compter de la fin du mois de juillet 2024, elle n’interviendrait plus dans la gestion […], qui alimente désormais directement la base […] détenue par la société […]. Ainsi, les données […] ne transitent plus via la société […].

128. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que la société traitait des données de santé au jour du contrôle et jusqu’à juillet 2024 et qu’elle aurait dû se conformer aux exigences de l’article 66 de la loi du 6 janvier 1978 modifiée pour se constituer un entrepôt de données de santé.

129. Par conséquent, la formation restreinte considère que la société a manqué à ses obligations en traitant des données à caractère personnel dans le domaine de la santé en violation de l’article 66 de la loi du 6 janvier 1978 modifiée.

130. Au regard des mesures prises par la société au cours de la procédure, la formation restreinte considère qu’il n’y a pas lieu de prononcer une injonction de mise en conformité avec les dispositions de l’article 66 précité, comme le proposait le rapporteur, la société n’intervenant plus à ce jour dans la gestion […].

D. Sur le manquement à l’article 5, paragraphe 1, a) du RGPD

131. Aux termes de l’article 5, paragraphe 1, a) du RGPD, Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) .

132. L’article L. 162-4-3 du code de la sécurité sociale dispose que les médecins peuvent, à l’occasion des soins qu’ils délivrent et sous les conditions prévues à l’article L. 161-31, consulter les données issues des procédures de remboursement ou de prise en charge qui sont détenues par l’organisme dont relève chaque bénéficiaire de l’assurance maladie. Dans ce cas, ils en informent préalablement le patient. Le bénéficiaire des soins donne son accord à cet accès en permettant au médecin d’utiliser, à cet effet, le moyen d’identification électronique mentionné à l’article L. 161-31. Le relevé des données mis à la disposition du médecin contient les informations nécessaires à l’identification des actes, produits ou prestations pris en charge pour les soins délivrés en ville ou en établissement de santé, au regard notamment des listes mentionnées aux articles L. 162-1-7, L. 165-1 et L. 162-17. Il comporte également le code prévu pour les identifier dans ces listes, le niveau de prise en charge et, pour les patients atteints d’une affection de longue durée, les éléments constitutifs du protocole de soins mentionné au septième alinéa de l’article L. 324-1. […] .

133. L’article R. 162-1-10 du même code dispose quant à lui que Pour l’application de l’article L. 162-4-3, les organismes gestionnaires des régimes de base d’assurance maladie assurent, à l’usage des médecins conventionnés ou exerçant leur activité dans un établissement ou un centre de santé, à l’occasion des soins qu’ils délivrent, la mise en œuvre d’un service de consultation par voie électronique des informations afférentes aux prestations délivrées à leurs bénéficiaires .

134. Pour la mise en œuvre de ces dispositions, l’assurance maladie a mis en place, notamment, deux téléservices :

– le téléservice HRi : informations relatives à l’historique des remboursements de santé effectués par l’assurance maladie pour un patient sur les douze derniers mois ;

– le téléservice ALDi : données relatives aux affections longue durée (ALD) reconnues par l’assurance maladie pour un patient (notamment la date de la consultation, le code de l’ALD, les dates de début et de fin de l’ALD et l’information selon laquelle l’ALD est prise en charge).

135. En l’espèce, la délégation de contrôle a constaté que, parmi les données transmises par […] à la société […], figurent des données issues de ces deux téléservices.

136. La délégation a par ailleurs été informée que les informations transmises à la société […] par l’intermédiaire […] peuvent être issues de l’interrogation des téléservices ou avoir été directement renseignées par les médecins.

137. Le rapporteur soutient que les dispositions du code de la sécurité sociale et du code de la santé publique prévoient uniquement un droit de consultation des données contenues dans les téléservices mis en place par la Caisse nationale d’assurance maladie (CNAM) par des professionnels habilités. Elles ne prévoient pas la possibilité pour un acteur privé, par l’intermédiaire du médecin, de collecter directement ces données depuis les téléservices. Ainsi, le rapporteur estime que la collecte de ces données par […] est illicite et effectuée en violation de l’article 5, paragraphe 1, a) du RGPD.

1) Sur les données issues du téléservice ALDi

138. La formation restreinte rappelle que les dispositions du code de la sécurité sociale régissent uniquement les modalités d’accès direct aux données personnelles issues du téléservice ALDi, mais ne prescrivent pas l’accès à ces mêmes données depuis les dossiers informatisés des médecins. La CNIL a d’ailleurs autorisé par le passé des extractions pseudonymisées des dossiers patients, pour la constitution de bases de données de santé, sans exclure par principe que soient importées dans ces bases des données issues originellement des bases de l’assurance maladie, à condition que le traitement soit proportionné et suffisamment sécurisé, et que les autres règles de traitement des données à caractère personnel soient respectées. Dans ces conditions, la formation restreinte estime que, ainsi que la société le soutient, celle-ci est autorisée à recevoir dans […] les données issues du téléservice ALDi dans la mesure où elles sont intégrées au dossier informatisé du patient du médecin par le médecin lui-même, au même titre que les autres données qui y sont enregistrées.

139. Or, il ressort des pièces du dossier que l’extracteur […] a pour seul objet de permettre l’extraction des données issues des dossiers informatisés des patients mais ne procède à aucune connexion au téléservice et n’en aspire pas les données directement. En particulier, la société fait valoir que le médecin peut, dans un premier temps, consulter les données issues du téléservice ALDi sans les télécharger et, dans un second temps, décider de télécharger ces données et de les verser au dossier patient informatisé du logiciel […].

140. La formation restreinte prend acte des éléments apportés par la société et estime que le manquement à l’article 5, paragraphe 1, a) du RGPD n’est pas constitué s’agissant de la collecte de données issues du téléservice ALDi.

2) Sur les données issues du téléservice HRi

141. S’agissant des données issues du téléservice HRi, la société soutient en défense que les dispositions du code de la sécurité sociale ne prévoient pas de règles qui prescrivent ou interdisent l’accès aux dossiers informatisés des médecins contenant des données provenant du téléservice HRi, de surcroît lorsqu’un tel accès ne concerne que des données anonymes. Ainsi, la société estime être autorisée à recevoir ces données dans […], au même titre que les autres données qui figurent dans les dossiers patients.

142. Plus particulièrement, la société fait valoir que les données issues du téléservice HRi sont enregistrées dans […] en local sur le poste du médecin, par le médecin lui-même au moment de la consultation du téléservice, et que ce n’est que dans un second temps que les données sont récupérées par l’extracteur […]. Elle en conclut que l’extracteur […] ne procède à aucune aspiration directe de ces données et que la collecte ne peut donc être considérée comme illicite. Cependant, la société a indiqué être disposée, à titre subsidiaire et dans l’hypothèse où la formation restreinte retiendrait la position du rapporteur, à faire évoluer le logiciel […] dans un sens où le téléchargement des données HRi n’interviendrait que sur option activable par les médecins.

143. En tout état de cause, la société insiste sur sa transparence et sa bonne foi, soutenant que la CNIL avait connaissance des modalités de remontée des données d’historique de remboursement auprès de la société […], puis […]. Elle produit à l’appui de sa défense un courrier daté du 25 avril 2013 dans lequel la société […] informait la CNIL de l’intégration dans le logiciel des médecins d’une fonctionnalité permettant la conservation des données issues de l’historique de remboursement.

144. Enfin, la société insiste sur le fait que l’accès aux données du téléservice HRi par les professionnels de santé est recommandé par le GIE SESAME-Vitale et que, plus globalement, cette fonctionnalité d’accès aux données par les médecins poursuit un objectif de santé publique et de prévention de l’iatrogénie médicamenteuse, afin qu’ils puissent disposer des informations relatives aux médicaments, soins et examens prescrits à leur patient par d’autres médecins.

145. Le rapporteur insiste sur le fait que la difficulté ne réside pas dans le fait que le médecin accède aux données des téléservices HRi et puisse les verser dans le dossier informatisé patient, mais dans le fait qu’à partir du moment où le médecin y accède, la société […] se voit transmettre les données automatiquement, sans que le médecin ait jugé nécessaire que ces informations figurent dans le dossier du patient au sein de son logiciel de travail, en procédant lui-même à leur intégration dans le dossier.

146. La formation restreinte constate qu’à la différence des données issues du téléservice ALDi, la consultation des données issues du téléservice HRi par le médecin emporte leur téléchargement automatique, sur une profondeur de douze mois, dans le dossier informatisé du patient du logiciel […].

147. En ne prévoyant pas d’étape intermédiaire par laquelle le médecin peut consulter les données sans que la consultation n’emporte automatiquement le téléchargement dans le dossier patient, la formation restreinte estime que la société […] procède à une aspiration automatique des données issues du téléservice HRi dans […], dès que le médecin se connecte au logiciel pour consulter les données et sans aucune action complémentaire de sa part.

148. La formation restreinte estime par ailleurs que le critère de praticité invoqué en défense par la société, selon lequel les médecins ont accès directement aux informations relatives aux médicaments, soins et examens prescrits à leurs patients par d’autres médecins afin de détecter d’éventuelles incompatibilités, ne saurait justifier une utilisation des données de patients allant à l’encontre de la réglementation.

149. La formation restreinte rappelle en outre que ce n’est pas l’accès aux données du téléservice HRi par les médecins ni leur versement au dossier informatisé patient qui est remis en cause, mais le fait que l’extracteur ne prévoit pas de la possibilité de consulter les données sans téléchargement automatique dans le dossier patient et donc, de facto, sans aspiration de ces données par la société […] via l’extracteur […]. La formation restreinte estime que cette collecte de données intervient en méconnaissance des articles L. 162-4-3 et R. 162-1-10 du code de la sécurité sociale et de l’article R. 1111-8-6 du code de la santé publique, qui ne prévoient pas pour un acteur privé cette possibilité de collecter directement, par l’intermédiaire de la seule consultation par un médecin du téléservice HRi, des données qu’il contient.

150. Enfin, s’agissant du courrier du 25 avril 2013 produit par la société, la formation restreinte relève que celui-ci ne détaille pas les modalités de consultation, de téléchargement dans le dossier patient puis de transmission des données de l’historique de remboursement à la société […]. Or, la formation restreinte rappelle que ce n’est pas l’accès aux données par les médecins qui est remis en cause, mais les modalités de leur transmission à la société. Dès lors, le contenu de ce courrier n’est pas de nature à influer sur la caractérisation du manquement.

151. Au regard de ce qui précède, la formation restreinte estime que le manquement à l’article 5, paragraphe 1, a) du RGPD est constitué s’agissant de la collecte de données issues du téléservice HRi.

III. Sur le prononcé de mesures correctrices et la publicité

152. L’article 20, paragraphe IV, de la loi Informatique et Libertés dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou après avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues au III, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règle-ment (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes pré-sentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut ex-céder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]

7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les cri-tères précisés au même article 83 .

153. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe IV, de la loi Informatique et Libertés, prévoit quant à lui que Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

A. Sur le prononcé d’une amende administrative et son montant

154. La société fait valoir qu’elle a de bonne foi considéré qu’elle ne traitait pas de données à caractère personnel. Elle relève qu’une action répressive a été déclenchée à son encontre plus de deux ans après les contrôles sans que la CNIL ne lui ait préalablement notifié sa position divergente sur l’appréciation de la nature des données traitées et ne lui a donc pas donné l’occasion de procéder aux formalités requises. Elle soutient également que la CNIL avait connaissance du traitement mis en œuvre par la société depuis les contrôles menés auprès de […] en 2002 et 2012 sans qu’il n’ait été demandé à la société de déposer une demande d’autorisation. Enfin, la société indique que, compte tenu de son statut de sous-traitant, elle ne peut être considérée comme responsable des manquements allégués, les dispositions de l’article 66 de la loi Informatique et Libertés et de l’article 5, paragraphe 1, a) du RGPD énonçant des obligations applicables aux responsables de traitement uniquement.

155. S’agissant du montant de l’amende proposé par le rapporteur, la société considère qu’il est disproportionné et qu’il n’est pas démontré comment la part du chiffre d’affaires de la société […] relative à l’activité de l’observatoire a été prise en compte dans la détermination de ce montant.

156. En premier lieu, la formation restreinte relève que les manquements constatés aux dispositions de l’article 66 de la loi Informatique et Libertés et de l’article 5, paragraphe 1, a) du RGPD lui sont imputables en sa qualité de responsable du traitement en cause.

157. En deuxième lieu, pour évaluer le bien-fondé du prononcé d’une amende, la formation restreinte souligne qu’il convient de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement, compte tenu de la nature, de la portée du traitement e