Cegedim santé édite et vend des logiciels de gestion (notamment Maiia, concurrent de Doctolib) utilisés par environ 25 000 cabinets médicaux et 500 centres de santé, explique la CNIL.
Lors de contrôles en 2021, la Commission a découvert que, « dans le cadre de l'utilisation de l'un de ses logiciels, la société avait traité sans autorisation des données de santé non anonymes, transmises à ses clients en vue de produire des études et des statistiques dans le domaine de la santé ».
Via son logiciel, l’entreprise proposait à un panel de médecins d’adhérer à un observatoire : « les données alors collectées sont ensuite utilisées par des clients de la société Cegedim Santé, notamment pour mener des études ». Problème, « ces données n’étaient pas anonymes, mais uniquement pseudonymes, la réidentification des personnes concernées étant techniquement possible ». La situation a durée au moins jusqu’en 2022, date de fin des contrôles.
La CNIL en profite pour placer un rappel important :
« Si les données sont anonymes, alors elles ne sont pas des données personnelles : dans ce cas, la règlementation sur la protection des données n’est pas applicable. À l’inverse, si les données sont pseudonymes, alors la réglementation est applicable ».
La Commission relève deux manquements : la société n’a formulé aucune demande d’autorisation et elle n’a pas adressé à la CNIL une déclaration de conformité. En conséquence, la formation restreinte a prononcé une amende de 800 000 euros à l’encontre de Cegedim Santé.
Sur la publicité (communication publique), le rapporteur de la CNIL considère que c’est « nécessaire au regard de la gravité des manquements en cause et du nombre de personnes concernées. Il estime que la publicité contribuera à informer les personnes concernées de l’existence du traitement de leurs données, y compris de données de santé, dont la grande majorité n’a pas connaissance ».
De son côté Cegedim ne souhaitait pas que cela arrive et a avancé plusieurs contre-arguments, notamment : « la publicité de la délibération lui causerait un préjudice commercial et créerait un risque de divulgation d’informations sur l’hébergement et la transmission des données pouvant porter atteinte à la sécurité des données », mais aussi que « la publicité de la sanction lui ferait encourir un risque réel quant à sa survie et au regard de sa santé financière précaire ».
Arguments balayés par la CNIL : « La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et du nombre de personnes concernées ».
![[MàJ ] Après les bipeurs, des talkies-walkies explosifs… et encore plus de questions sur le mode opératoire](https://next.ink/wp-content/uploads/2024/09/Beeper2-510x247.webp "[MàJ ] Après les bipeurs, des talkies-walkies explosifs… et encore plus de questions sur le mode opératoire")
Commentaires (26)
#1
#1.1
#1.2
J'étais coté RH et on faisait les fiches de paie de beaucoup de grosses boite en France.
#2
Ben il ne fallait pas faire ces conneries 😈
#2.1
#2.2
Se payer de bon juristes quand on traite des données sensible coutera toujours moins cher que l'amende.
Vu que "la réidentification des personnes concernées étant techniquement possible", c'est comme s'ils donnaient directement les noms. Donc leur traitement derrière pour mettre des pseudonyme n'a servi à rien.
Historique des modifications :
Posté le 16/09/2024 à 12h44
Se payer de bon juristes quand on traite des données sensible coutera toujours moins cher que l'amende.
Vu que "la réidentification des personnes concernées étant techniquement possible", c'est comme s'ils donnaient directement les noms. Donc leur traitement derrière pour mettre des pseudonyme n'a servi à rien.
#2.3
#2.5
En effet, la CNIL, lorsqu'elle parle de pseudonymisation, parle aussi de "si les personnes concernées pouvaient être réidentifiées par des moyens raisonnables". Le par des moyen raisonnable est très subjectif et est sans doute ici, en parti tout du moins, la source de la divergence d'opinion sur le caractère anonymisé/pseudonymisé des informations traitées.
Si c'est effectivement le rôle du DPO de conseiller et d'être vigilent sur ce genre de mesure, le DPO n'est pas omniscient et s'il fait des erreurs, c'est quand même le responsable de traitement qui est responsable (c'est ce que je reproche au RGPD, l'absence de responsabilité du DPO vis-à-vis de ses avis).
Qui plus est, il faut aussi remettre dans le contexte : ce qui semble aujourd'hui évident, ne l'était pas forcément ne serait-ce qu'hier encore. La jurisprudence était bien plus maigre. Les labélisations RGPD (que ce soit pour les centres de formation ou les personnes) sont arrivées très tardivement.
L'erreur faite ici par CEGEDIM, et qui aurait pu changer complètement la donne, c'est la présence d'un identifiant unique pour le patient par médecin, qui rend très facile la reconstruction d'un parcours de soin. S'il n'y avait pas cet identifiant, la position de CEGEDIM serait beaucoup plus défendable et la décision de la CNIL discutable, même si, vu la teneur des informations, cela n'aurait pas forcément changer grand chose sur le fond.
Historique des modifications :
Posté le 16/09/2024 à 14h37
Sans vouloir défendre Cegedim (j'ai un mauvais passif avec eux en tant qu'hébergeur HDS ^^), la situation est loin d'être aussi simple.
En effet, la CNIL, lorsqu'elle parle de pseudonymisation, parle aussi de "si les personnes concernées pouvaient être réidentifiées par des moyens raisonnables". Le par des moyen raisonnable est très subjectif et est sans doute ici, en parti tout du moins, la source de la divergence d'opinion sur le caractère anonymisé/pseudonymisé des informations traitées.
Si c'est effectivement le rôle du DPO de conseiller et d'être vigilent sur ce genre de mesure, le DPO n'est pas omniscient et s'il fait des erreurs, c'est quand même le responsable de traitement qui est responsable (c'est ce que je reproche au RGPD, l'absence de responsabilité du DPO vis-à-vis de ses avis).
Qui plus ait, il faut aussi remettre dans le contexte : ce qui semble aujourd'hui évident, ne l'était pas forcément ne serait-ce qu'hier encore. La jurisprudence était bien plus maigre. Les labélisations RGPD (que ce soit pour les centres de formation ou les personnes) sont arrivées très tardivement.
L'erreur faite ici par CEGEDIM, et qui aurait pu changer complètement la donne, c'est la présence d'un identifiant unique pour le patient par médecin, qui rend très facile la reconstruction d'un parcours de soin. S'il n'y avait pas cet identifiant, la position de CEGEDIM serait beaucoup plus défendable et la décision de la CNIL discutable, même si, vu la teneur des informations, cela n'aurait pas forcément changer grand chose sur le fond.
#2.4
Je pense ne pas me tromper en disant que c'est un des leaders en France dans l'informatique médical.
https://fr.wikipedia.org/wiki/Cegedim
Si ils ont merdé sur ce sujet c'est qu'ils n'ont pas voulu mettre les ressources techniques et juridiques.
La sanction de la CNIL va remettre du plomb dans tout le secteur.
L'informatique médical est une cible pour les malfrats, actuellement.
Historique des modifications :
Posté le 16/09/2024 à 14h12
Cegedim ce n'est pas une petit PME! Ils ont racheté plein de logiciels médicaux.!
Je pense ne pas me tromper en disant que c'est un des leaders en France dans l'informatique médical.
https://fr.wikipedia.org/wiki/Cegedim
Si ils ont merdé sur ce sujet c'est qu'ils n'ont pas voulu mettre les ressources techniques et juridiques.
La sanction de la CNIL va remettre du plomb dans tous le secteur.
L'informatique médical est une cible pour les malfrats, actuellement.
Posté le 16/09/2024 à 14h12
Cegedim ce n'est pas une petit PME! Ils ont racheté plein de logiciels médicaux!
Je pense ne pas me tromper en disant que c'est un des leaders en France dans l'informatique médical.
https://fr.wikipedia.org/wiki/Cegedim
Si ils ont merdé sur ce sujet c'est qu'ils n'ont pas voulu mettre les ressources techniques et juridiques.
La sanction de la CNIL va remettre du plomb dans tous le secteur.
L'informatique médical est une cible pour les malfrats, actuellement.
#3
#3.1
On envoie ensuite les données pseudomisées à son "partenaire" de stats, comme de l'anonyme (pas de nom pas d'adresse...)
Le hic c'est qu'il y a toujours une table quelque part (chez l'éditeur source au moins) qui dit que theoldscudo c'est l'ID #2322 et ashlol c'est #78818, donc une fois les stats faites, avec un peu d'astuce on retrouve que #2322 qui s'est fait amputer de la tête c'est bien theoldscudo
#3.2
#3.3
#3.5
Mission impossible donc-> Bases de données de ce type interdites par principe hors concentement explicite ?
#3.6
La Commission relève deux manquements : la société n’a formulé aucune demande d’autorisation et elle n’a pas adressé à la CNIL une déclaration de conformité.
#3.7
Une question encore : les entitées publiques sont elles soumises aux mêmes règles ? Si la CPAM ou une ARS lance une étude X ou Y sur ses propres données, potentiellement sous-traitée à un privé ou un organisme de recherche, doit elle obtenir le consentement explicite des usagers du panel sélectionné ?
#3.4
Dans Saw, ils s'amputent eux-même... aucune possibilité d'erreur.
#4
#4.1
#5
Voilà comment elle traite les données personnelles : elle ne vérifie même pas le prénom ou la date de naissance du patient...
#5.1
Après, c'est exemple montre que dans leur processus de prise de RDV (via téléphone, ou web) il y a un gros écueil!!
Quand je songe à ma mutuelle qui me demande nom, prénom, date de naissance, adresse etc pour bien m'identifier (vous avez pas mon numéro de téléphone qui s'affiche sur votre standard?) 🤬
Mon conseil pour cette secrétaire : se farcir 3 mois de rangements d'archives médicales chez des libéraux. Elle va vite comprendre le problème des homonymes !
#5.2
#5.3
Et si ce n'est la date de naissance, il suffit de vérifier les premiers numéros de la carte vitale pour éviter de se tromper de personne...
#5.4
le praticien par la suite à ta première visite est censé associé le patient du RDV au patient de son dossier de soin dans sa solution de gestion médicale.
Comme cela a l'avenir il connait le patient du RDV par son dossier de soin.
On retombe toujours sur traçabilité/anonymisation. Actuellement les solution d'agenda et de prise de rendez-vous sont décorrélé des solution de gestion médicale pour évité justement que si une faille cote RDV ne permette de remonté les info coté médical.
Historique des modifications :
Posté le 17/09/2024 à 11h58
Alors non, car le praticien quand tu t'inscris et prend un RDV sur le site docto ou maiia ne recoit que N° de tel et nom et prenom. A part que ces sites demandent de saisir la date de naissance ou le matricule assuré lors de l'inscription (qu'ils ne feront pas pour cause de sécurité et identification (cf probleme docto qui a defrayé la chronique il y a quelque temps)).
le praticien par la suite à ta premiere visite est censé associé le patient du RDV au patient de son dossier de soin dans sa solution de gestion médicale.
Comme cela a l'avenir il connait le patient du RDV par son dossier de soin.
#6
L'adhésion à l'observatoire se fait contre paiement (ou ristourne) ?
#6.1
Il doit le faire, mais il ne le sait pas (son truc c'est la santé, pas le droit).
Ce n'est pas la première fois qu'un professionnel de santé collecte des données sur ses patients à son corps défendant:
https://next.ink/5333/donnees-pharmacies-et-iqvia-cnil-sexplique-et-va-mener-controles/
Pas sur qu'il y ait un paiement, en tous cas la somme est sûrement faible
Historique des modifications :
Posté le 17/09/2024 à 05h04
Car le médecin n'a pas compris un paragraphe dans les 22 pages du contrat qui le lie à son éditeur de logiciel métier.
Il doit le faire, mais il ne le sait pas (son truc c'est la santé, pas le droit).
Ce n'est pas la première fois qu'un professionnel collecte des données sur ses patients à son corps défendant:
https://next.ink/5333/donnees-pharmacies-et-iqvia-cnil-sexplique-et-va-mener-controles/
Pas sur qu'il y ait un paiement, en tous cas la somme est sûrement faible