Publicité d’une mise en demeure CNIL pour renforcer la protection des données de santé

Sur le fondement de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, la présidente de la CNIL peut mettre en demeure un responsable de traitement de faire cesser des manquements au RGPD et à la loi Informatique et Libertés. La mise en demeure n’a pas le caractère d’une sanction et la procédure est clôturée si ses exigences sont respectées dans le délai imparti.

La décision de mise en demeure peut être rendue publique par le bureau de la CNIL lorsque cette publicité est justifiée par l’intérêt public, la nature inédite des questions soulevées, la qualité de personne publique du responsable de traitement, la mission d’intérêt public poursuivie ou le nombre de personnes concernées. La publicité contribue alors à la transparence du contrôle et à la sensibilisation des utilisateurs.

La décision impose notamment de limiter la remontée des historiques de contacts, de compléter l’information des utilisateurs sur les destinataires et les opérations de lecture effectuées par reCaptcha, de garantir le contenu du contrat de sous-traitance conformément à l’article 28 du RGPD et de compléter l’analyse d’impact. Les données relatives à la santé doivent être collectées et conservées dans les limites strictement nécessaires à la gestion de la crise sanitaire. L’identification du responsable est supprimée après deux ans.

⬇️Télécharger la décision version officielle

La CNIL a relevé, dans l’application de suivi sanitaire, plusieurs manquements malgré un fonctionnement globalement conforme et le suivi de nombreuses recommandations. La responsable de traitement a été mise en demeure de limiter la transmission des historiques de contacts, de compléter l’information des utilisateurs et de régulariser la sous-traitance ainsi que l’analyse d’impact. Le bureau a décidé de rendre cette mesure publique en raison de la sensibilité des données et du nombre d’utilisateurs.

La CNIL a contrôlé, les 9, 25 et 26 juin 2020, le traitement de données personnelles mis en œuvre dans le cadre d’une application de suivi sanitaire. Elle a constaté que le fonctionnement respectait pour l’essentiel les règles applicables et que la plupart de ses préconisations antérieures avaient été suivies, mais a relevé plusieurs manquements au RGPD et à la loi Informatique et Libertés.

La présidente de la CNIL a mis en demeure le responsable de traitement de limiter la transmission des historiques de contacts, de compléter l’information des utilisateurs, de régulariser le contrat de sous-traitance et l’analyse d’impact, dans un délai d’un mois.

Saisi pour décider de la publicité de cette mise en demeure, le bureau a retenu le caractère inédit des questions soulevées, la sensibilité des données de santé, la qualité de personne publique du responsable, la mission d’intérêt public et le nombre élevé d’utilisateurs. Il a ordonné la publication, en rappelant l’absence de caractère sanctionnateur de la mise en demeure.

• Identifier des questions inédites de protection de la vie privée
• Vérifier la sensibilité particulière des données relatives à la santé
• Limiter la collecte et la conservation au strict nécessaire
• Prendre en compte la qualité de personne publique du responsable
• Caractériser une mission d’intérêt public liée au traitement
• Évaluer le nombre de personnes concernées par le traitement
• Apprécier l’objectif de transparence du contrôle exercé

• Contrôles CNIL réalisés les 9, 25 et 26 juin 2020
• Avis publics de la CNIL des 24 avril et 25 mai 2020
• Constat de transmission intégrale des historiques de contacts
• Présence de reCaptcha et lectures d’informations sur les terminaux
• Environ 1,9 million de téléchargements et 1,5 million d’activations

La personne publique responsable du traitement doit exécuter les mesures prescrites dans le délai d’un mois, sans que la mise en demeure constitue une sanction. La publicité expose le contrôle au public, mais l’identification du responsable disparaîtra après deux ans ; une clôture publique interviendra en cas de conformité complète.

• Déployer la version v1.1 de l’application
• Cesser la remontée intégrale des historiques de contacts
• Compléter l’information sur destinataires et lectures reCaptcha
• Mettre le contrat de sous-traitance en conformité avec l’article 28
• Compléter l’analyse d’impact relative au traitement

À faire

• Mettre à jour l’application vers la version v1.1
• Limiter la transmission des historiques de contacts
• Informer sur les destinataires des données
• Documenter les opérations de lecture par reCaptcha
• Compléter le contrat et l’analyse d’impact

À éviter

• Transmettre l’intégralité de l’historique au serveur central
• Maintenir le blocage sur une version non conforme
• Omettre le droit de refuser les lectures terminales
• Négliger les mentions exigées pour le sous-traitant
• Conserver des données de santé au-delà du nécessaire

La publicité des mises en demeure de la CNIL

La publicité est jugée justifiée par le caractère inédit des questions de protection de la vie privée, la qualité de personne publique du responsable, la mission d’intérêt public, les avis antérieurement publiés et le nombre élevé de personnes concernées. Elle poursuit un objectif de transparence et de sensibilisation du public.

Les limites nécessaires des données de santé

Le bureau rappelle que les données issues de l’application, particulièrement sensibles car relatives à l’état de santé, ne doivent être collectées et conservées que dans les limites strictement nécessaires à la gestion de la crise sanitaire. La protection de la santé peut justifier certaines atteintes à la vie privée, sous cette réserve de nécessité.

Les obligations prescrites par la mise en demeure

Le responsable doit cesser la remontée intégrale de l’historique des contacts, compléter l’information sur les destinataires et les lectures effectuées par reCaptcha, respecter l’article 28 du RGPD dans le contrat de sous-traitance et compléter l’analyse d’impact. La mise en demeure n’est pas une sanction ; sa conformité dans le délai entraîne la clôture de la procédure.

Article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, Article 28 du règlement (UE) 2016/679 (RGPD), Loi n° 78-17 du 6 janvier 1978 modifiée