Données de santé pseudonymisées : obligations RGPD et collecte illicite des historiques de remboursement

La formation restreinte qualifie de données à caractère personnel les données de santé chiffrées lorsqu’un identifiant permet de suivre l’historique d’un patient au sein d’un cabinet. La pseudonymisation ne constitue pas une anonymisation dès lors qu’une personne demeure identifiable par des moyens raisonnablement susceptibles d’être utilisés, conformément aux articles 4, paragraphes 1, 5 et 15, et au considérant 26 du RGPD.

Le traitement d’un entrepôt de données de santé était soumis à la section 3 du chapitre III de la loi Informatique et Libertés. En l’absence de consentement explicite au sens de l’article 9, paragraphe 2, a), du RGPD et de l’article 65 de cette loi, la société devait obtenir une autorisation au titre de l’article 66 ou adresser une déclaration de conformité à un référentiel. À défaut, le manquement à l’article 66 est constitué.

La collecte de données issues du téléservice ALDi n’est pas illicite lorsque le médecin les intègre lui-même à son dossier informatisé. En revanche, le téléchargement automatique des données HRi lors de leur simple consultation, sans étape intermédiaire ni action complémentaire du médecin, méconnaît les articles L. 162-4-3 et R. 162-1-10 du code de la sécurité sociale, l’article R. 1111-8-6 du code de la santé publique et l’article 5, paragraphe 1, a), du RGPD.

La formation restreinte retient la responsabilité de la société en qualité de responsable du traitement. Les mesures d’appauvrissement postérieures au contrôle ne l’exonèrent pas des manquements passés, mais l’arrêt de son intervention justifie l’absence d’injonction de mise en conformité sur l’article 66.

⬇️Télécharger la décision version officielle

Une société éditrice de logiciels médicaux collectait, auprès de médecins, des données administratives, médicales et de prescription extraites de dossiers patients. Bien que chiffrées et associées à un identifiant, ces données demeuraient pseudonymisées et constituaient des données de santé à caractère personnel. La société n’avait obtenu ni autorisation ni reconnaissance de conformité. La CNIL a également relevé le téléchargement automatique de données issues d’un téléservice de l’assurance maladie.

Une société éditrice de logiciels médicaux proposait à des médecins d’adhérer à un observatoire. Les données extraites des dossiers patients comprenaient des informations administratives, médicales, de prescription et des données issues des téléservices de l’assurance maladie. Elles étaient chiffrées et associées à un identifiant permettant de suivre les informations d’un même patient dans un cabinet.

La société transmettait ces données à des fins d’études et de statistiques de santé, en considérant qu’elles étaient anonymes. La CNIL a contrôlé le dispositif en 2021 et a engagé une procédure de sanction.

La formation restreinte a retenu que les données étaient pseudonymisées et constituaient des données de santé à caractère personnel. La société n’avait demandé ni autorisation ni reconnaissance de conformité à un référentiel. Elle a également constaté que la consultation du téléservice HRi entraînait automatiquement le téléchargement des données dans le dossier patient, contrairement au téléservice ALDi, dont les données étaient intégrées manuellement par le médecin. Des mesures d’appauvrissement ont ensuite été mises en œuvre et la société a cessé son intervention dans le dispositif.

• Identifier une personne directement ou indirectement par un identifiant
• Permettre le suivi d’un même patient dans les données collectées
• Qualifier les informations médicales de données de santé
• Démontrer une anonymisation résistant aux risques de réidentification
• Obtenir une autorisation ou déclarer la conformité à un référentiel
• Prévoir une action distincte du médecin avant transmission des données HRi

• Identifiants uniques associés aux données d’un patient dans chaque cabinet
• Descriptions techniques du chiffrement et du réenregistrement des identifiants
• Données administratives, médicales et prescriptions extraites des dossiers patients
• Constat du téléchargement automatique des données HRi sur douze mois
• Fonctionnement distinct du téléservice ALDi avec intégration manuelle
• Courrier de 2013 jugé insuffisant sur les modalités de transmission HRi

La société est reconnue responsable de traitements de données de santé pseudonymisées et voit deux manquements retenus. Les mesures correctrices ultérieures n’effacent pas la responsabilité passée, tandis que la cessation de son intervention écarte l’injonction fondée sur l’article 66.

• Maintien de la qualification de données personnelles
• Responsabilité au titre de l’article 66 de la loi Informatique et Libertés
• Responsabilité pour collecte illicite des données HRi
• Absence d’injonction de mise en conformité sur le dispositif abandonné
• Nécessité de distinguer consultation médicale et transmission à l’éditeur

À faire

• Qualifier les identifiants et les risques de réidentification
• Documenter les tests d’individualisation, corrélation et inférence
• Vérifier l’autorisation ou le référentiel applicable
• Recueillir le consentement explicite lorsque nécessaire
• Permettre une validation médicale avant transmission des données HRi

À éviter

• Assimiler chiffrement et anonymisation
• Automatiser le téléchargement HRi lors d’une simple consultation
• Collecter directement les données d’un téléservice sans base applicable
• Compter sur des mesures postérieures pour effacer les manquements
• Produire une preuve technique sans décrire les modalités de transmission

Les critères de qualification des données pseudonymisées

La qualification de données à caractère personnel repose sur la possibilité d’identifier indirectement une personne par un identifiant et des moyens raisonnablement susceptibles d’être utilisés. Le suivi historique d’un patient dans un même cabinet permet l’individualisation et accroît le risque de réidentification. La société devait démontrer que cette réidentification était impossible par des moyens raisonnables ; les mesures d’appauvrissement postérieures n’ont pas suffi.

Les formalités applicables aux entrepôts de données de santé

Le traitement de données de santé pseudonymisées relevait de la section 3 du chapitre III de la loi Informatique et Libertés. Faute de consentement explicite des patients, la société devait obtenir une autorisation au titre de l’article 66 ou adresser à la CNIL une déclaration attestant la conformité du traitement à un référentiel. Aucune de ces formalités n’avait été accomplie.

La collecte automatisée des données du téléservice HRi

La consultation du téléservice HRi déclenchait automatiquement le téléchargement de douze mois de données dans le dossier patient, sans choix intermédiaire du médecin. Cette aspiration par l’extracteur excédait les modalités prévues par les articles L. 162-4-3 et R. 162-1-10 du code de la sécurité sociale et l’article R. 1111-8-6 du code de la santé publique. Le manquement à l’article 5, paragraphe 1, a), du RGPD est constitué, contrairement à la collecte des données ALDi intégrées manuellement.

Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), Loi n° 78-17 du 6 janvier 1978, Article 4, paragraphes 1, 5 et 15 du RGPD, Article 5, paragraphe 1, a) du RGPD, Article 9, paragraphe 2, a) du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 65 de la loi n° 78-17 du 6 janvier 1978, Article 66 de la loi n° 78-17 du 6 janvier 1978, Article L. 162-4-3 du code de la sécurité sociale, Article R. 162-1-10 du code de la sécurité sociale, Article R. 1111-8-6 du code de la santé publique, Article 83 du RGPD, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40 du décret n° 2019-536 du 29 mai 2019