Responsabilité du sous-traitant RGPD pour défaut de sécurité et traitement hors instructions

La formation restreinte qualifie la société de sous-traitant au sens de l’article 4, point 8, du RGPD, dès lors qu’elle fournit les outils informatiques aux laboratoires et agit sur leurs instructions. Cette qualification implique une responsabilité propre, indépendamment des obligations également assumées par les responsables de traitement.

Le manquement à l’article 28, paragraphe 3, est caractérisé par l’absence, dans les conditions générales et contrats de maintenance, des mentions encadrant obligatoirement le traitement. Les démarches de mise en conformité engagées après les contrôles ne suppriment pas le manquement constaté.

L’article 29 est méconnu lorsque le sous-traitant extrait des données excédant celles demandées par les laboratoires. Des tickets de support ou un courriel émanant d’un tiers ne suffisent pas à établir la validation du périmètre extrait. Les limites techniques d’un outil ne justifient pas le dépassement des instructions : un autre outil doit être utilisé ou les données excédentaires supprimées.

L’article 32 impose des mesures de sécurité adaptées aux risques, particulièrement pour les données de santé relevant de l’article 9. L’absence de chiffrement, d’authentification, d’effacement automatique, de comptes individualisés, de procédures de migration et de supervision des alertes caractérise le manquement, indépendamment de la certitude du lien entre chaque défaut et la divulgation.

Sur le fondement de l’article 20, III, de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL peut prononcer une amende effective, proportionnée et dissuasive. La pluralité des manquements, leur gravité, le nombre de personnes affectées, la nature sensible des données, la négligence et la situation financière ont justifié une amende de 1 500 000 euros ainsi que la publicité de la sanction.

⬇️Télécharger la décision version officielle

La CNIL a constaté la diffusion de données médico-administratives de 491 840 patients et l’absence de contrats conformes avec les laboratoires. Lors de migrations, des données excédant les instructions reçues avaient été extraites. Les fichiers étaient stockés et transmis sans chiffrement, sur un serveur FTP non authentifié, avec des comptes partagés et une supervision insuffisante. Trois manquements aux articles 28, 29 et 32 du RGPD ont conduit à une amende de 1 500 000 euros.

Une société éditrice de logiciels destinés aux laboratoires d’analyses médicales fournissait des solutions, des services de maintenance et des prestations de migration de données. Elle intervenait pour le compte des laboratoires, responsables des traitements.

À la suite d’un contrôle en ligne et de contrôles auprès de plusieurs laboratoires, la CNIL a constaté la diffusion sur Internet d’un fichier contenant les données médico-administratives de 491 840 patients, notamment des données d’identification, de santé, des informations sur les médecins et des identifiants de connexion.

La société ne disposait pas de contrats conformes à l’article 28, paragraphe 3, du RGPD. Lors de migrations, elle avait extrait des données au-delà des instructions reçues, notamment des commentaires médicaux non demandés. Les fichiers étaient stockés et transmis sans chiffrement, sur un serveur FTP accessible sans authentification, avec des comptes partagés, sans effacement automatique ni supervision suffisante.

La CNIL a retenu trois manquements aux articles 28, 29 et 32 du RGPD. Elle a prononcé une amende administrative de 1 500 000 euros et ordonné la publicité de sa décision, avec anonymisation de la société après deux ans.

• Qualifier concrètement la société de sous-traitant agissant sur instructions
• Vérifier la présence des mentions obligatoires de l’article 28, paragraphe 3
• Comparer le périmètre extrait avec les instructions documentées du laboratoire
• Établir la réalité des données extraites au-delà du périmètre demandé
• Évaluer les mesures de sécurité au regard des risques et des données de santé
• Prendre en compte la gravité, l’ampleur et les conséquences de la violation

• Procès-verbal de contrôle sur place relatif aux extractions
• Fichiers contenant des données extraites au-delà des demandes
• Contrats de maintenance et conditions générales de vente transmis
• Constats d’accès anonyme au serveur FTP
• Rapport d’investigation numérique établissant les intrusions
• Fichier diffusé contenant environ 90 % des données du serveur FTP

La société sous-traitante engage sa responsabilité propre pour les manquements contractuels, les traitements excédant les instructions et les défauts de sécurité. Les laboratoires doivent disposer d’un encadrement contractuel et d’un contrôle effectif des opérations de migration, tandis que les personnes concernées restent exposées aux risques liés à la divulgation de données de santé.

• Sanction financière de 1 500 000 euros pour la société
• Publicité de la décision avec anonymisation après deux ans
• Formalisation des contrats conformes à l’article 28 du RGPD
• Limitation documentée des extractions aux champs autorisés
• Chiffrement et authentification des serveurs et fichiers transférés
• Traçabilité, effacement et supervision des opérations de migration

À faire

• Formaliser les contrats de sous-traitance conformes à l’article 28
• Documenter précisément les instructions et champs à extraire
• Faire valider les extractions par le laboratoire concerné
• Chiffrer les données avant tout transfert ou stockage
• Individualiser les comptes et superviser les alertes de sécurité

À éviter

• Utiliser des contrats dépourvus des mentions obligatoires
• Extraire des colonnes non prévues par les instructions
• Invoquer les limites techniques d’un outil obsolète
• Conserver les données après leur migration
• Autoriser un accès FTP anonyme ou des comptes partagés

La qualification de sous-traitant au sens de l’article 4 du RGPD

La qualification repose sur une appréciation concrète des fonctions exercées. Une société qui met à disposition des laboratoires des outils informatiques et agit généralement sur leurs instructions traite les données pour leur compte et relève de l’article 4, point 8, du RGPD. Les laboratoires demeurent responsables des traitements au sens du point 7. Cette qualification fonde l’examen des obligations propres du sous-traitant.

Les obligations contractuelles de l’article 28, paragraphe 3

Les conditions générales de vente et contrats de maintenance doivent comporter les mentions exigées par l’article 28, paragraphe 3, notamment l’objet, la durée, la nature, la finalité, les données, les personnes concernées et les obligations respectives. L’absence de ces mentions caractérise un manquement propre du sous-traitant. La responsabilité conjointe du responsable de traitement et du sous-traitant n’exclut pas cette responsabilité propre.

La sécurité des données au regard des articles 29 et 32

Le sous-traitant ne peut traiter les données que sur instruction du responsable de traitement. L’extraction de champs non demandés méconnaît l’article 29, même si l’outil utilisé est techniquement limité. L’article 32 exige des mesures adaptées aux risques : chiffrement, authentification, comptes individualisés, effacement après migration, procédures spécifiques et supervision. Leur absence a exposé des données de santé et justifié la sanction.

Article 4, points 7 et 8, du RGPD, Article 9 du RGPD, Article 28, paragraphe 3, du RGPD, Article 29 du RGPD, Article 32 du RGPD, Article 83 du RGPD, Article 20, III, de la loi n° 78-17 du 6 janvier 1978