Libres jugements

Parmi les quarante-deux décisions de sanction prononcées par la Cnil, certaines concernent le traitement des données de santé.

Sans donner les noms des structures concernées, elle revient sur les points faibles qui ont conduit à ces décisions.

En 2023, la Commission nationale de l’informatique et des libertés (Cnil) a prononcé quarante-deux sanctions pour un montant de plus de 89 millions d’euros. Ces sanctions comportent trente-six amendes, dont quatorze avec injonctions sous astreintes, deux décisions de liquidation d’astreinte, c’est-à-dire le paiement d’une somme en raison du non-respect d’un ordre donné par la Cnil dans sa décision de sanction, et quatre rappels à l’ordre, note-t-elle dans son bilan.

Les décisions de sanction ont porté sur des thématiques variées et ont concerné des acteurs de taille et de secteurs divers, dont le traitement des données de santé. La Cnil ne précise pas les secteurs de la santé concernés et rappelle que seules quatorze décisions ont été rendues publiques. De plus, six des décisions de sanction adoptées « l’ont été encoopération avec les homologues européens de la Cnil« .

La commission relève que 2023 a été l’année « de la montée en puissance de la procédure de sanction simplifiée« . Parmi les quarante-deux sanctions adoptées, vingt-quatre d’entre elles (douze amendes, et douze amendes et injonctions) ont été prises par le président de la formation restreinte pour un montant total de 229 500 euros. Le principal manquement retenu dans le cadre de la procédure simplifiée est « le défaut de coopération avec la Cnil, qui a concerné quinze organismes (acteurs publics et privés) sanctionnés pour n’avoir pas répondu à ses sollicitations« .

Quant au manquement relatif à la sécurité des données personnelles, il a été retenu à l’encontre de sept organismes qui n’ont pas mis en œuvre toutes les mesures nécessaires pour assurer la sécurité des données. La Cnil cite l’utilisation d’un protocole http, « qui ne permet pas le chiffrement des données entre le client et le serveur, ou encore le manque de robustesse des mots de passe ou leur stockage en clair« .

La Cnil revient dans son bilan sur la procédure de sanction simplifiée qui confirme son efficacité pour répondre aux attentes de plaignants. Dix-sept décisions ont permis de répondre par la voie répressive à une plainte déposée auprès d’elle. Parmi ces décisions, plusieurs ont porté sur les droits des personnes. S’agissant des droits des personnes en particulier, »la Cnil a sanctionné huit organismes pour ne pas avoir fait droit à des demandes d’opposition et de droits d’accès« .

Autre point à relever, le « nombre record de mises en demeure » avec 168 décisions prononcées en 2023, un chiffre en augmentation depuis 2021. En outre, « ces mises en demeure ont également concerné des secteurs et des problématiques variés, qui recoupent celles abordées dans le cadre des procédures de sanctions telles que l’exercice des droits« .

---

Géraldine Tribault. Source Hospimédia.

---