L’essentiel
La publicité est justifiée lorsque la sensibilité des données, leur degré d’identifiabilité, leur volume, le nombre de destinataires et les insuffisances de sécurité caractérisent un manquement d’une particulière gravité. En l’espèce, les données médicales, feuilles de soins et séjours hospitaliers permettaient d’identifier fortement les patients, tandis que l’ampleur des traitements et le nombre de destinataires accroissaient le risque.
La publication est toutefois limitée : l’annexe détaillant les manquements techniques est exclue. La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée et cette clôture est également rendue publique. Les décisions sont anonymisées dans un délai de deux ans à compter de leur publication.
En résumé
- Publication de la mise en demeure, hors annexe technique détaillée
- Article 34 : obligation de sécurité et de confidentialité des données
- Données médicales fortement identifiantes et massivement traitées
- Volume des données et nombre de destinataires aggravant le risque
- Mesure non sanctionnatoire, avec clôture publique en cas de conformité
Contexte de l’affaire
Le bureau de la CNIL a été convoqué pour examiner la demande de publicité de cette mise en demeure. Les données concernées comprenaient des actes médicaux, des feuilles de soins et des séjours hospitaliers. Elles révélaient des données de santé et permettaient une forte identification des patients grâce au croisement de plusieurs informations.
Le bureau a également relevé le volume très important des données enregistrées, le nombre élevé de destinataires et les insuffisances de sécurité constatées. Il a décidé de rendre publique la mise en demeure, à l’exception de son annexe technique. Il a rappelé que cette mesure ne constituait pas une sanction et que la procédure serait clôturée en cas de mise en conformité complète dans le délai imparti.
Conditions / critères (ce que le juge vérifie)
- Constater un manquement à l’obligation de sécurité et de confidentialité
- Évaluer la sensibilité particulière des données traitées
- Prendre en compte leur degré d’identifiabilité
- Apprécier le volume de données enregistrées
- Examiner le nombre important de destinataires
- Relever des insuffisances nombreuses en matière de sécurité
- Caractériser une particulière gravité du manquement
Preuves retenues (ce qui a fait pencher la décision)
- Actes médicaux, feuilles de soins et séjours hospitaliers traités
- Informations d’âge, de code postal, de dates de soins et de médecin traitant
- Volume des actes, feuilles de soins et séjours hospitaliers enregistrés
- Nombre important de destinataires des données
- Insuffisances de sécurité relevées par la CNIL
- Rapport public de la Cour des comptes sur les données de santé
Conséquences pratiques
- Mettre en conformité la sécurité des données dans le délai imparti
- Documenter l’exécution de chaque exigence de la mise en demeure
- Réduire les risques liés aux destinataires et aux volumes traités
- Anticiper la publication de la mise en demeure
- Préparer les éléments justifiant une clôture de procédure
Checklist pour Avocats
À faire
- Identifier toutes les données de santé traitées
- Cartographier les destinataires et les accès autorisés
- Corriger les insuffisances de sécurité relevées
- Documenter chaque mesure de mise en conformité
- Respecter le délai de trois mois
À éviter
- Négliger la sensibilité des données médicales
- Maintenir des accès non strictement nécessaires
- Sous-estimer le risque lié au volume traité
- Omettre de répondre aux exigences de la mise en demeure
- Confondre mise en demeure et sanction
FAQ / Q-R juridiques
La publicité des mises en demeure fondée sur l’article 46
La Présidente de la CNIL a convoqué régulièrement le bureau afin qu’il statue sur la publicité de la mise en demeure, conformément à l’article 46, deuxième alinéa, de la loi n° 78-17 du 6 janvier 1978 modifiée. Le bureau a retenu une publication au regard de la sensibilité des données et du risque pour leur sécurité.
La gravité particulière des manquements à l’article 34
Le manquement à l’article 34 a été considéré comme particulièrement grave en raison de la nature médicale des données, de leur forte identifiabilité, du volume traité, du nombre de destinataires et des nombreuses insuffisances de sécurité relevées par la CNIL.
La nature non sanctionnatoire de la mise en demeure
La mise en demeure ne constitue pas une sanction. Aucune suite n’est donnée à la procédure si l’organisme respecte intégralement les exigences dans le délai de trois mois. La clôture est alors également rendue publique.
Textes cités
RGPD & protection des données
Approfondir ce sujet :