Délibération n° 2023-151 du 21 décembre 2023 portant modification du règlement intérieur de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ; Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 8-1 et 14 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 6 ; Vu l'arrêté du 27 février 2020 pris en application du décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 4 à 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Damien MILIC, commissaire du Gouvernement, en ses observations, Décide : Article 1 Le chapitre XIII de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 est remplacé par un chapitre XIII ainsi rédigé : Chapitre XIII Modalités de rémunération des membres de la commission Article 78 Principes Sans préjudice des indemnités forfaitaires, prévues par l'article 5 du décret n° 2020-173 du 27 février 2020 et l'arrêté du 27 février 2020 pris pour son application, qui sont allouées à certains membres de la commission en raison de leurs fonctions, des indemnités à la vacation peuvent être versées aux membres de la commission en application de l'article 6 du même décret, à l'exception de son président et des députés et sénateurs nommés en cette qualité, dans les conditions fixées aux articles 79 à 87 du présent règlement intérieur. Article 79 Indemnités à la vacation allouées au titre de la participation aux séances de la formation plénière de la commission Le montant des indemnités allouées aux membres de la commission est fixé à 250 euros par participation effective à toute séance de la formation plénière de la commission. Le nombre maximal de séances indemnisées par membre à ce titre est fixé à cinquante par année civile. Article 80 Indemnités à la vacation allouées au titre de la présentation des dossiers devant la formation plénière de la commission Le montant unitaire des vacations allouées aux membres de la commission au titre de la préparation et de la présentation des dossiers devant la formation plénière de la commission est fixé à 50 euros. Le fait de préparer et rapporter devant la formation plénière de la commission une délibération ne présentant pas de difficulté technique ou juridique particulière, au sens de l'article 17 du présent règlement intérieur, correspond à deux vacations (100 euros). Le nombre maximal de dossiers indemnisés par membre à ce titre est fixé à soixante-dix par année civile. Cette indemnité comprend tout le travail exercé sur le dossier, y compris les éventuelles réunions avec les services ou les administrations. Le montant des indemnités allouées aux membres de la commission au titre de la préparation et de la présentation orale d'une délibération ou d'un dossier faisant l'objet d'un rapport écrit à la formation plénière de la commission est fixé à neuf vacations (450 euros). En cas de complexité particulière, ce montant est porté à treize vacations (650 euros). Le nombre maximal de délibérations ou dossiers donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est fixé à quarante. Lorsque la conduite d'un dossier, notamment l'adoption de lignes directrices ou de recommandations en application de l'article 8 de la loi du 6 janvier 1978 s'étend sur un temps particulièrement long et implique, par exemple, l'organisation et le suivi d'une concertation, l'indemnisation allouée aux membres de la commission au titre de la conduite de ce type de dossier au long cours peut prendre deux formes, selon la décision du président : - soit chaque séance de travail avec les services ou les tiers et chaque rapport écrit en séance plénière font l'objet d'une indemnisation d'un montant fixé respectivement à deux vacations (100 euros) et sept vacations (350 euros). Le nombre maximal de dossiers au long cours donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est alors fixé à dix et le nombre maximal de séances de travail nécessaires au traitement de ce type de dossier à quarante ; - soit le président de la Commission décide de confier une mission particulière à un commissaire sur plusieurs mois. Cette mission fait l'objet d'une rémunération mensuelle qui est déterminée en fonction de la charge de travail liée à la mission. La rémunération mensuelle ne peut excéder trente vacations (1 500 euros). Si la mission donne lieu à des présentations en séance plénière, celles-ci ne font pas l'objet d'une rémunération spécifique. Article 81 Indemnités à la vacation allouées au titre de la participation aux séances de la formation restreinte de la commission Le montant des indemnités allouées aux membres de la commission est fixé à 250 euros par participation effective à toute séance publique de la formation restreinte de la commission et au délibéré qui s'ensuit. Le montant des indemnités allouées aux membres de la commission pour l'examen de dossiers en délibéré sans tenue d'une séance publique (notamment les examens de suite d'injonction ou les examens de projets de décision transmis par le Comité européen de la protection des données en application des articles 63 et suivants du règlement général sur la protection des données (n° 2016/679 du 27 avril 2016) est fixé à 50 euros par dossier examiné pour chacun des membres assistant à la séance. Le nombre maximal de séances indemnisées par membre est fixé à cinquante par année civile. Article 82 Indemnités à la vacation allouées au titre de la présidence des séances de la formation restreinte en cas d'absence du président Le montant des indemnités allouées au vice-président de la formation restreinte est fixé à 400 euros par présidence effective, en cas d'absence ou d'empêchement du président de cette formation, d'une séance de la formation restreinte de la commission. Cette indemnité n'est pas cumulable avec celle mentionnée à l'article précédent. Le nombre maximal de séances indemnisées à ce titre est fixé à vingt par année civile. Article 83 Indemnités à la vacation allouées au titre de la présentation des dossiers devant la formation restreinte de la commission Le montant unitaire des vacations allouées aux membres de la commission au titre de la préparation et de la présentation des dossiers devant la formation restreinte de la commission est fixé à 50 euros. Le fait de rédiger un rapport proposant le prononcé d'une sanction, les mémoires de réponse dans le cadre de la procédure contradictoire, et de présenter oralement un dossier faisant l'objet d'un rapport écrit à la formation restreinte de la commission est rémunéré, pour l'ensemble de l'instruction et la participation à la séance publique, par treize vacations (650 euros). En cas de complexité particulière, ce taux est porté à vingt vacations (1 000 euros). Le nombre maximal de délibérations ou dossiers donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est fixé à quarante. Article 84 Indemnités à la vacation allouées au titre des investigations menées dans le cadre de l'exercice des droits des personnes auprès de la commission Le montant des indemnités allouées aux membres de la commission au titre des investigations hors des locaux de la commission, dans le cadre de l'exercice des droits des personnes auprès de la commission, est fixé à 250 euros par demi-journée d'investigation. Le nombre maximal de demi-journées indemnisées par membre à ce titre est fixé à trente par année civile. Article 85 Indemnités à la vacation allouées au titre des déplacements à l'étranger Le montant des vacations allouées aux membres de la commission pour se déplacer à l'étranger et participer aux travaux liés à l'activité européenne ou internationale de la commission à l'étranger est fixé à 250 euros par demi-journée. La participation effective à distance à ces travaux donne lieu au versement de la même indemnité lorsqu'ils sont assimilables à une séance de la commission. Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à cent par année civile. Article 86 Indemnités à la vacation allouées au titre de la participation aux travaux d'une instance ou d'un organisme administratif Le montant des indemnités allouées aux membres de la commission au titre de leur participation aux travaux d'une instance ou d'un organisme administratif est fixé à 250 euros par séance de travail effective, dès lors que la participation du membre de la commission concerné résulte de la loi ou d'un acte réglementaire publié au Journal officiel et qu'elle ne fait pas l'objet d'une indemnité versée par l'instance ou l'organisme administratifs concernés. Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à quinze par année civile. Article 87 Indemnités à la vacation allouées au titre de la participation à un colloque, conférence ou séminaire Le fait pour un membre de la Commission de participer, à la demande du président, à un colloque, une conférence, un séminaire ou une autre manifestation de même nature, pour y faire des interventions ou participer à des tables rondes, peut faire l'objet d'une indemnité d'un montant de 250 euros, lorsque la manifestation se déroule en dehors de l'Ile-de-France. Article 88 Indemnités à la vacation allouées au titre des autres activités Le montant des indemnités allouées aux membres de la commission pour leur participation à toute autre séance de travail, y compris à distance, à la demande de la commission ou nécessaire aux travaux effectués pour elle, est fixé à 100 euros par séance. Le nombre maximal de séances de travail indemnisées par membre à ce titre est fixé à quatre-vingt par année civile. Article 2 La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun en ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Décision DT-2024-023 du 21 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DIJON BOURGOGNE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EREBIA ». (Demande d’autorisation n° 2234836).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : des modalités d’information des personnes concernées ; de certaines mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel " entrepôt de données dans le domaine de la santé ". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " EREBIA ". Ce dernier a pour finalités : la production d’indicateurs et le pilotage stratégique, tel que des bilans d’activité, des évaluations de la qualité et de la pertinence de la prise en charge ou encore le calcul d’indicateurs ; l’amélioration de la qualité de l’information médicale ou l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information (PMSI) ; le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ; la réalisation d’étude de faisabilité (pré-screening) ; la réalisation d’études, recherches et d’évaluations dans le domaine de la santé. Sur l’information des personnes S’agissant des professionnels de santé n’exerçant plus au sein de l’établissement dont les données ont été collectées antérieurement à la constitution de l’entrepôt : Les professionnels de santé dont les coordonnées figurent dans le dossier administratif géré par le CHU de Dijon Bourgogne recevront une information individuelle comportant l’ensemble des mentions prévues par le RGPD. En application de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle s’agissant des professionnels de santé n’exerçant plus au sein de l’établissement et dont les coordonnées ne figurent pas dans le dossier administratif géré par le CHU de Dijon Bourgogne. Des mesures appropriées seront mises en œuvre, telles que la diffusion d’une information comportant l’ensemble des mentions prévues par le RGPD sur le site web du responsable de traitement, sur les réseaux sociaux ainsi que par la publication d’un article dans une presse locale. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art, à l’exception de l’authentification multifacteur dont la mise en place est prévue d’ici la fin de l’année 2024. Elle devra être effective préalablement à la mise en œuvre du traitement. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DIJON BOURGOGNE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-017 du 8 octobre 2024 autorisant le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « Platform for Primary Care (P4DP) ». (Demande d’autorisation n° 2234538).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : de la nature des données traitées ; des accédants aux données ; de certaines mesures de sécurité. La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " Platform for Primary Care (P4DP) ". Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ; la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ; la production d’indicateurs pour la veille sanitaire et épidémiologique ; la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ; la réalisation d’études de faisabilité (pré-screening). L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD). Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD. Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP. Les données dont le traitement n’est pas prévu par le référentiel " entrepôt de données dans le domaine de la santé " sont les suivantes : données des professionnels de santé : l’âge et l’année de thèse ; maître de stage ou non ; statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ; nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ; département et région ; logiciel de consultation. données des personnes concernées : NIR de l’ouvrant droit. Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP). La collecte de ces données a été justifiée dans le dossier de demande : - d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ; - et d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt " P4DP " aux données du SNDS (qui fera l’objet d’une demande de modification substantielle). La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits. La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt. Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD. Sur les accédants aux données Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel " entrepôts de données de santé ", à l’exception de ceux permis aux médecins de l’information médicale des universités. Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes : administration de la chaîne d’intégration des données au sein de l’entrepôt ; création et administration des jeux de données et des espaces projets des équipes de recherche ; génération de rapports d'analyses ; revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ; exercice des droits des patients. Ces modalités d’accès sont satisfaisantes. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées. Par exception au référentiel " entrepôt de données dans le domaine de la santé ", les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une " zone de prétraitement " de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats. La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt. AUTORISE, dans ces conditions, le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-024 du 25 octobre 2024 autorisant le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Platform for Data in Primary Care (P4DP)". (Demande d’autorisation n° 2234538v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : de la nature des données traitées ; des accédants aux données ; de certaines mesures de sécurité. La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " Platform for Data in Primary Care (P4DP) ". Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ; la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ; la production d’indicateurs pour la veille sanitaire et épidémiologique ; la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ; la réalisation d’études de faisabilité (pré-screening). L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD). Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD. Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres Sur les données traitées Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP. Les données dont le traitement n’est pas prévu par le référentiel " entrepôt de données dans le domaine de la santé " sont les suivantes : données des professionnels de santé : l’âge et l’année de thèse ; maître de stage ou non ; statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ; nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ; département et région ; logiciel de consultation. données des personnes concernées : NIR de l’ouvrant droit. Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP). La collecte de ces données a été justifiée dans le dossier de demande : - d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ; - d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt " P4DP " aux données du SNDS (qui fera l’objet d’une demande de modification substantielle). La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits. La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt. Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD Sur les accédants aux données Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel " entrepôts de données de santé ", à l’exception de ceux permis aux médecins de l’information médicale des universités. Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes : administration de la chaîne d’intégration des données au sein de l’entrepôt ; création et administration des jeux de données et des espaces projets des équipes de recherche ; génération de rapports d'analyses ; revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ; exercice des droits des patients. Ces modalités d’accès sont satisfaisantes. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées. Par exception au référentiel " entrepôt de données dans le domaine de la santé ", les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une " zone de prétraitement " de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats. La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt. AUTORISE, dans ces conditions, le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Délibération n°2024-069 du 03 octobre 2024 portant approbation des règles d’entreprise contraignantes (BCR) " sous-traitant " du groupe TALAN
(demande d’approbation BCR22000093)

La Commission nationale de l'informatique et des libertés, Saisie par la société TALAN CORPORATE au nom et pour le compte du groupe TALAN (ci-après " TALAN ") d’une demande d’approbation de ses BCR " sous-traitant " ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes (" BCR ") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne (" UE ") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux garantis par l’UE. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu, il est tenu de suspendre le transfert concerné ou d’y mettre fin. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01, la documentation relative aux BCR " sous-traitant " du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services d’une autre autorité de protection des données agissant en qualité de co-examinatrice. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’espace économique européen (" EEE ") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données (" CEPD "). L’instruction des BCR " sous-traitant " du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP257 rev.01, notamment parce que ces BCR : i. sont rendues juridiquement contraignantes par un contrat intra-groupe et obligent chaque entité liée, y compris leurs employés, de les respecter (article I.3 des BCR) ; ii. confèrent expressément aux personnes concernées des droits dont elles peuvent se prévaloir en tant que tiers bénéficiaires via l’article IV.2 des BCR ; iii.. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ainsi qu’à l’annexe 1 des BCR ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées affectées et les pays tiers sont précisés en annexes 1 et 2 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR " sous-traitant " est reconnue à l’article I.3 et à l’annexe 3 des BCR ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles II.2, III.3, IV.4.c et V.2 des BCR ; e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus à l’article IV.3 des BCR ; f) l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article IV.3 des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité ne peut intervenir que si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article III.1 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations, sont détaillées à l’article IV.1 des BCR et en annexe 6 des BCR ; l) les procédures de réclamation, y compris l’obligation du sous-traitant d’informer le responsable du traitement d’une demande ou d’une réclamation d’une personne concernée, sont décrites articles III.2 et IV.3 ainsi qu’en annexe 4 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article III.5 et en annexe 5 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe, et sont mis à la disposition de l'autorité de contrôle compétente sur sa demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article V.4 des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle, mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises, est décrit à l’article IV.6 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visées au point j) ci-dessus est spécifiée à l’annexe 5 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers, et qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes, sont décrits à l’article V.3 et à l’annexe 7 des BCR ; n) enfin, l’article III.4 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°21/2024 en date du 17 septembre 2024, conformément à l’article 64- 1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR " sous-traitant " présentées par le groupe TALAN, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambiguïté, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR " sous-traitant " du groupe TALAN ne seraient pas respectées. La présidente, M.-L. Denis Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE AU PROJET DE DECISION Les BCR " sous-traitant " du groupe TALAN qui sont approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Ces BCR " sous-traitant " s’appliquent à tous les transferts de données à caractère personnel effectués entre entités du groupe TALAN agissant en qualité de sous-traitants (article I.2.a BCR). b. Etats membres de l’EEE depuis lesquels les transferts sont effectués. Ces Etats membres sont visés à l’annexe 1 des BCR. Il s’agit de la France, la Belgique, l’Espagne et le Luxembourg. c. Pays tiers vers lesquels les transferts sont effectués. Ces pays tiers sont mentionnés en annexe 1 des BCR. Il s’agit du Royaume-Uni, de la Suisse, du Canada, des Etats-Unis et de la Tunisie. d. Les finalités des transferts. TALAN traite les données personnelles de ses clients afin de mener à bien leurs projets liés notamment aux services informatiques, au conseil en management, à la création et à l'édition de logiciels, à l'assistance technique, etc. (annexe 2). Il s’agit en particulier de fournir des services de développement de logiciels, des services informatiques et d'assistance technique, ou encore de maintenance d'applications par des tiers (TPMA). e. Catégories de personnes concernées. Les catégories de personnes concernées dépendent des services fournis au client et sont mentionnées en annexe 2 des BCR. Elles couvrent : i. les prospects, les clients, les partenaires commerciaux et les vendeurs des clients (qui sont des personnes physiques) ; ii. les employés ou les personnes de contact des prospects, des clients, des partenaires commerciaux et des vendeurs de l'entreprise du client ; iii. les employés, les agents, les conseillers, les collaborateurs indépendants des clients (qui sont des personnes physiques) ; iv. les utilisateurs du client autorisés par le client à utiliser les services ; v. etc. f. Catégories de données à caractère personnel transférées. Les catégories de données personnelles traitées par le groupe dépendent des services fournis au client et sont précisées en annexe 2 des BCR. Il s’agit : i. des données d'identification ou des informations personnelles (par exemple, les noms, l'adresse, le numéro de téléphone, l'adresse électronique, etc.) ; ii. des données relatives à la vie professionnelle (par exemple, la fonction, la société d'affiliation, le contrat de travail, la date d'embauche, le numéro d'identification de l'employé, les coordonnées professionnelles, etc.) ; iii. des données économiques et financières (par exemple, les informations fiscales, les coordonnées bancaires, etc.) ; iv. des données de localisation (par exemple, les informations d'accès) ; v. des données de connexion et d'utilisation (par exemple, les connexions, les adresses IP, etc.) ; vi. etc.


Délibération de la formation restreinte n° SAN-2023-005 du 17 avril 2023 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2022-019 du 17 octobre 2022 adoptée par la formation restreinte à l’encontre de la société X ; Vu la délibération n° SAN-2023-001 du 9 février 2023 adoptée par la formation restreinte à l’encontre de la société X ; Après en avoir délibéré, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. X (ci-après " la société ") est une entreprise établie aux États-Unis qui a pour activité le développement d’un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration d’images publiquement accessibles sur Internet, qui permet d’identifier une personne à partir d’une photographie la représentant. 2. La Commission nationale de l’informatique et des libertés (ci-après " la CNIL ") a été saisie entre les mois de mai et de décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société. 3. L’organisme X a saisi la CNIL d’une plainte le 27 mai 2021. 4. Par décision du 17 octobre 2022, notifiée le 18 octobre 2022, la formation restreinte a adopté des mesures correctrices dans les termes suivants : " - prononcer à l’encontre de la société X une amende administrative d’un montant de 20 000 000 (vingt millions) euros ; - prononcer à l’encontre de la société X une injonction de ne pas procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise, et supprimer l’ensemble des données à caractère personnel de ces personnes, notamment les données de la plaignante en cause ayant sollicité l’effacement (plainte n° X ), après avoir répondu aux demandes d’accès déjà formulées par les personnes le cas échéant ; - assortir l’injonction d’une astreinte de cent mille euros (100 000 euros ) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ". 5. En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 9 février 2023, notifiée le 13 mars suivant, porté à la connaissance de la société que, compte tenu de l’absence de production de justificatifs de mise en conformité dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023, , et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la société qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observations écrites. 6. La société n’a formulé aucune observation écrite. II. MOTIFS DE LA LIQUIDATION ET MONTANT 7. Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre ". 8. L’article 44, paragraphe 3, du décret précité prévoit que " En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée " et que " Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité ". 9. Enfin, selon le paragraphe 4 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ". A. Sur les motifs de la liquidation 10. La formation restreinte constate que la société ne lui a transmis aucun élément permettant d’attester de sa mise en conformité à l’injonction prononcée à son encontre. 11. Par conséquent, la formation restreinte considère que la société n’a pas satisfait à l’injonction prononcée par la délibération n° 2022-019 du 17 octobre 2022. B. Sur le montant de l’astreinte à liquider 12. Compte tenu de ce que la société s’est abstenue d’adresser le moindre élément de réponse, la formation restreinte considère que le comportement de la société justifie que l’astreinte soit liquidée à hauteur de cinq millions deux cent mille euros au titre de la période du 19 décembre 2022 au 9 février 2023. C. Sur la publicité 13. Il convient de rendre publique la présente délibération, comme l’était la décision de sanction n° 2022-019 du 17 octobre 2022. Il apparaît en effet opportun que les nombreuses personnes concernées par le traitement visé dans la décision puissent être avisées des suites données au prononcé de l’injonction. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : - procéder à la liquidation de l’astreinte prononcée à l’encontre de la société X pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023 ; - rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022- 019 du 17 octobre 2022. Le président Alexandre LINDEN Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.