La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Laurence FRANCESCHINI et M. Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-085C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […], par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 mars 2023 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 12 octobre 2023 ;

Vu les observations écrites versées par la société les 17 novembre 2023, 8 janvier et 21 mai 2024 ;

Vu les réponses du rapporteur à ces observations, notifiées à la société les 8 décembre 2023 et 15 mars 2024 ;

Vu l’arrivée à échéance du mandat de commissaire de Monsieur François PELLEGRINI le 1erfévrier 2024 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un nouveau rapporteur, Monsieur Claude CASTELLUCCIA, devant la formation restreinte, en date du 31 janvier 2024 ;

Vu la clôture de l’instruction, notifiée à la société le 28 mai 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 13 juin 2024 :

– Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […], dont le siège social est situé au […], est une société par actions simplifiée à associé unique. En 2020 et 2021, elle a réalisé un chiffre d’affaires de […] et de […] et un résultat net de […] et de […].

2. L’associé unique de la société […] est la société […] (ci-après la société ), société par actions simplifiée, dont le siège social est sis au […].

3. En sa qualité d’associé unique, la société […] a décidé la dissolution anticipée sans liquidation de la société […] à compter du […]. La société […] a repris l’intégralité des activités de la société […], ainsi que les traitements des données à caractère personnel qu’elle réalisait.

4. La société […] fait partie du groupe […], spécialisé dans la gestion des flux numériques de l’écosystème santé entre professionnels et dans la conception de logiciels métier, destinés notamment aux professionnels de santé. En 2022, le chiffre d’affaires du groupe […] s’est élevé à […] et son résultat net à […].

5. L’activité de la société […] consiste à éditer et vendre des logiciels de gestion aux médecins de ville exerçant en cabinets et en centres de santé. Environ […] cabinets médicaux et […] centres de santé utilisent les logiciels proposés par la société. Celle-ci édite notamment le logiciel […], qui permet aux médecins de gérer leur agenda, les dossiers de leurs patients et leurs prescriptions.

6. La société propose à un panel de médecins de ville utilisant ce logiciel, éligibles en fonction de critères géographiques, d’âges et de spécialités, d’adhérer à un observatoire en vue de collecter des données issues des dossiers des patients. En cas d’adhésion à l’observatoire , les données contenues dans les logiciels des médecins sont extraites […] afin d’être ensuite utilisées dans le cadre d’études et de statistiques dans le domaine de la santé réalisées par les clients de la société […], dont les sociétés […] et […]. À titre d’exemples, les clients de la société […] réalisent des études sur la prise en charge des patients en fonction de leurs pathologies, sur les disparités démographiques, régionales et les profils de prise en charge des médecins et la mesure de la consommation de soins. En 2021, environ […] médecins avaient adhéré à cet observatoire .

7. En contrepartie, les médecins du panel bénéficient d’une remise sur la licence d’utilisation du logiciel […] et la société leur donne accès aux études statistiques réalisées par la […], ainsi qu’à des tableaux de bord personnalisés.

8. Par décision n° 2020-085C du 12 mai 2020, la présidente de la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […], par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre.

9. Le 30 mars 2021, une délégation de la CNIL a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le Règlement ou RGPD ).

10. Les 12 avril 2021 et 16 février 2023, la société a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place.

11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 2 mars 2023, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

12. Le 12 octobre 2023, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements à l’article 5, paragraphe 1, a) du RGPD et à l’article 66 de la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de se mettre en conformité avec les manquements constatés. Il proposait également que cette décision soit rendue publique.

13. Le 17 novembre 2023, la société a produit des observations en réponse au rapport de sanction.

14. Le rapporteur a répondu aux observations de la société le 8 décembre 2023.

15. Le 8 janvier 2024, la société a produit ses deuxièmes observations en réponse.

16. Le mandat de commissaire de Monsieur François PELLEGRINI arrivant à son terme le 1er février 2024, la présidente de la CNIL a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur le 31 janvier 2024, en application de l’article 40 I alinéa 5 du décret n° 2019-536 du 29 mai 2019.

17. Le 15 mars 2024, le rapporteur a produit une réponse aux deuxièmes observations de la société.

18. Le 21 mai 2024, la société a produit ses troisièmes observations.

19. Par courrier du 27 mai 2024, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close.

20. Par courrier du 27 mai 2024, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 13 juin 2024.

21. Le 12 juin 2024, la société a, par l’intermédiaire de son conseil, sollicité le report de la clôture de l’instruction jusqu’à la tenue de la séance de la formation restreinte prévue le lendemain, afin de pouvoir verser une pièce complémentaire, à savoir la copie d’un courrier adressé par la société […] à la CNIL le 25 avril 2013. Le président de la formation restreinte a fait droit à cette demande.

22. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le grief tiré de la méconnaissance des droits de la défense et du droit à un procès équitable

23. La société soutient qu’il a été porté atteinte à ses droits de la défense dans la mesure où, par courrier du 21 décembre 2023, le président de la formation restreinte lui a refusé l’extension de délai sollicité pour produire ses deuxièmes observations, en méconnaissance du droit à un procès équitable selon elle. Elle précise que, pour pouvoir répondre aux nouveaux arguments avancés par le rapporteur concernant plus particulièrement l’analyse du risque de réidentification pour lequel celle-ci estime que des analyses complémentaires sont nécessaires, la société a dû faire appel à un expert, qui n’était en mesure de rendre ses conclusions que pour la mi-janvier 2024, alors que son délai pour répondre expirait le 8 janvier 2024.

24. La société soutient par ailleurs que des éléments de preuve essentiels qu’elle a invoqués en défense pour démontrer le caractère anonyme des données […] n’ont pas été repris par le rapporteur, de sorte qu’elle s’interroge sur la prise en compte effective de ses arguments et donc sur le respect de ses droits de la défense et sur la garantie d’un procès équitable.

25. En premier lieu, la formation restreinte relève que les délais qui ont été appliqués dans le cadre de la procédure contradictoire sont ceux définis par l’article 40 I du décret n° 2019-536 précité. Elle note que la société a en outre bénéficié d’un délai de cinq jours supplémentaires pour produire ses premières observations en défense, conformément à sa demande formulée auprès du président de la formation restreinte.

26. En deuxième lieu, la formation restreinte souligne que le rapport de sanction a été notifié à la société dès le 12 octobre 2023. Rien ne faisait donc obstacle à ce qu’elle mandate un expert dès cette date puisque, dès le rapport de sanction, le rapporteur considérait que les données que la société traite ne sont pas anonymes mais pseudonymes. L’analyse et la position du rapporteur sur ce point ont été constantes dans le cadre de la procédure de sanction et exposées dès le rapport de sanction. La société aurait donc pu solliciter un expert bien avant la réception de la réponse du rapporteur à ses premières observations en défense.

27. En troisième lieu, la formation restreinte relève que la société a pu produire les conclusions de l’expertise utiles à sa défense qu’elle souhaitait produire, puisque le rapporteur n’a pas clos l’instruction à l’issue des deuxièmes observations en défense de la société. Il a en effet décidé d’adresser une deuxième réponse aux observations de la société, laquelle a disposé d’un délai de deux mois et sept jours pour produire ses troisièmes observations en réponse.

28. En dernier lieu, si la société estime que le rapporteur n’a pas suffisamment pris en compte les arguments qu’elle avance dans ses différents écrits et a commis différentes erreurs d’appréciation, la formation restreinte rappelle que l’ensemble des écritures et pièces produites à la fois par la société et par le rapporteur ont bien été portées à sa connaissance, et qu’elle dispose ainsi des éléments nécessaires afin de se prononcer sur le traitement en cause. La formation restreinte relève également que la société a pu présenter ses observations en défense dans ses trois jeux d’écriture, plusieurs tours de contradictoire ayant eu lieu dans le cadre de cette procédure, ainsi qu’oralement lors de la séance de formation restreinte du 13 juin 2024.

29. La formation restreinte considère dès lors que le grief tiré de la méconnaissance de ses droits de la défense et du droit à un procès équitable doit être écarté.

B. Sur le traitement en cause et la responsabilité de traitement

30. Au moment du contrôle effectué par la CNIL et jusqu’en 2022, la société collectait un certain nombre de données auprès des médecins panélistes ayant adhéré à son observatoire . Ces données étaient relatives à la fois au dossier administratif des patients (numéros de patient, année de naissance, sexe, catégorie socio-professionnelle, code de la région, date de la consultation), au dossier médical (allergies, antécédents du patient, antécédents familiaux, taille, poids, pouls, tension, diagnostics du jour etc.), aux prescriptions pharmaceutiques (médicament, posologie, durée, etc.) et aux autres prescriptions (arrêt de travail, vaccins, résultats d’examens biologiques, etc.).

31. Toutes ces données sont chiffrées et reliées à un identifiant unique pour chaque patient, qui ne repose sur aucun trait d’identité du patient. Les données des patients sont extraites périodiquement […] pour constituer un fichier sur le poste du médecin panéliste. Lors de la génération de ce fichier, les numéros patients du flux sont rechiffrés. Le fichier est ensuite acheminé par canal chiffré HTTPS vers le serveur hébergeant la base de données qui agrège et stocke transitoirement les données. Ainsi, même si chaque patient se voit attribuer des identifiants différents dans […] et dans les fichiers transmis par les médecins à la société […], l’ensemble des données concernant un même patient du même médecin est bien toujours associé à ce deuxième identifiant dans le jeu de données communiqué à la société […]. En revanche, un même patient se rendant dans un autre cabinet médical se verra attribuer un autre identifiant unique propre à cet autre cabinet. L’identifiant étant lié aux données médicales et administratives d’un même patient, il permet donc le suivi de l’historique du patient pour un seul et même cabinet.

32. Les lignes présentes dans la base de données sont composées des identifiants du patient et du médecin consulté, ainsi que de divers codes. […] D’après les chiffres communiqués par la société, le nombre de lignes collectées entre le 1er janvier 2021 et le 2 avril 2021 par la société […] est de plus de […].

33. Les données sont conservées trois mois à compter de leur réception […]. Ensuite, elles sont transmises aux clients de la société, dont la société […], qui réalise des études et statistiques dans le domaine de la santé. Bien que les données ne soient conservées que trois mois dans le flux, certaines présentent une profondeur historique plus importante. Par exemple, les données issues du téléservice HRi, qui sera évoqué ci-après, sont automatiquement téléchargées sur une profondeur de douze mois lorsque le médecin les consulte.

34. La société […] considère que les données qu’elle traite sont anonymes et ne sont donc plus soumises au régime applicable en matière de protection des données à caractère personnel.

35. Le rapporteur estime quant à lui que la société s’est constituée un entrepôt de données de santé pseudonymisées à partir des données que lui communiquent les médecins panélistes, afin de les mettre à disposition de ses clients – dont certains appartiennent au même groupe – qui réalisent des études et statistiques dans le domaine de la santé. Ainsi, le rapporteur estime que la société […] est tenue de se conformer à la règlementation relative à la protection des données à caractère personnel pour traiter lesdites données et, notamment, de disposer d’une autorisation pour ce faire.

36. En défense, la société fait également valoir qu’elle a mis en œuvre, depuis 2022, des nouvelles mesures d’appauvrissement des données au stade de l’extraction, données qui sont depuis lors moins précises. Elle ne collecte par exemple plus les informations des patients dont l’année de naissance est inférieure ou égale à 1920 ou si le patient est âgé de plus de 95 ans, elle ne collecte plus le nombre exact d’enfants des patients (0 si pas d’enfants, 1 si 1 enfant ou plus, et si le patient a moins de 18 ans le nombre d’enfants est systématiquement à 0) ou encore ne collecte plus les informations des patients ayant un sexe indéterminé.

37. La formation restreinte considère qu’il y a lieu d’examiner la nature des données traitées et la qualification du traitement avant de pouvoir déterminer les responsabilités associées à celui-ci.

1) Sur la nature des données traitées dans le […]

a) Sur le cadre juridique applicable

38. L’article 4, paragraphe 1, du RGPD définit la notion de données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification […] .

39. L’article 4, paragraphe 15, du RGPD dispose que les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne constituent des données de santé.

40. L’article 4, paragraphe 5, du RGPD définit la pseudonymisation comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable .

41. La formation restreinte relève que, contrairement à la notion de pseudonymisation, la notion d’anonymisation n’est pas définie par le RGPD.

42. Le considérant 26 du RGPD dispose que Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci. Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s’applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche .

43. Dans son arrêt Breyer rendu sous l’empire de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (CJUE, 2ème chambre, 19 octobre 2016, C-582/14), la Cour de justice de l’Union européenne (ci-après la CJUE ) a jugé que le considérant 26 de la directive 95/46 énonce que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne (§ 42) et que dans la mesure où ce considérant fait référence aux moyens susceptibles d’être raisonnablement mis en œuvre tant par le responsable du traitement que par une autre personne , le libellé de celui-ci suggère que, pour qu’une donnée puisse être qualifiée de donnée à caractère personnel […], il n’est pas requis que toutes les informations permettant d’identifier la personne concernée doivent se trouver entre les mains d’une seule personne (§ 43).

44. Cette jurisprudence a été confirmée dans l’arrêt OC c/ Commission européenne (CJUE, 6ème chambre, 7 mars 2024, C-479/22). Dans ladite affaire, la CJUE a jugé que la circonstance que des informations supplémentaires sont nécessaires pour identifier la personne concernée n’est pas de nature à exclure que les données en cause puissent être qualifiées de données à caractère personnel (§ 49), tout en prenant en compte le fait que la possibilité de combiner les données en cause avec des informations supplémentaires constitue un moyen susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée en prenant en considération l’ensemble des facteurs objectifs tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci (§ 50).

45. La CJUE précise en outre dans cet arrêt qu’ il est inhérent à l’ identification indirecte d’une personne que des informations supplémentaires doivent être combinées avec les données en cause aux fins de l’identification de la personne visée (§ 55) et que la requérante n’était pas tenue d’apporter la preuve qu’elle avait effectivement été identifiée par l’une de ces personnes, puisqu’une telle condition n’est pas prévue à l’article 3, point 1, du règlement 2018/1725, celui-ci se limitant à exiger qu’une personne soit identifiable (§ 61).

46. Enfin, dans l’arrêt IAB Europe c/ Gegevensbeschermingsautoriteit (CJUE, 4ème chambre, 7 mars 2024, C-604/22), la Cour a considéré que L’article 4, point 1, du RGPD doit être interprété en ce sens qu’une chaîne composée d’une combinaison de lettres et de caractères, telle que la TC String [Transparency and Consent String], contenant les préférences d’un utilisateur d’Internet ou d’une application relatives au consentement de cet utilisateur au traitement des données à caractère personnel le concernant par des fournisseurs de sites Internet ou d’applications ainsi que par des courtiers de telles données et par des plateformes publicitaires, constitue une donnée à caractère personnel au sens de cette disposition dans la mesure où, lorsque celle-ci peut, par des moyens raisonnables, être associée à un identifiant, tels que notamment l’adresse IP de l’appareil dudit utilisateur, elle permet d’identifier la personne concernée. . Elle ajoute que la circonstance que, sans une contribution extérieure, une organisation sectorielle détenant cette chaîne ne peut ni accéder aux données qui sont traitées par ses membres dans le cadre des règles qu’elle a établies ni combiner ladite chaîne avec d’autres éléments ne fait pas obstacle à ce que la même chaîne constitue une donnée à caractère personnel au sens de ladite disposition (§ 51).

47. Enfin, à titre d’éclairage, la formation restreinte relève que, dans son Avis 05/2014 sur les techniques d’anonymisation du 10 avril 2014, le Groupe de travail Article 29 sur la protection des données (ci-après G29 ), devenu le Comité européen de la protection des données (ci-après CEPD ), indique qu’un processus peut notamment être qualifié d’anonymisation lorsqu’il résiste aux trois types de risques suivants :

– l’individualisation, qui correspond à la possibilité d’isoler une partie ou la totalité des enregistrements identifiant un individu dans l’ensemble de données ;

– la corrélation, qui consiste en la capacité de relier entre elles, au moins, deux enregistrements se rapportant à la même personne concernée ou à un groupe de personnes concernées ;

– l’inférence, qui est la possibilité de déduire, avec un degré de probabilité élevé, la valeur d’un attribut à partir des valeurs d’un ensemble d’autres attributs.

48. À défaut de résister aux trois types de risques mentionnés ci-dessus, les données ne seront pas nécessairement qualifiées de pseudonymes . Elles pourront être qualifiées d’anonymes dans l’hypothèse où le responsable de traitement est en mesure de démontrer que la réidentification n’est pas possible par des moyens raisonnables , c’est-à-dire que les risques de réidentification sont négligeables.

49. Le rapporteur fait valoir, à la lumière des différents éléments issus de la jurisprudence et de la doctrine, qu’il ne fait pas doute que le cadre juridique applicable permet d’apprécier le caractère anonyme ou pseudonyme des données traitées et de déterminer que, de manière constante, le suivi de personnes dans la durée, à l’aide d’un identifiant unique, permet d’isoler un individu dans un jeu de données et augmente donc le risque de levée du pseudonymat.

50. La société considère au contraire que le cadre légal, jurisprudentiel et doctrinal autour de la question de l’anonymisation de données est source d’insécurité juridique pour les opérateurs. Elle souligne le manque de clarté de ce cadre et l’absence de référentiels, de méthodologies ou de prescriptions techniques permettant de démontrer le caractère anonyme d’un jeu de données. Elle soutient que les publications, notamment de la CNIL, du G29 et du CEPD, ne permettent pas d’assurer le respect du principe de prévisibilité du droit découlant de l’exigence constitutionnelle de sécurité juridique en droit français en ce qu’elles ne présentent pas de prescriptions, notamment techniques, suffisamment claires que ce soit pour permettre aux opérateurs d’assurer une confiance raisonnable dans le résultat des procédés d’anonymisation utilisés ou pour assurer la recevabilité de la preuve de l’anonymisation vis-à-vis de la CNIL. La société fait valoir différents arguments afin d’appuyer sa position.

51. Premièrement, la société fait état d’une décision rendue par le juge du tribunal de Milan (tribunal de Milan, ordonnance du 4 décembre 2023), dans le cadre d’un contentieux opposant l’autorité de protection des données italienne à une filiale italienne du groupe […] -, qui poursuit une activité similaire à celle de la société […] au titre de l’observatoire . Selon la société, le juge a considéré qu’en l’état des éléments, l’autorité italienne n’avait pas démontré que les données n’étaient pas anonymes et qu’une expertise indépendante devait être conduite pour vérifier le caractère anonyme des données, les possibilités de réidentification des personnes, ainsi que le risque concret de cette réidentification en tenant compte du temps et des coûts nécessaires.

52. Deuxièmement, la société fait valoir qu’elle est fondée à se baser sur l’acceptation probabiliste de la notion de donnée à caractère personnel, estimant que l’analyse du risque d’identification ne doit pas nécessairement tendre à réduire ce risque à zéro, mais plutôt à réduire ce risque à un niveau acceptable au regard de la sensibilité des données, du contexte et des finalités du traitement. Elle cite à l’appui un document commun de l’autorité espagnole de protection des données et du CEPD publié en juin 2021, ainsi qu’un article publié et corédigé par le rapporteur, Monsieur CASTELLUCCIA, en 2020.

53. Troisièmement, elle fait valoir que le fait qu’un jeu de données puisse être relié à un identifiant n’exclut pas que ces données puissent être anonymes, à l’instar des données contenues dans la base OpenDamir du SNIIRAM. La société estime que si les données de l’OpenDamir, plus précises à de nombreux égards que celles traitées par […], ont pu être considérées comme anonymes, celles […] doivent également l’être.

54. Enfin, la société soutient que même en cas d’identification d’un code patient associé aux informations connues sur l’individu recherché dans […], cela ne conduit pas nécessairement à la réidentification. En effet, elle soutient qu’il n’existe qu’une certaine probabilité que les informations retrouvées dans la base soient celles de la personne recherchée. Elle estime que de multiples incertitudes mettent en échec la possibilité de réidentification , par exemple parce qu’un individu peut partager les caractéristiques connues avec d’autres individus ou encore parce qu’il n’est pas possible de savoir si l’individu recherché est présent ou non dans la base. La société cite à l’appui un extrait d’une publication de la Direction de la recherche, des études de l’évaluation et des statistiques (DREES).

[… passage central omis : décision trop longue pour une cellule …]

119. La formation restreinte rappelle que, pour les raisons exposées ci-avant, la société […] traitait, au jour du contrôle, des données de santé de manière pseudonymisée pour se constituer un entrepôt de données de santé, de sorte qu’elle était tenue de respecter le RGPD et la loi Informatique et Libertés.

120. En premier lieu, la formation restreinte relève que la seule exception prévue aux obligations de l’article 65 de ladite loi susceptible de s’appliquer en l’espèce est celle relative au cas dans lequel la personne concernée a donné son consentement explicite au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, conformément à l’article 65 1°, renvoyant à l’alinéa a) de l’article 9, paragraphe 2, du RGPD. Or, en l’espèce, dans la mesure où la société […] considère ne pas traiter de données à caractère personnel, elle n’a mis en œuvre aucune mesure pour se conformer aux règles applicables en matière de traitement de ces données. En particulier, la société n’a mis en œuvre aucun mécanisme de recueil du consentement explicite et préalable des patients des médecins du panel pour le traitement en cause.

121. En conséquence, la formation restreinte considère que, dès lors que la société traitait des données de santé au jour du contrôle et qu’elle ne peut se prévaloir d’aucune des exceptions prévues à l’article 65 de la loi Informatique et Libertés, le traitement qu’elle met en œuvre est soumis à la section 3 du chapitre III de la loi Informatique et Libertés.

122. En deuxième lieu, la formation restreinte relève qu’en l’espèce, la société ne s’est pas conformée aux exigences de l’article 66 de la loi Informatique et Libertés pour se constituer un entrepôt de données de santé.

123. Tout d’abord, elle relève que la société n’a formulé aucune demande d’autorisation visant à ce que le traitement en cause soit considéré comme nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique ou nécessaire à des fins de recherche scientifique.

124. Ensuite, la formation restreinte rappelle qu’en l’absence d’autorisation de la CNIL, un traitement de données à caractère personnel dans le domaine de la santé peut également être mis en œuvre s’il est conforme à un référentiel au sens du II de l’article 66 de la loi Informatique et Libertés, à condition que le responsable du traitement adresse préalablement à la CNIL une déclaration attestant de cette conformité. La formation restreinte constate que ce n’est pas le cas en l’espèce et que la société n’a adressé à la CNIL aucune déclaration attestant de cette conformité.

125. En troisième lieu, la formation restreinte prend acte des nouvelles mesures mises en œuvre postérieurement au contrôle.

126. D’une part, la société a indiqué qu’elle ne collectait plus certaines données depuis 2022. Cependant, comme développé ci-avant, la formation restreinte considère que les éléments communiqués par la société en cours de procédure ne lui permettent pas de s’assurer qu’elle traite désormais des données anonymes. Elle relève par ailleurs, en tout état de cause, que les mesures déployées en 2022 ne sauraient exonérer la société de sa responsabilité pour le passé.

127. D’autre part, la société a indiqué qu’à compter de la fin du mois de juillet 2024, elle n’interviendrait plus dans la gestion […], qui alimente désormais directement la base […] détenue par la société […]. Ainsi, les données […] ne transitent plus via la société […].

128. Au vu de l’ense