Au moment où les entreprises sont mises sous pression à l’approche du Règlement général sur la protection des données (RGPD), la CNAM se fait épingler par la CNIL pour sa mauvaise protection des données des assurés… ironique n’est-ce pas ?
Le gendarme français de la protection des données donne ainsi trois mois à la CNAM pour se mettre en conformité avec les dispositions relatives à la protection et la sécurité des données des assurés dans le cadre du Système national d’information inter-régimes de l’assurance maladie (SNIIRAM). Rappelons que le SNIIRAM stocke des milliards de données de santé sur les assurés et sa taille atteint actuellement, si l’on prend en compte l’ensemble du Système national des données de santé (SNDS) dont le SNIIRAM est une partie intégrante, les 450 Téraoctets.
La mise en demeure a été décidée le 8 février 2018 et a été publiée le 27 février 2018.
Le système de protection des données de la CNAM est obsolète
La Cour des comptes avait déjà soulevé, dans son rapport du 3 mai 2016, notamment de la page 42 à 47, des mesures de protection des données obsolètes. Le mécanisme de double cryptage des données personnelles recueillies par la CNAM, appelé « FOIN », était jugé bien trop ancien pour faire face aux risques actuels.
Les rapporteurs de la Cour des comptes demandaient, dès 2016, à la CNAM de réfléchir à une nouvelle façon de protéger les données des assurés, plus actuelle, pour répondre aux risques. Apparemment, la CNAM ne semble pas avoir bougé le petit doigt… inquiétant quand on sait qu’elle gère toutes les données personnelles des assurés, donc des données de santé, qui sont des données dites sensibles méritant une protection accrue.
La CNAM dans le même bateau que les entreprises ?
Nous ne sommes plus étonnés de constater que les autorités françaises imposent aux entreprises des obligations que l’administration ne semble pas en mesure de respecter. L’obligation de protection des données personnelles découlant du RGPD qui entre en vigueur le 25 mai 2018 semble avoir réveillé la CNIL qui s’est empressée de rappeler la CNAM à l’ordre…
Le « hic » c’est qu’en cas de non conformité de la CNAM dans les délais impartis, le traitement pourrait être suspendu par la CNIL (on doute fortement que les mesures prises iront jusque là) et une sanction pénale d’un montant de 1 500 000 euros pourrait être infligée.
Rappelons que s’il s’agissait d’une entreprise, l’amende qui pourrait être prononcée par la CNIL pourrait s’élever à 10 millions d’euros ou 2% du chiffre d’affaires, voire 20 millions d’euros ou 4% du chiffre d’affaires, la somme la plus élevée étant retenue dans chacun des cas. Encore une fois, les organismes publics et les entreprises ne sont pas vraiment dans le même bateau…
