La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés du 24 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers ;

Vu la décision n° 2021-029C de la présidente de la Commission nationale de l’informatique et des libertés du 25 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès des sociétés […] et […] ;

Vu la décision n° 2021-031C de la présidente de la Commission nationale de l’informatique et des libertés du 2 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel accessible en ligne et qui serait en lien avec les faits relatés par le journal Libération dans son article intitulé Les informations confidentielles de 500 000 patients français dérobées à des laboratoires ;

Vu la décision n° 2021-034C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ;

Vu la décision n° 2021-035C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 6 octobre 2021 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 9 décembre 2021 ;

Vu les observations écrites versées par le conseil de la société […] le 24 janvier 2022 ;

Vu la réponse du rapporteur à ces observations notifiée le 7 février 2022 au conseil de la société ;

Vu les observations écrites versées par le conseil de la société […] reçues le 21 février 2022 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 10 mars 2022 :

Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

[…]

La société […] ayant eu la parole en dernier ;

Après en avoir délibéré, la formation restreinte a adopté la décision suivante :

Faits et procédure

La société […] (ci-après  » la société « ) est une société par actions simplifiée à associé unique immatriculée au registre du commerce et des sociétés de […] sous le numéro […] depuis le […]. Elle a pour activité l’édition de logiciels applicatifs. Elle compte entre […] salariés.

La société […] fait partie du groupe […], qui emploie environ […] personnes et qui est composé, en France, de […] sociétés.

La société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales, appelées solutions de gestion de laboratoire. Environ […] laboratoires de biologie médicale privés et entre […] et […] laboratoires d’analyses d’établissements publics de santé sont équipés des solutions éditées par la société […].

À ce jour, […] logiciels sont commercialisés, parmi lesquels le logiciel […]. Deux solutions auparavant commercialisées par la société […] ne sont plus maintenues et sont considérées comme obsolètes, parmi lesquelles […], dont la  » fin de vie  » a été atteinte en septembre 2019 selon la société. Les clients utilisateurs de la solution […] ont été destinataires d’un courrier adressé par la société […] (ancienne dénomination de […]) en 2018 pour les informer de l’ » arrêt définitif de la maintenance  » de cette solution.

Pour l’utilisation des logiciels commercialisés par les sociétés […] et […], les clients font l’acquisition d’une licence. La société […] assure également des prestations d’installation, de démarrage et d’accompagnement des clients à l’utilisation du logiciel. Un contrat de maintenance est en règle générale conclu pour assurer les mises à jour des solutions, lesquelles incluent notamment de nouvelles fonctionnalités et permettent de maintenir les solutions en conformité avec les normes en vigueur.

Le 23 février 2021, un article de presse intitulé  » Les informations confidentielles de 500 000 patients français dérobées à des laboratoires et diffusées en ligne  » a été publié par le journal Libération. Cet article faisait état de la présence sur un forum d’un lien de téléchargement vers un fichier contenant les données médico-administratives de près de 500 000 personnes :  » Selon les spécialistes, la fuite est d’une ampleur inédite en France pour des données ayant trait à la santé. Le fichier en question, que  » CheckNews  » a pu consulter, contient l’identité complète de près d’un demi-million de Français, souvent accompagnée de données critiques, comme des informations sur leur état de santé ou même leur mot de passe. Initialement partagée sur des forums de pirates informatiques, cette base de données est de plus en plus largement diffusée « .

En application de la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après la  » Commission  » ou la  » CNIL « ) du 24 février 2021, la CNIL a effectué une mission de contrôle en ligne afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la  » loi Informatique et Libertés « ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le  » RGPD  » ou le  » Règlement « ) de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers.

Dans le cadre du contrôle en ligne diligenté, le fichier contenant les données médico-administratives a été téléchargé. Il est apparu que les données à caractère personnel de 491 840 patients y figuraient, parmi lesquelles :

des données d’identification : numéro de sécurité sociale, nom, prénoms, sexe, adresse postale, numéro de téléphone, adresse électronique, date de la dernière visite médicale, date de naissance ;

deux colonnes de commentaires libres contenant notamment des informations relatives aux pathologies des patients (VIH, cancers, maladies génétiques), à l’état de grossesse, aux traitements médicamenteux suivis par le patient ou encore des données génétiques ;

des données d’identification du médecin prescripteur : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ;

des données relatives au préleveur : nom, prénom, adresse, numéro de téléphone ;

des données relatives à la mutuelle du patient :  » Id tiers payant  » (suite de chiffres), adresse postale, numéro de téléphone ;

une colonne  » Identifiant SR  » et une colonne  » MP « , correspondant, au regard de son contenu, aux identifiants et mots de passe utilisés par le patient pour se connecter à son espace.

En application de la décision n° 2021-029C de la présidente de la Commission du 25 février 2021, la CNIL a effectué une mission de contrôle sur pièces auprès des sociétés […] et […], afin de vérifier la conformité à la loi Informatique et Libertés et au RGPD des traitements mis en œuvre par des laboratoires d’analyses médicales au moyen des solutions ou services commercialisés par ces sociétés. Cette mission s’est effectuée par l’envoi d’un questionnaire à la société […], adressé par courriel le 25 février 2021.

Le 26 février suivant, la société a transmis des éléments de réponse à la CNIL, notamment les noms et adresses des laboratoires d’analyses médicales concernés par la violation de données susvisée.

En application de la même décision, une délégation de la CNIL a procédé, le 1er mars 2021, à une mission de contrôle sur place dans les locaux de […], situés […], après information du procureur de la République territorialement compétent et de la déléguée à la protection des données de […] et […].

Les 5 mars, 10 mars, 1er avril, 6 avril et 19 avril 2021, les sociétés […] et […] ont transmis les éléments complémentaires sollicités par la délégation lors du contrôle sur place.

En parallèle, le 1er mars 2021, la CNIL a fait délivrer une assignation en référé d’heure à heure aux différents fournisseurs d’accès à Internet, afin que soit assuré le blocage effectif du fichier contenant les données de près de 500 000 patients.

En application de la décision n° 2021-031C de la présidente de la Commission du 2 mars 2021, la CNIL a effectué une mission de contrôle en ligne le jour même, afin de vérifier la présence du fichier litigieux en ligne, en le recherchant à partir de différents moteurs de recherche.

Par ordonnance du 4 mars 2021, le juge des référés du tribunal judiciaire de PARIS a enjoint  » à la SA ORANGE, la SAS FREE, la SA SFR et la SA BOUYGUES TELECOM de mettre en œuvre ou de faire mettre en œuvre, sans délai et pour une période de 18 mois à compter de la présente décision toutes mesures les plus adaptées et les plus efficaces de surveillance ciblées de nature à assurer le blocage effectif du service de communication au public en ligne  » […]  » sur leurs réseaux « .

En application des décisions n° 2021-034C et n° 2021-035C de la présidente de la Commission du 5 mars 2021, la CNIL a effectué des missions de contrôle sur place auprès des sociétés […] et […] le 10 mars 2021.

Les deux laboratoires ayant été concernés par la violation de données susvisée, il s’agissait de vérifier le respect par ces deux sociétés des dispositions de la loi Informatique et Libertés et du RGPD.

Par courriel du 11 juin 2021 adressé à la déléguée à la protection des données des sociétés […] et […], la délégation de la CNIL a sollicité des éléments complémentaires auprès de ces sociétés, lesquels ont été transmis le 24 juin 2021.

Aux fins d’instruction de ce dossier, la présidente de la Commission a, le 6 octobre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée.

À l’issue de son instruction, le rapporteur a, le 9 décembre 2021, fait notifier à la société […] un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.

Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative, au regard des manquements constitués aux articles 28 paragraphe 3, 29 et 32 du RGPD. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

Par courrier du 10 décembre 2021, la société, par l’intermédiaire de son conseil, a sollicité un délai supplémentaire pour fournir ses observations en réponse. Par courrier du 15 décembre 2021, le président de la formation restreinte lui a accordé un délai supplémentaire jusqu’au 24 janvier 2022.

Le 24 janvier 2022, la société a produit des observations en réponse au rapport de sanction.

Le rapporteur a répondu aux observations de la société le 7 février 2022. Un courrier était également remis à la société, l’informant que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 mars 2022.

Le 21 février 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.

La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.

Motifs de la décision

Sur la qualité de la société à l’égard des traitements en cause

Aux termes de l’article 4 du RGPD, le responsable de traitement est défini comme  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement  » (point 7) et le sous-traitant est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement  » (point 8).

Le rapporteur relève que la société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales. Dans le cadre du service qu’elle propose aux laboratoires, la société ne fait, d’une part, que mettre à disposition des laboratoires les outils, notamment informatiques, pour faciliter la mise en œuvre des traitements et, d’autre part, agit uniquement au nom et sous la responsabilité des laboratoires pour la maintenance du logiciel et, le cas échéant, la migration vers un autre logiciel par exemple. La société doit donc être regardée comme agissant en tant que sous-traitant des laboratoires au sens de l’article 4, point 8, du RGPD selon le rapporteur.

En défense, la société ne conteste pas l’analyse du rapporteur sur ce point.

La formation restreinte considère que les notions de responsable de traitement et de sous-traitant doivent faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer l’une ou l’autre de ces qualités à une entité. À ce titre, elle relève qu’il ressort des éléments communiqués à la CNIL que la société […] agit en qualité de sous-traitant des traitements mis en œuvre pour le compte de ses clients, les laboratoires, qui sont responsables de traitement, dans la mesure où elle met à disposition des laboratoires des outils informatiques leur permettant de mettre en œuvre leurs traitements et qu’elle agit, de manière générale, uniquement sur la base de leurs instructions.

Il appartient dès lors à la formation restreinte d’examiner, au regard de cette qualité, les griefs formulés par le rapporteur à l’encontre de la société.

Sur les manquements au regard du RGPD

1. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement

Aux termes de l’article 28, paragraphe 3, du RGPD,  » Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant :

a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel le sous-traitant est soumis ; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public ;

b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;

c) prend toutes les mesures requises en vertu de l’article 32 ;

d) respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant ; […] « .

Le rapporteur considère qu’il ressort des éléments transmis par la société […] que les différents documents encadrant les relations contractuelles entre la société sous-traitante et les laboratoires ne comportent pas les mentions requises par l’article 28 du RGPD. Il relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation ne comportent aucune des mentions requises par cet article. De même, il note que les mentions requises ne figurent pas non plus dans les contrats de maintenance conclus entre la société et les laboratoires, tels que transmis à la CNIL.

En défense, si la société ne conteste pas la matérialité du manquement à l’article 28 du RGPD, elle précise que la conclusion d’un contrat de sous-traitance constitue une obligation tant pour le responsable de traitement que pour le sous-traitant. Elle en conclut que la société […] ne saurait être tenue seule responsable de ce manquement. Elle insiste en outre sur les efforts mis en œuvre pour se conformer au RGPD dès 2018 et indique que de nouveaux modèles de contrat de sous-traitance respectant les exigences de l’article 28 sont en cours de déploiement.

En premier lieu, la formation restreinte relève que le fait que l’obligation résultant de l’article 28, paragraphe 3, du RGPD incombe tant au responsable de traitement qu’au sous-traitant est sans incidence sur l’existence d’une responsabilité propre du sous-traitant. Elle note que c’est la société elle-même qui transmet aux laboratoires ses propres conditions générales de vente qui font office d’encadrement contractuel au titre du RGPD.

En deuxième lieu, la formation restreinte relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation, transmises par la société dans le cadre de la procédure de contrôle, ne comportent aucune des mentions requises par l’article 28 du RGPD. De même, elle note que les mentions requises ne figurent pas non plus dans les contrats de maintenance transmis à la CNIL, conclus entre la société et les laboratoires. À titre d’illustration, le contrat de maintenance conclu entre […] (ancienne dénomination de […]) et la société […], le 13 septembre 2019, comporte certes une partie dédiée aux données à caractère personnel, mais qui ne répond pas aux exigences de l’article 28 du RGPD et vise des dispositions obsolètes de la loi Informatique et Libertés. La formation restreinte note en outre que l’exemple de contrat d’assistance et de maintenance, remis par la société à la délégation de la CNIL lors du contrôle sur place du 1er mars 2021, ne contient pas non plus les mentions obligatoires au titre de l’article 28 du RGPD. S’il contient une partie dédiée aux données à caractère personnel, celle-ci ne répond pas aux exigences posées par cet article.

En troisième lieu, la formation restreinte prend note que la société […]a déployé de nouveaux modèles de contrat de sous-traitance et a entamé des démarches pour se mettre en conformité avec les dispositions de l’article 28 du RGPD. Pour autant, il n’en demeure pas moins que la société a entamé des démarches auprès de ses clients dans le cadre de la présente procédure et qu’elle n’était pas en conformité au moment des constatations effectuées par la CNIL. Elle ne l’est d’ailleurs toujours pas s’agissant de certains contrats, puisque la société a indiqué, dans ses dernières observations, poursuivre ses actions visant à transmettre à l’ensemble de ses clients les contrats mis à jour et à les négocier le cas échéant.

Dès lors, au regard de l’ensemble de ces éléments, la formation restreinte considère que ces faits constituent un manquement à l’article 28, paragraphe 3, du RGPD, que la société ne conteste pas au demeurant.

2. Sur le manquement à l’obligation pour le sous-traitant de ne traiter les données à caractère personnel que sur instruction du responsable de traitement

Aux termes de l’article 29 du RGPD,  » Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre « .

Le rapporteur relève que la société […] a extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients, les laboratoires […] et […]. Le rapporteur en conclut que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD.

En défense, la société précise que l’outil d’extraction disponible sur l’ancien logiciel […], utilisé pour ces migrations, ne permettait que de procéder à une extraction totale du fichier des patients du laboratoire concerné, sans possibilité d’ajouter des filtres sur les champs à exporter pour n’en extraire que certains. Elle ajoute que […] opérait bien la migration des données de ses clients vers une nouvelle solution logicielle en conformité avec leurs instructions, puisqu’une fois le fichier des données à migrer constitué, la société demandait toujours la validation du laboratoire concerné avant d’effectuer la migration. La société en conclut qu’elle a opéré les opérations d’extraction nécessaires à la migration et que le périmètre des données à migrer a été défini à ce titre conformément aux instructions des laboratoires concernés et compte tenu des limitations techniques des outils utilisés à l’époque pour effectuer ces migrations.

Dans ses dernières observations en réponse, la société indique qu’elle  » n’entend pas minorer la réalité de son manquement à l’obligation de ne procéder à des traitements de données à caractère personnel, en qualité de sous-traitant, que sur les seules instructions du responsable de traitement « . Elle rappelle néanmoins les importants investissements engagés par l’entreprise, depuis plusieurs années, pour développer notamment de nouvelles solutions logicielles. Elle ajoute que c’est justement parce qu’elle était consciente du caractère obsolète du logiciel […] et des outils de migration associés qu’elle s’est attachée à développer une solution plus innovante et respectueuse des exigences du RGPD et c’est ainsi qu’elle a proposé à ses clients, dès 2018, de passer au logiciel […].

En premier lieu, la formation restreinte relève que, ainsi qu’il sera établi ci-après, les différents éléments recueillis dans le cadre des contrôles des laboratoires […] et […] ont permis d’établir que […] avait extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients.

S’agissant du laboratoire […], le procès-verbal de contrôle sur place mentionne que celui-ci a sollicité,  » selon les préconisations de […] « , la migration de données de la solution […] (également appelée […]) vers la solution […] pour les patients ayant procédé à une analyse médicale après le 7 mai 2017. Or, les données extraites par la société […] pour cette migration comportaient 8 403 lignes relatives à des patients dont la date de dernière visite était antérieure au 7 mai 2017, ce qui représente 6,5 % de la volumétrie totale.

S’agissant du laboratoire […], la formation restreinte relève que, dans le cadre d’un changement de logiciel, le laboratoire a demandé à la société […] de procéder à une extraction de la base des données de patients contenues dans le logiciel […] afin de migrer vers un autre logiciel édité et maintenu par une société tierce. À cette fin, la société […] a fourni à la société […] une liste des champs à extraire afin d’être importés dans la nouvelle solution logicielle. Les colonnes  » commentaire P  » (contenant des informations telles que  » STERILITE 100 % « , etc.) et  » commentaire D  » (contenant des informations telles que  » TUBERCULOSE OSSEUSE SOUS RIFATER « ,  » XARELTO  » (médicament),  » DIABETE « , etc.) ont également été extraites, alors pourtant qu’elles ne figuraient pas dans la liste des champs à extraire.

Ainsi, la formation restreinte en conclut que les données extraites par la société […], incluant notamment les colonnes  » commentaire P  » et  » commentaire D  » qui n’auraient pas dû l’être, couvrent un champ plus large que la demande du responsable de traitement.

En deuxième lieu, la formation restreinte relève que, s’agissant de la validation des extractions par les laboratoires concernés, la société produit uniquement deux documents intitulés  » tickets SAV  » à l’appui de ses déclarations, lesquels ne sauraient en réalité suffire à démontrer qu’elle a effectué les opérations d’extraction conformément aux instructions des laboratoires et que les laboratoires ont validé le contenu des extractions réalisées. Ces  » tickets SAV  » permettent seulement de rendre compte de démarches effectuées par la société […] auprès de deux laboratoires pour envoyer des fichiers avec des extractions et ne démontrent en rien une validation qui aurait été donnée par les laboratoires concernés.

La formation restreinte relève en outre que la société prétend, s’agissant de […], avoir eu  » un  » retour d’email  » confirmant la conformité dudit fichier aux instructions du laboratoire « . Cette affirmation est inexacte puisque, d’après le  » ticket SAV « , le  » retour de mail  » émane de la société […], société tierce éditant et maintenant un autre logiciel vers lequel les données extraites devaient être migrées. Ainsi, ce courriel ne saurait valoir validation de l’extraction par le client, dans la mesure où la société […] est une société tierce.

En troisième lieu, la formation restreinte considère que la société ne saurait se prévaloir d’un outil inadapté pour justifier d’avoir outrepassé les instructions des responsables de traitement. Elle aurait pu, par exemple, opter pour un autre outil lui permettant de respecter les instructions données par ses clients, comme elle indique le faire désormais, ou a minima supprimer toutes les données qui n’auraient pas dû être extraites.

Compte tenu de ces éléments, la formation restreinte considère que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD.

3. Sur le manquement à l’obligation d’assurer la sécurité des données

Aux termes de l’article 32 du RGPD,  » 1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

2. Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite […] « .

52. Le rapporteur relève que, dès mars 2020, un ancien salarié de la société […] avait fait remonter à son employeur des problèmes de sécurité. Selon le rapporteur, il est établi que celui-ci avait bel et bien effectué des signalements pertinents, ce qui ressort d’échanges internes entre […].

[… passage central omis : décision trop longue pour une cellule …]

En défense, la société relève, s’agissant de la violation de données ayant eu lieu en février 2021, que les investigations effectuées par la société […] ont conclu à l’existence d’intrusions sur le serveur FTP de […]. Elle précise cependant que, bien que le rapport relève que 90 % du contenu du fichier circulant sur Internet était également disponible sur le serveur FTP, il convient de noter que, a contrario, le rapport de […] précisait qu’environ 10 % du fichier circulant sur Internet (soit environ 43 000 enregistrements) ne se trouvait pas sur le serveur FTP et qu’environ 50 % des données du serveur FTP ne se trouvaient pas dans le fichier circulant sur Internet. La société […] en conclut qu’  » au regard des incohérences subsistantes entre les données présentes sur le serveur FTP et celles ayant circulé sur Internet, les investigations combinées de […] et de […], qui se sont achevées le 26 mars 2021, n’ont pas permis à l’époque des faits de conclure avec certitude que lesdites intrusions seraient à l’origine de la cyberattaque reportée par la presse « . Enfin, la société fait état des différentes mesures de sécurité mises en place depuis lors.

Dans ses dernières observations en réponse, la société indique qu’elle n’entend pas contredire les constats faits par le rapporteur sur l’absence de mesures satisfaisantes de sécurité encadrant le serveur FTP […] et précise avoir conscience des défauts de l’ancienne technologie utilisée par ses équipes, mais fait à nouveau valoir les évolutions intervenues en matière de sécurité et ses importants efforts de mise en conformité.

En premier lieu, la formation restreinte relève qu’il ressort des constations effectuées par la CNIL que la société ne disposait pas de procédure spécifique établie s’agissant des opérations de migration de données. Aucune mesure de sécurité n’était notamment prévue pour l’envoi des données, pourtant sensibles au sens de l’article 9 du RGPD. Les fichiers d’extractions de données étaient donc envoyés  » en clair  » (c’est-à-dire lisibles directement, car non transformées préalablement via une fonction de hachage), sans aucune mesure de chiffrement ou de sécurité. Or, pour assurer la sécurité des opérations de migration d’un nombre aussi important de données à caractère personnel sensibles, il convient de mettre en place des procédures spécifiques permettant de décrire étape par étape l’enchaînement des tâches à réaliser, les rôles et les responsabilités associées. De telles procédures permettent également de disposer d’un compte rendu détaillé des opérations pour les laboratoires ou clients dont les données ont été traitées et transmises. L’absence de telles procédures fait peser sur les données à caractère personnel concernées un risque de compromission pourtant facilement évitable, qui peut conduire à exposer des données relevant de la vie privée.

En deuxième lieu, la formation restreinte relève que plusieurs alertes successives auraient dû conduire la société à effectuer des investigations sur son système de sécurité. Si, s’agissant du signalement réalisé par l’ANSSI en novembre 2020, la société indique avoir entrepris des investigations internes pour identifier la source possible de compromission et avoir mis en œuvre plusieurs actions correctives et préventives, elle n’a pas effectué de diligences suffisantes afin d’identifier si les données d’autres laboratoires avaient pu être compromises et si des vulnérabilités existantes étaient à l’origine de la compromission. La formation restreinte considère que la société n’a pas pris la mesure des problèmes de sécurité qu’elle rencontrait à l’époque, lesquels ont fini par aboutir à la violation de d