Arret Celtipharm : sur le traitement des données personnelles, le secret médical et le respect à la vie privée.

En l’espèce, la CNIL a autorisé par une délibération du 8 septembre 2011 la société Celtipharm à effectuer un traitement de données à caractère personnel, issues de feuilles de soins électroniques anonymisées, afin de réaliser des études relatives à la consommation des produits de santé. Les organismes concentrateurs techniques, assurant le routage des feuilles de soins électroniques vers les caisses d’assurance-maladie pour le compte et sur instruction des pharmaciens d’officine, transmettaient ainsi à la société Celtipharm ces données après avoir anonymisé celles relatives aux patients de manière irréversible et celles relatives aux professionnels de santé sous forme cryptée. La société Celtipharm procédait ensuite à une seconde anonymisation des données relatives aux patients, et au décryptage et à l’anonymisation des données relatives aux professionnels de santé.

Le 15 décembre 2011, la société IMS Health a alors présenté une requête aux fins d’annulation pour excès de pouvoir de la délibération de la CNIL du 8 septembre 2011. Cependant, le Conseil d’Etat a décidé de rejeter cette requête et, ainsi, d’autoriser le traitement des données aussi sensibles que celles relatives à la santé des personnes à des fins statistiques et de recherche scientifique.

La CNIL avait fondé sa délibération du 8 septembre 2011 sur l’article 8 de la loi du 6 janvier 1978, qui interdit de collecter ou de traiter des données à caractère personnel faisant notamment apparaître directement ou indirectement la santé des personnes, ainsi que sur l’article 25 de la même loi, qui lui permet d’autoriser le traitement de telles données dès lors qu’elles ont fait l’objet d’une anonymisation reconnue conforme aux dispositions de cette loi et compte tenu de certaines finalités.

La société requérante soutenait que la délibération était illégale, tout d’abord, car la CNIL ne pouvait autoriser le traitement des données s’en s’assurer au préalable des conditions dans lesquelles les clés de déchiffrement permettant de décrypter les données des feuilles de soins électroniques seraient fournies à la société Celtipharm. Le Conseil d’Etat écarte l’argument en indiquant que les conditions d’obtention de ces clés et les éventuelles difficultés rencontrées par la société Celtipharm sont sans incidence sur le respect par la délibération de la CNIL des dispositions de la loi du 6 janvier 1978. Il est vrai que la délibération de la CNIL a pour seul objet l’autorisation d’effectuer un traitement des données issues des feuilles de soins électroniques sous réserve du respect de certaines conditions. Il appartiendra par la suite à la CNIL de contrôler a posteriori si le traitement des données est réalisé par la société Celtipharm conformément à la loi et à sa délibération.

La société requérante invoquait également la violation du secret professionnel et du droit des patients au respect de leur vie privée. Le Conseil d’Etat considère cependant que, dans la mesure où les données en cause ont fait l’objet d’une anonymisation irréversible avant d’être transmises à la société Celtipharm, le traitement autorisé par la délibération de la CNIL ne saurait avoir pour effet de porter atteinte au secret professionnel et droit des patients au respect de leur vie privée. En effet, les données resteront rattachables à un même individu via un identifiant unique, mais chaque individu restera parfaitement anonyme.

Par ailleurs, la société requérante alléguait le détournement du traitement des données à des fins purement commerciales. En réponse, le Conseil d’Etat indique tout d’abord que le traitement des données à des fins statistiques et de recherche scientifique en vue de la réalisation d’études relatives à la consommation de médicaments, autorisé par la délibération de la CNIL, est compatible avec les finalités initiales visées à l’article 6, 2° de la loi du 6 janvier 1978. Cet article indique en effet que les données à caractère personnel « sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités » mais que « un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données (…) ». La délibération de la CNIL, cependant, a bien autorisé le traitement des données dans le seul but d’effectuer des études statistiques relatives à la consommation des produits de santé, et non pour une autre finalité initiale. Ensuite, le Conseil d’Etat balaye l’argument de la société requérante, concluant que dès lors que le traitement litigieux a été autorisé par la délibération de la CNIL, il ne saurait constituer un détournement des données figurant dans les feuilles de soins électroniques de leur finalité.

Enfin, la société requérante arguait l’illégitimité du traitement des données, au regard de l’article 6, 3° de la loi du 6 janvier 1978 disposant que les données à caractère personnel « sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ». Le Conseil d’Etat effectue alors un contrôle de proportionnalité, considérant que les finalités du traitement autorisé par la délibération de la CNIL doivent être regardées comme légitimes eu égard à leur objet, qui tend à l’amélioration de la connaissance relative à la consommation des produits de santé, et que les données, dès lors qu’elles font l’objet d’un processus d’anonymisation, sont également adéquates, pertinentes et non excessives au regard des finalités poursuivies.