La Commission nationale de l’informatique et des libertés (Cnil) vient d’infliger une amende de 800 000 € à Cegedim Santé pour avoir violé les règles en matière de traitement de données de santé à caractère personnel. Cette sanction intervient un peu plus d’un an après la dernière qui avait été rendue en la matière à l’encontre de Doctissimo pour un montant de 380 000 €.
L’amende prononcée par la Cnil est le fruit de contrôles réalisés en 2021. Ces contrôles ont révélé deux grands manquements aux règles qui encadrent le traitement des données de santé à caractère personnel, ce qui entraine l’amende de 800 000 € et la publicité de la décision.
Cegedim Santé a violé la procédure d’autorisation de traitement de données de santé à caractère personnel
Tout d’abord, pour traiter les données personnelles de santé récoltées, la société Cegedim Santé n’a pas suivi la procédure prévue par l’article 66 de la loi Informatique et Libertés. Ledit article précise notamment qu’un traitement de données de santé à caractère personnel ne peut être mis en œuvre qu’après avoir été autorisé au préalable par la Cnil.
Cette autorisation n’est toutefois pas nécessaire à la condition que le traitement mis en œuvre soit conforme à l’un des référentiels et règlements types de la Cnil : dans ce cas, le responsable de traitement doit envoyer une déclaration de conformité à la Commission, en amont de sa mise en œuvre.
Etant donné que Cegedim Santé n’a fait aucune déclaration préalable de conformité à un référentiel et n’a pas non plus demandé d’autorisation de traitement, la violation de l’article 66 de la loi Informatique et Libertés est caractérisée.
Le traitement est illicite au regard du RGPD
Ensuite, la Cnil considère que l’un des systèmes de consultation de données de l’assurance maladie issues du téléservice « HRi » n’est pas conforme à l’article 5.1 du Règlement général relatif à la protection des données (RGPD). Cet article indique notamment que les données personnelles doivent être traitées de manière licite, loyale et transparente.
Or, lorsqu’un médecin utilise le logiciel de Cegedim Santé pour consulter les données de santé d’un patient sur le téléservice « HRi » de l’assurance maladie, les données du patient sur les 12 mois précédents sont automatiquement transférées dans le dossier du patient mais aussi vers la société Cegedim Santé. Cette automaticité du siphonnage des données de santé à caractère personnel, dès qu’un médecin consulte le téléservice « HRi », est considéré comme illicite au regard du RGPD.
Selon la Commission, l’outil de Cegedim Santé aurait dû prévoir que les médecins puissent consulter les données de l’assurance maladie sans que cela ne les siphonne automatiquement. Par conséquent, le traitement viole la condition de licéité prévue par le RGPD.
