Données pseudonymisées de santé : maintien de la qualification de données personnelles

La formation restreinte retient que les données issues des entrepôts LRX et EMR demeurent des données à caractère personnel malgré les procédés successifs de pseudonymisation. La possibilité technique de réidentifier les personnes, notamment par recoupement avec des informations de consultation ou des sources ouvertes, suffit à maintenir cette qualification. Des clauses contractuelles interdisant la réidentification ne constituent pas une interdiction légale au sens de la jurisprudence européenne citée.

La société est responsable des opérations participant à la constitution des entrepôts dès lors qu’elle en détermine les finalités et les modalités. Les traitements de données de santé relevant de l’article 66, III, de la loi n° 78-17 du 6 janvier 1978 ne peuvent être mis en œuvre qu’après autorisation de la CNIL lorsqu’ils ne sont pas conformes à un référentiel. L’organisme doit respecter les termes de la délibération d’autorisation, et non les seuls éléments figurant dans sa demande.

La pseudonymisation constitue une mesure de sécurité, mais ne dispense pas du respect des autres garanties prévues par l’article 32 du RGPD et par l’autorisation, notamment le cloisonnement du réseau, l’authentification forte, la journalisation et l’analyse des accès. Sur la procédure, les garanties de l’article 6 de la CEDH s’appliquent à compter de la notification du rapport de sanction ; la durée antérieure des contrôles et diligences préparatoires n’est pas prise en compte à ce titre.

⬇️Télécharger la décision version officielle

IQVIA exploite deux entrepôts de données de santé destinés à la recherche et à l’évaluation. Elle soutenait que les opérations de hachage et de pseudonymisation rendaient les données anonymes et qu’elle n’était pas responsable des premières collectes. La formation restreinte relève toutefois que certaines informations permettent techniquement de réidentifier les personnes, notamment lors de l’exercice du droit d’opposition, et examine le respect des autorisations de la CNIL et des exigences de sécurité.

IQVIA OPERATIONS FRANCE exploite deux entrepôts de données de santé, LRX et EMR, autorisés par la CNIL pour des recherches, études et évaluations. L’entrepôt LRX est alimenté par des données de dispensation provenant d’officines, associées à un identifiant longitudinal. L’entrepôt EMR reçoit des données issues de consultations médicales, comprenant notamment des informations d’identification et de santé.

La société recourt à plusieurs opérations de hachage et de pseudonymisation, réalisées par elle-même ou par des tiers de confiance. Elle soutenait que ces procédés faisaient perdre aux données leur caractère personnel et qu’elle n’était pas responsable des premières opérations de collecte.

La formation restreinte relève toutefois que certaines informations permettent techniquement de réidentifier les personnes, notamment dans le cadre de l’exercice du droit d’opposition. Elle examine également le respect des autorisations CNIL et des exigences de sécurité applicables aux traitements de santé.

• Identifier une possibilité technique de réidentification
• Apprécier les moyens raisonnables de recoupement disponibles
• Écarter les seules interdictions contractuelles comme interdictions légales
• Vérifier la conformité des traitements à l’autorisation CNIL
• Respecter les mesures de sécurité prévues par l’article 32 du RGPD
• Compléter la pseudonymisation par le cloisonnement et la traçabilité

• Informations nécessaires à l’exercice du droit d’opposition
• Notice d’information prévoyant la transmission d’informations complémentaires
• Architecture des flux et identifiants des entrepôts LRX et EMR
• Procédés successifs de hachage et de pseudonymisation
• Possibilité de recoupement avec des sources ouvertes
• Délibérations CNIL imposant des mesures de sécurité complémentaires

La société doit traiter les données des entrepôts comme des données personnelles et respecter intégralement le RGPD ainsi que les conditions des autorisations CNIL. Les partenaires et prestataires participant aux flux ne peuvent se limiter à la pseudonymisation pour écarter les obligations de sécurité et de protection des personnes.

• Maintien de l’application du RGPD aux entrepôts
• Respect strict des délibérations d’autorisation CNIL
• Renforcement du cloisonnement des réseaux
• Mise en œuvre de l’authentification forte
• Journalisation et analyse régulière des accès
• Conservation de moyens permettant l’exercice du droit d’opposition

À faire

• Qualifier les données pseudonymisées au regard du risque réel
• Vérifier chaque traitement au regard de l’autorisation CNIL
• Documenter les moyens de réidentification techniquement disponibles
• Segmenter et cloisonner les réseaux concernés
• Journaliser et contrôler les accès aux entrepôts

À éviter

• Assimiler pseudonymisation et anonymisation irréversible
• Se fonder uniquement sur des clauses contractuelles
• Écarter les obligations RGPD en raison du hachage
• Appliquer la demande d’autorisation plutôt que la délibération
• Négliger les garanties de sécurité complémentaires

La qualification des données pseudonymisées comme données personnelles

La pseudonymisation réduit les risques de réidentification sans les supprimer. La formation restreinte relève que la société peut retrouver une personne à partir d’informations relatives à ses consultations et que le recoupement avec des sources ouvertes reste techniquement possible. Les données des entrepôts LRX et EMR demeurent donc soumises au RGPD et à la loi Informatique et Libertés.

La portée juridique de l’autorisation prévue par l’article 66

L’article 66, III, de la loi Informatique et Libertés impose une autorisation de la CNIL pour les traitements de données de santé non conformes à un référentiel. La formation restreinte distingue la demande d’autorisation, instruite par les services, de la délibération adoptée par le collège. Seule cette dernière fixe les conditions juridiquement opposables, sauf renvoi exprès à la demande.

Les exigences de sécurité malgré la pseudonymisation

L’article 32 du RGPD impose un niveau de sécurité adapté aux risques. La pseudonymisation n’exonère pas le responsable de traitement des autres mesures prévues par l’autorisation, notamment le cloisonnement du réseau, l’authentification forte, la journalisation et l’analyse des accès. Elle atténue les risques, mais ne suffit pas à garantir seule la sécurité et la confidentialité.

Article 4, point 2 du RGPD, Article 6 de la Convention européenne des droits de l’homme, Article 14 du RGPD, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 25 du RGPD, Article 32 du RGPD, Article 33 de la loi n° 78-17 du 6 janvier 1978, Article 34 du RGPD, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 66 de la loi n° 78-17 du 6 janvier 1978, Article 66, III, de la loi n° 78-17 du 6 janvier 1978, Article 66, V, de la loi n° 78-17 du 6 janvier 1978