Informatique et libertés

Articles, Informatique et libertés, Publication, Santé, Secteur santé

Le GPDP sanctionne l’accès non autorisé aux dossiers médicaux

/

Dans une décision du 22 février 2024 (1), le Garant de la protection des données personnelles (« GPDP »), homologue italien de la Cnil, a infligé une amende de 75 000€ à une société gérant sept hôpitaux pour accès non autorisé à des dossiers médicaux par son personnel. Lire la suite Quel est le contexte de la décision ? Le GPDP sanctionne l’accès non autorisé aux dossiers médicaux Le GPDP consécutivement au dépôt de trois plaintes à l’encontre de la société gérant les hôpitaux, concernant des accès répétés et non autorisés à des dossiers patients électroniques par des membres du personnel médical non impliqués dans le suivi desdits patients. Par exemple, une professionnelle de santé avait réussi à consulter les analyses de laboratoire de son ex-mari sans son consentement, alors même qu’elle n’était pas impliquée dans sa prise en charge. Quels sont les manquements observés dans l’accès aux dossiers médicaux ? Le GPDP sanctionne l’accès non autorisé aux dossiers médicaux L’Autorité italienne a fondé sa décision sur les articles 5, 9, 25 et 32 du Règlement général sur la protection des données (« RGPD »), afin de retenir le « caractère illicite du traitement des données personnelles effectué par la société ». Pour le GPDP, la société a manqué à son obligation de sécurité du traitement des données de santé à caractère personnel, notamment en : • permettant au personnel d’accéder aux dossiers patients électroniques, par auto-certification ; • autorisant par défaut un large éventail de professionnels, y compris le personnel administratif sans lien avec les soins des patients, à avoir accès aux dossiers patients électroniques ; • ne mettant en place aucun système d’alerte afin de détecter les comportements anormaux ou à risque liés aux opérations effectuées par les responsables de traitement. D’après le GPDP ces différents manquements constituent à la fois des violations du RGPD et une transgression des « Lignes directrices sur les dossiers médicaux » émises en juin 2015. Ces lignes directrices rappellent notamment que l’accès au dossier médical doit être limité aux seuls personnels de santé qui interviennent dans le processus de prise en charge des patients. En plus de l’amende administrative de 75 000€ infligée à la société, le GPDP a également ordonné de mettre en œuvre des mesures techniques et organisationnelles nécessaires afin d’assurer la sécurité des données personnelles traitées et d’éviter tout accès non autorisé aux dossiers médicaux des patients. Conclusion Le GPDP sanctionne l’accès non autorisé aux dossiers médicaux Cette décision fait écho à la sanction infligée par l’Autorité Espagnole de Protection des Données (« AEPD ») à un hôpital en novembre 2022 pour défaut de précautions empêchant l’accès non autorisé aux dossiers médicaux des patients (2). De son côté, la Cnil a récemment mis en demeure plusieurs établissements de santé d’adopter des mesures pour sécuriser le dossier patient électronique (3). Elle a insisté sur la nécessité de restreindre l’accès aux données médicales aux seuls professionnels habilités et justifiant d’un besoin légitime. Notes de bas de page : Décision n° 10001279 rendue par le GPDP, du 22 février 2024 Décision de l’AEPD du 18 novembre 2022 Communiqué de la CNIL du 9 février 2024. Avec la collaboration d’Eva Deniau, stagiaire étudiante en Master 2 Droit de la santé et de la protection sociale. Created by potrace 1.16, written by Peter Selinger 2001-2019 Isabelle Chivoret Avocate, Directrice du département Santé numérique Isabelle Chivoret Avocate, Directrice du département Santé numérique Avocate à la Cour d’appel de Paris, Isabelle Chivoret est directrice du département Droit de la santé numérique. Elle intervient dans les domaines du conseil et du contentieux en Droit de la santé et des Sciences de la vie, tant auprès de laboratoires pharmaceutiques, fabricants de dispositifs médicaux, sociétés de biotechnologie, que d’établissements et professionnels de santé, de groupement de coopération sanitaire et de GHT. Phone:+33 (0)6 79 40 91 20 Email:isabelle-chivoret@lexing.law Émilie Brulon Avocate, Département Santé numérique Pour en apprendre davantage ChatGPT dans le monde du droit À l’aube d’une ère où l’intelligence artificielle (IA) est en passe de devenir un compagnon quotidien… Lire plus La Cobotique Juridique : ChatGPT & Droit Les intelligences artificielles génératives telles que ChatGPT constituent une révolution pour les professionnels du droit… Lire plus

Actualités, Conférences Lexing, Evénement, Informatique et libertés

Informatique et libertés : bilan Cnil et perspectives 2024-2028

/

Alain Bensoussan anime une Conférence Lexing« Informatique et libertés : bilan Cnil et perspectives 2024-2028 »,le mercredi 26 juin 2024 de 9h30 à 11h30. Vous pourrez assister à cette conférence en présentiel ou à distance, à votre convenance. Le 44e rapport d’activité de la Cnil, publié en avril 2024, révèle un nombre record de plaintes reçues et la mise en place d’une politique d’accompagnement repensée. Ce rapport d’activité, rendez-vous annuel de la Cnil, lui permet de rendre compte de ses actions au regard de ses quatre grandes missions : • informer et protéger le grand public, • accompagner et conseiller les professionnels et les pouvoirs publics, • anticiper et innover pour construire le numérique de demain, et enfin • contrôler et sanctionner les manquements au règlement général sur la protection des données et à la loi. Lire la suite Informatique et libertés bilan Cnil et perspectives Conférence Lexing I&L : bilan Cnil et perspectives 2024-2028 Au printemps 2023, la Cnil a décidé de créer une mission de sensibilisation du grand public ce qui s’est notamment traduit par une nette augmentation des sollicitations. La Cnil a reçu 16 433 plaintes, ce qui correspond une haussse significative de 35% par rapport l’année précédente, et 20 810 demandes recevables d’exercice des droits indirect, ce qui représente une explosion de 217% par rapport à 2022. Elle a répondu à 47 111 appels lors des permanences téléphoniques, traité 15 388 demandes écrites et procédé à 6 950 vérifications. Le site web cnil.fr a, encore cette année, enregistré un record d’audience, avec 11,8 millions de visites, témoignant d’un intérêt toujours croissant des publics, professionnels et particuliers, pour la protection des données, en particulier concernant l’hameçonnage (phishing), les cookies ou l’intelligence artificielle. Contrôle et sanctions de la Cnil Conférence Lexing I&L : bilan Cnil et perspectives 2024-2028 La Cnil a poursuivi une activité répressive soutenue avec : • 340 contrôles, majoritairement sur place et en ligne, • 42 sanctions prononcées (soit deux fois plus qu’en 2022), • dont 36 amendes pour un total de 89 179 500 euros. La présidente de la Cnil a aussi prononcé : • 168 mises en demeure et • 33 rappels aux obligations légales. Il s’agit aussi de l’année au cours de laquelle la procédure simplifiée a pris un réel essor. L’accompagnement des professionnels Conférence Lexing I&L : bilan Cnil et perspectives 2024-2028 En 2023, elle a enrichi sa stratégie d’accompagnement, en se focalisant, sur l’intelligence artificielle : • d’une part, via un accompagnement renforcé pour des entreprises présentant un fort potentiel économique ou d’innovation ; • d’autre part, via la troisième édition de son « bac à sable », dédié cette année aux projets de services publics. Par ailleurs, la Cnil a produit 13 nouveaux documents de référence : • 5 nouveaux guides, • 4 référentiels, • 2 recommandations et • 2 méthodologies de référence pour le secteur de la santé. I&L : bilan Cnil et perspectives 2024-2028 Conférence Lexing I&L : bilan Cnil et perspectives 2024-2028 Cette Conférence Lexing se tiendra à la fois en présentiel et à distance. Elle aura lieu le mercredi 26 juin de 9h30 à 11h30. Nous accueillerons les participants qui se seront déplacés, avec une légère collation à partir de 9h00 dans nos locaux, situés Immeuble Cap Étoile, 58 Gouvion-Saint-Cyr, 75017 Paris. Pour y assister, enregistrez-vous en renseignant les champs marqués d’un (*) :   Created by potrace 1.16, written by Peter Selinger 2001-2019 Alain Bensoussan Avocat, Spécialiste en droit des nouvelles technologies de l’informatique Alain Bensoussan Avocat, Spécialiste en droit des nouvelles technologies de l’informatique Avocat, pionnier du droit des technologies avancées, du droit de l’informatique dans les années 80 puis de l’internet et des réseaux sociaux au tournant des années 2000, il aborde le droit des technologies robotiques dès 2014, expert reconnu du droit de la protection des données personnelles dont il a accompagné l’émergence dès 1978, Alain Bensoussan a toujours fait de l’innovation son maître-mot. Phone:+33 (0)1 82 73 05 05 Email:alain-bensoussan@lexing.law Pour en apprendre davantage À l’aube d’une ère où l’intelligence artificielle (IA) est en passe de devenir un compagnon quotidien… Lire plus La cobotique juridique #2 : L’art de l’invite. Comment réussir les prestations juridiques entre 20 et 80% de la version finale… Lire plus

Actualités, Articles, Informatique et libertés, Publication, Sécurité

Guide de la sécurité des données personnelles de 2024

/

La Cnil a publié son Guide de la sécurité des données personnelles de 2024 afin de rappeler les précautions de sécurité à mettre en œuvre. Lire la suite Contenu du Guide de la sécurité des données personnelles de 2024 Guide de la sécurité des données personnelles de 2024 L’objectif du guide est d’aider les organismes à assurer la sécurité des données personnelles qu’ils traitent. L’obligation de sécurité en matière de données personnelles existe depuis la loi informatique et libertés de 1978. L’adoption du Règlement général sur la protection des données (RGPD) a renforcé cette obligation. En effet, l’article 32 énonce que : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Le Guide de la sécurité des données personnelles de 2024 va rappeler les précautions élémentaires à mettre en œuvre. Il va également introduire des mesures plus avancées visant à renforcer davantage la protection des données. La Cnil intègre au guide des recommandations d’autres autorités telles que l’ANSSI et le CEPD. En comparaison avec son édition de 2023, la Cnil a introduit cinq nouvelles fiches thématiques : • Fiche 1 : Piloter la sécurité des données ; • Fiche 22 : Cloud : Informatique en nuage ; • Fiche 23 : Applications mobiles : Conception et développement ; • Fiche 24 : Intelligence artificielle : Conception et apprentissage ; • Fiche 25 : API : interface de programmation applicative. La Cnil a également ajouté des modifications aux fiches existantes afin de les adapter aux évolutions des menaces et connaissances. Elle va notamment s’intéresser à l’utilisation des équipements personnels en environnement professionnel (BYOD). Piloter la sécurité des données Guide de la sécurité des données personnelles de 2024 La Cnil place le pilotage de la sécurité des données au premier plan. Le guide énonce dans un premier temps que l’implication de la direction dans la sécurité des données personnels est nécessaire. De plus, un plan d’action relatif à la sécurité informatique et des mesures techniques et organisationnelles sont nécessaires. Le guide met l’accent sur la périodicité du contrôle de l’effectivité de ces mesures. La Cnil insiste en effet sur le fait que la sécurité des données personnelles n’est pas un problème accessoire. Elle s’accompagne d’un plan d’action à long terme. Cloud : informatique en nuage Guide de la sécurité des données personnelles de 2024 La Cnil énonce que la sécurité des données incombe aux fournisseurs de service cloud.  Ils doivent mettre en place des garanties suffisantes pour la mise en œuvre des mesures de sécurité. Néanmoins, le guide rappelle que la sécurité des données appartient également au client. Il lui incombe en effet d’évaluer et de vérifier le niveau de sécurité du fournisseur et ses éventuels prestataires. Ainsi des précautions sont nécessaires, tel que : Chiffrer les données ; Porter attention aux accès et autorisations ; Authentifier les utilisateurs ; Réaliser des sauvegardes. La conception et le développement d’application mobile Guide de la sécurité des données personnelles de 2024 La Cnil rappelle que les applications mobiles impliquent le traitement de nombreuses données personnelles. Ainsi, pèsent sur les éditeurs une obligation de sécurisation des traitements et de transparence envers les utilisateurs. Ils doivent notamment respecter le principe de minimisation des données. Ce dernier limite le traitement de données personnelles à ce qui est nécessaire au fonctionnement de l’application. Les précautions élémentaires comprennent notamment la sécurisation des communications et le stockage des secrets cryptographiques. Le client doit quant à lui prendre en compte que le système d’exploitation puisse effectuer la sauvegarde automatique des données personnelles. Ainsi, il choisira de désactiver ces sauvegardes ou de chiffrer ses données. Intelligence artificielle : conception et apprentissage Guide de la sécurité des données personnelles de 2024 Le principal enjeu du développement de l’intelligence artificielle réside autours du volume important de données d’entrainement des systèmes. Il rend nécessaire la prise de mesures de sécurité spécifiques. La Cnil préconise ainsi de vérifier la qualité des données et des annotations, la présence de biais et la fiabilité des sources de sonnées. Il convient également d’éviter les copies, partielles ou totales des bases de données. Il est souhaitable d’en restreindre l’accès et l’utilisation aux seules personnes habilitées.  API : interface de programmation applicative Guide de la sécurité des données personnelles de 2024 La Cnil vient insérer une fiche sur les API. En effet, la Cnil rappelle qu’elles constituent une bonne pratique car elles permettent de fiabiliser, minimiser et sécuriser les échanges. Néanmoins, elle énonce par la suite la nécessité de limiter le partage aux données strictement nécessaires.  Elle recommande également de ne plus conserver actives d’anciennes versions d’API. Ces dernières sont en effet susceptibles de ne plus répondre au niveau de sécurité attendue. La mise à jour des recommandations existantes Guide de la sécurité des données personnelles de 2024 Outre l’introduction de nouvelles fiches, la Cnil met à jour ses recommandations existantes.  Le Guide de la sécurité des données personnelles de 2024 insiste sur la sensibilisation des utilisateurs. Le guide recommande en effet de mettre en place des exercices et des simulations d’incidents de sécurité information. Le but est de vérifier la bonne mise en œuvre des consignes et la pertinence des procédures internes. La Cnil va également enrichir son guide avec l’introduction de recommandations concernant les pratiques de « bring your own device » ou BYOD. Elle préconise de ne l’autoriser qu’en fonction des risques identifiés. Un système de gestion des appareils mobiles (MDM) doit permettre de maitriser le niveau de sécurité des appareils se connectant à un réseau. Concernant la protection du réseau informatique, la Cnil conseille de cloisonner le réseau afin de réduire l’impact en cas de compromission. Pour administrer les équipements de réseaux la Cnil préconise de choisir un protocole SSH ou un accès direct. Pour la sécurisation des sites web, la Cnil recommande de sécuriser les flux d’échanges de données par l’utilisation de TLS (transport layer security).  Ce guide s’adresse aussi bien aux délégués à la protection des

Actualités, Géolocalisation, Informatique et libertés

Consécration de la dualité des régimes de géolocalisation

/

Le 27 février 2024, la chambre criminelle de la Cour de cassation a distingué deux régimes applicables aux données de géolocalisation en fonction de la technique mise en œuvre permettant cette géolocalisation (1). En effet, la chambre criminelle a séparé la géolocalisation des voitures et celle de la ligne téléphonique. Cependant, la différence de traitement ne résulte pas d’une différence d’objet mais résulte de la différence des techniques employées pour mettre en œuvre la géolocalisation sur ces objets. Lire la suite Faits et procédures de l’affaire Consécration de la dualité des régimes de géolocalisation Dans la présente affaire, un homme a été soupçonné d’être impliqué dans des collectes d’argent en relation avec un trafic de produits stupéfiants. Une enquête a été ouverte pour donner suite à cette affaire. Les enquêteurs ont reçu l’autorisation du procureur de la République pour présenter des réquisitions de délivrance d’information à des opérateurs privés de téléphonie. En parallèle, ils ont aussi reçu l’autorisation de géolocaliser le téléphone du suspect, ainsi que deux véhicules du suspect. Le juge des libertés et de la détention a aussi donné son feu vert pour la mise en place d’écoutes téléphoniques dans le cadre de cette enquête. Le 24 août 2021, une information judiciaire a été ouverte pour des soupçons de blanchiment aggravé et d’association de malfaiteurs. Le suspect a été mis en examen et a demandé l’annulation de certaines pièces de la procédure. Cependant, la chambre de l’instruction de la Cour d’appel de Lyon a rejeté ses demandes, ce qui a conduit le mis en examen à former un pourvoi en cassation. Détails du pourvoi en cassation Consécration de la dualité des régimes de géolocalisation Le pourvoi est composé de quatre moyens. Les aspects de l’arrêt du 27 février 2024 nous intéressant particulièrement sont liés au deuxième moyen, relatif aux opérations de géolocalisation en temps réel du téléphone et des voitures. Les autres moyens sont quant à eux relatifs au régime des réquisitions adressées à des personnes privées, aux interceptions téléphoniques et à la prolongation des investigations en phase d’instruction. Donc, selon le second moyen du pourvoi, le procureur de la République ne pouvait pas valablement autoriser les mesures de géolocalisation ordonnées en l’espèce. En effet, en application de la jurisprudence de la Cour de justice de l’Union européenne et plus particulièrement de sa décision Prokuratuur du 2 mars 2021 (2), le représentant du ministère public ne peut pas autoriser l’accès d’une autorité publique aux données de communications électroniques d’un suspect, notamment celles relatives au trafic et aux données de localisation, sous réserve des procédures visant à la lutte contre la criminalité grave ou la prévention de menaces graves contre la sécurité publique. Pour ladite Cour, « l’exigence d’indépendance à laquelle doit satisfaire l’autorité chargée d’exercer le contrôle préalable […] impose que cette autorité ait la qualité de tiers par rapport à celle qui demande l’accès aux données, de sorte que la première soit en mesure d’exercer ce contrôle de manière objective et impartiale, à l’abri de toute influence extérieure ». Elle ajoute que, « en particulier, dans le domaine pénal, l’exigence d’indépendance implique […] que l’autorité chargée de ce contrôle préalable, d’une part, ne soit pas impliquée dans la conduite de l’enquête pénale en cause et, d’autre part, ait une position de neutralité vis-à-vis des parties à la procédure pénale ». Elle estime bien logiquement que « tel n’est pas le cas d’un ministère public qui dirige la procédure d’enquête et exerce, le cas échéant, l’action publique ». Dans la recherche de conciliation entre la protection des données à caractère personnel et de la vie privée, d’une part, et les nécessités d’une procédure pénale, d’autre part, la CJUE n’exclut pas l’accès aux données relatives aux communications électroniques d’un suspect. Elle en limite cependant, sous le contrôle d’une autorité publique indépendante, la possibilité « à des procédures visant à la lutte contre la criminalité grave ou la prévention de menaces graves contre la sécurité publique » Cette solution a été reprise par la chambre criminelle de la Cour de cassation (3). Pour traiter le second moyen de ce pourvoi, la chambre criminelle a donc séparé la géolocalisation des voitures et celle de la ligne téléphonique. Elle a estimé que le moyen visant la géolocalisation de véhicules était inopérant, tandis que celui sur la ligne téléphonique a entraîné la cassation de l’arrêt. La différence de traitement résulte de la différence des techniques employées pour mettre en œuvre la géolocalisation. Cadre légal de la géolocalisation en temps réel en France Consécration de la dualité des régimes de géolocalisation L’article 230-32 du code de procédure pénale précise qu’il peut être recouru « à tout moyen technique destiné à la localisation en temps réel, sur l’ensemble du territoire national, d’une personne, à l’insu de celle-ci, d’un véhicule ou de tout autre objet, sans le consentement de son propriétaire ou de son possesseur », sous certaines réserves dont notamment si cette opération est exigée par les nécessités « d’une enquête ou d’une instruction portant sur un crime ou sur un délit puni d’au moins trois ans d’emprisonnement ». Cependant, le terme « tout moyen technique destiné à la localisation en temps réel » est peu clair. Selon un rapport du Sénat de 2014 (4), cette définition recouvre à la fois « la localisation en temps réel du terminal de communication détenu ou utilisé par une personne, ce qui permet de localiser celle-ci, et la localisation d’une balise GPS posée sur un objet ou, ce qui est le cas le plus fréquent, sur un véhicule ». En pratique, il en existe donc deux moyens techniques : • le suivi en temps réel du véhicule via un dispositif de téléphonie mobile ; et, • la pose de balises sur le véhicule. Géolocalisation via ligne téléphonique L’utilisation d’une ligne téléphonique par un suspect implique, de facto, l’utilisation d’un réseau de communications électroniques ainsi que de services de communications électroniques. Dès lors, les opérateurs de communications électroniques fournissant leurs services au suspect sont engagés dans le processus. Or ceux-ci sont tenus aux obligations particulières que leur statut

DPO, data protection officer
Actualités, Conférences Lexing, Correspondant à la protection des données, Evénement, Informatique et libertés

Conférence Lexing 2024 les outils d’accompagnement du DPO

/

Chloé Torres anime une conférence Lexing sur « Quels sont les outils d’accompagnement du DPO ? » le mercredi 20 mars 2024 de 9h00 à 11h00 en visioconférence. Désormais reconnu comme un acteur clé du nouveau système de gouvernance des données en Europe, le DPO joue un rôle de conseil et de pilotage de la conformité auprès du responsable de traitement qui l’emploie. Lire la suite QUELS SONT EN 2024 LES OUTILS D’ACCOMPAGNEMENT DU MÉTIER DE DPO ? Conférence Lexing du 20 mars 2024 Pour remplir ses missions de conseil et de pilote de la conformité, il peut créer, adapter ou acquérir des outils lui permettant : d’informer et de conseiller le responsable de traitement ; de sensibiliser et de former le personnel ; d’assurer le contrôler le respect de la législation applicable ; de coopérer avec la Cnil en cas de contrôle. Quoi qu’il en soit, il doit déployer de nombreux outils  qui lui permettront de réaliser des opérations telles que : l’audit et la cartographie des traitements ; les procédures internes prenant en compte les obligations du RGPD ; l’organisation et le pilotage de la documentation ; la gestion du registre des traitements ; l’encadrement des sous-traitants ; la conduite d’une analyse d’impact ; le traitement des failles de sécurité et plus généralement, la politique de sécurité ; la gestion des demandes des droits des personnes (notamment le droit d’accès et d’opposition) ; le reporting et le bilan annuel auprès des instances dirigeantes, etc.   Chloé Torres, avocate directrice du département Informatique et libertés répondra à vos questions lors de la visioconférence. Pour y assister, enregistrez-vous en renseignant les champs marqués d’un (*) Created by potrace 1.16, written by Peter Selinger 2001-2019 Chloé Torres Avocat, Directeur du département Informatique et libertés Chloé Torres Avocat, Directeur du département Informatique et libertés Avocate à la Cour d’appel de Paris depuis 2000, Chloé Torres a rejoint le cabinet Lexing Alain Bensoussan Avocats en 1999. Chloé Torres dirige le département Informatique et libertés. Elle est également le Délégué à la Protection des Données (DPO) du cabinet. Les activités du département Informatique et libertés couvrent les principaux domaines suivants : Chloé Torres Présentation Présentation vidéo mise en conformité au regard des exigences de la réglementation relative à la protection des données personnelles (RGPD, loi Informatique et libertés, décret d’application, doctrine de la Cnil et du CDPD) ; Phone:+33 (0)6 42 31 85 29 Email:chloe-torres@lexing.law Pour en apprendre davantage ChatGPT dans le monde du droit À l’aube d’une ère où l’intelligence artificielle (IA) est en passe de devenir un compagnon quotidien… Lire plus La Cobotique Juridique : ChatGPT & Droit Les intelligences artificielles génératives telles que ChatGPT constituent une révolution pour les professionnels du droit… Lire plus Le 18 décembre 2023, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a publié un état de la menace ciblant le secteur des télécommunications (1).

Actualités, Articles, Informatique et libertés, Publication, Système d'information Ressources humaines, Télécom

Le télétravail au programme des contrôles de la Cnil

/

Le contrôle des outils de surveillance dans le cadre du télétravail est au programme de la Cnil. Frédéric Forster nous livre ses conseils dans le dernier numéro d’EDI Magazine. L’occasion de rappeler la nécessité de respecter un juste équilibre entre vie privée au travail et contrôle légitime par l’employeur.

Retour en haut