La Cnil condamne un éditeur de logiciels médicaux à 800 000 € d’amendes

La Commission nationale de l’informatique et des libertés (Cnil) a indiqué, dans un communiqué, que « la société avait traité sans autorisation des données de santé non anonymes, transmises à ses clients en vue de produire des études et des statistiques dans le domaine de la santé ». Cegedim Santé, qui fournit des logiciels à des médecins, a transmis des données sous pseudonymes, non anonymisées, permettant l’identification d’un patient et la connaissance de son parcours médical.

De lourds manquements

La Cnil a ainsi identifié deux manquements à la loi Informatique et Libertés applicable en la matière, relatifs à l’obligation de traiter des données de manière licite et à l’obligation d’effectuer les formalités préalables dans le domaine de la santé. Elle a également souligné le « caractère massif » du traitement de données « sensibles ».

Cegedim se réserve le droit de faire appel

Dans un communiqué, Cegedim Santé rappelle que la décision touche uniquement le logiciel Crossway. Selon l’acteur du numérique en santé, la Cnil, « à la suite d’un audit réalisé il y a plus de 3 ans a remis soudainement en cause dans sa décision du 5 septembre 2024, le caractère anonyme des données pourtant reconnu comme tel jusque-là. Après de longs échanges et l’intervention d’experts indépendants prouvant l’impossibilité de réidentifier un patient, Cegedim Santé regrette cette nouvelle position doctrinale adoptée par la CNIL ». Selon l’acteur du numérique en santé, cette décision ne remet pas en cause « la robustesse des process, la sécurité des données, ou l’utilisation qui en est faite, ni la poursuite des activités de ce programme de recherche ». Cegedim Santé se réserve le droit de contester la décision de la Cnil devant le Conseil d’État.