Navigation – Plan du site

AccueilNuméros21ArticlesLe régime des traitements de donn...

Articles

Le régime des traitements de données de santé : une réflexion à l’aune de trois délibérations de la CNIL

Rebecca Demoule

Résumés

L’encadrement juridique de deux types de traitements différents de données à caractère personnel, les entrepôts de données de santé et les consultations de voyance, invite à penser celui des traitements de données de santé dans son ensemble. Malgré une qualification large et protectrice des données de santé, leurs traitements ne relèvent pas tous du même régime de protection des données personnelles. La détermination des règles applicables résulte en effet d’une articulation singulière entre les finalités poursuivies par le traitement et l’éventuel recueil du consentement des personnes concernées.

Haut de page

Notes de l’auteur

Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-22-PESN-0004 (projet SaNSo du PEPR Santé Numérique). Je remercie toutes les personnes qui ont relu les versions successives de cet article.

Texte intégral

  • 1 Art. 4, 15, Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avr. 2016 relatif à l (...)
  • 2 Art. 65 et s., Loi no 78-17 du 6 janv. 1978 relative à l'informatique, aux fichiers et aux libertés

1Introduction. Qu’y a-t-il de commun entre une téléconsultation de voyance et un logiciel de gestion médicale ? Rien en apparence, si ce n’est, nous dit la Commission nationale de l’informatique et des libertés (CNIL), que ces deux cas renvoient à un traitement de données personnelles et, plus précisément, de données concernant la santé. Définies par le règlement général sur la protection des données (RGPD) comme les « données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne1 », ces données sont dites « sensibles » et leur traitement est interdit, sauf exception, par l’article 9 du RGPD. Par ailleurs, les traitements de données de santé obéissent, pour certains d’entre eux, à un régime spécial propre au droit français et prévu par la Loi informatique et libertés (LIL)2.

  • 3 CNIL, délib., formation restreinte, no SAN-2024-013, 5 sept. 2024, concernant la société CEGEDIM SA (...)
  • 4 Ibid., § 30.
  • 5 Ibid., § 6.
  • 6 Ibid., § 89 et s.
  • 7 Ibid., § 111 et s.
  • 8 CNIL, délib., formation restreinte, no SAN-2024-014, 26 sept. 2024, concernant la société COSMOSPAC (...)
  • 9 CNIL, délib. Cosmospace, § 1 ; CNIL, délib., Télémaque, § 4. 
  • 10 Art. 4, 2, RGPD.

2Dans la délibération Cegedim Santé du 5 septembre 2024, la CNIL sanctionne une société qui édite et vend un logiciel médical destiné aux médecins afin de « gérer leur agenda, les dossiers de leurs patients et leurs prescriptions3 ». À l’époque du contrôle, la société collectait auprès de certains d’entre eux des données de nature administrative et médicale, comme la catégorie socioprofessionnelle, les antécédents médicaux ou les prescriptions4. Ces données étaient ensuite intégrées dans un « flux » pour être mises à disposition de clients, « dans le cadre d’études et de statistiques dans le domaine de la santé5 ». Ce faisant, affirme la CNIL, la société qui traitait des données personnelles, s’était constitué un entrepôt de données de santé (EDS)6 – un traitement consistant à collecter des données de santé en vue de leur mise à disposition notamment à des fins de recherche – sans procéder aux formalités préalables nécessaires prévues par la LIL7. Quant aux délibérations Cosmospace et Télémaque, rendues le 23 septembre 20248, elles concernaient des sociétés de voyance qui, outre un service de prédiction de la compatibilité amoureuse, proposaient également des consultations d’« arts divinatoires » à distance9. Les appels et conversations en ligne étaient enregistrés, conservés puis supprimés. Autrement dit, des données faisaient l’objet d’un traitement au sens du RGPD10. Ici encore, la CNIL, saisie de la légalité du traitement, sanctionne les deux sociétés, cette fois pour avoir traité des données relatives à l’orientation sexuelle et à la santé de leurs clients sans justification légale.

  • 11 V. la définition de l’« utilisation secondaire » des données électroniques de santé par le règlemen (...)

3Le rapprochement de ces délibérations donne à voir la grande diversité d’usages des données de santé. Non seulement traitées dans de nombreux cadres (dossiers patients électroniques, applications podomètres sur les smartphones… ou encore consultations de voyance), elles sont parfois aussi réutilisées, c’est-à-dire traitées pour d’autres finalités que celles pour lesquelles elles ont été initialement recueillies, par exemple à des fins de recherche11 : c’est d’ailleurs l’objet des entrepôts de données de santé au cœur de la décision Cegedim Santé, citée en ouverture de ce texte.

  • 12 V. la note précédente.
  • 13 Gouvernement, Stratégie interministérielle pour construire notre patrimoine national des données de (...)

4Tous ces traitements de données suscitent l’intérêt des pouvoirs publics sur le plan économique comme sanitaire. En témoigne la création d’un espace européen des données de santé (EHDS), qui vise à faciliter la circulation et la mise à disposition des données de santé12, ou encore la stratégie interministérielle 2025-2028, dont l’ambition est de « coconstruire une trajectoire commune, cohérente et ambitieuse pour développer les bases de données et l’usage secondaire des données de santé13 ».

  • 14 Art. 19 LIL.
  • 15 Art. 20 et s. LIL.
  • 16 Art. R. 311-1, 4°, CJA.
  • 17 Et ce, car la personne mise en cause « doit être informée de son droit de se taire », qui repose su (...)
  • 18 Puisqu’il a été sursis à statuer dans la décision de transmission de la QPC au Conseil constitution (...)

5Mais, les nombreux espoirs qui sous-tendent cet intérêt doivent être mis en regard des risques qui découlent de cette accessibilité des données de santé, en particulier les atteintes aux principes de non-discrimination, de secret médical, et plus généralement aux libertés fondamentales, telles que le droit au respect de la vie privée. La CNIL a précisément une mission de contrôle de la mise en œuvre des traitements de données14, dans le cadre de laquelle elle peut, comme dans les deux délibérations d’espèce, être amenée à prononcer des sanctions à la suite d’une période d’instruction en cas de violation des normes encadrant le traitement des données personnelles que sont la LIL et le RGPD15. Ces délibérations peuvent ensuite faire l’objet d’un recours devant le Conseil d’État saisi en premier et dernier ressort16 : en l’espèce, les sociétés Télémaque et Cosmospace ont exercé un recours devant le Conseil d’État à l’occasion duquel le Conseil constitutionnel, saisi d’une question prioritaire de constitutionnalité, a déclaré inconstitutionnelle une partie de l’article 22 de la LIL, relatif à la procédure de sanction devant la CNIL17 – l’arrêt définitif du Conseil d’État n’est pas connu à l’heure où ces lignes sont écrites18. Si ces délibérations sont des décisions individuelles, l’interprétation des textes qu’y fait la CNIL peut intéresser l’ensemble des acteurs mettant en œuvre des traitements similaires.

6Mais, est-il justifié d’appliquer les mêmes règles à tous les traitements, alors qu’ils renvoient à des usages aussi divers des données de santé ? Autrement dit, doit-on différencier le traitement de données de santé issues d’une consultation de voyance, que ce soit leur collecte initiale ou leur conservation pour les besoins internes de l’entreprise et la collecte de données de santé issues des dossiers patients d’un médecin en vue de leur mise à disposition auprès de clients, tels que des sociétés privées, à des fins de recherche et d’étude ? Comme le montre le rapprochement des trois délibérations d’espèce, si les données de santé relèvent toutes d’une même qualification large (I), c’est en revanche un régime fragmenté qui s’applique à leur traitement (II).

1. la qualification large des données de santé

7La qualification large de « donnée à caractère personnel », illustrée par les cas de réutilisation des données dans le domaine de la santé, est difficile à exclure et conduit à appliquer le RGPD (A). Au sein des données personnelles, la qualification de « donnée concernant la santé » inclut elle-même de nombreux traitements (B). Tous ces traitements de données de santé doivent alors respecter le régime des données dites sensibles.

1.1. La difficile exclusion de la qualification de donnée à caractère personnel

  • 19 Le RGPD « s’applique au traitement de données à caractère personnel » (art 2, 1, RGPD).

8Dans la décision Cegedim Santé, alors que la société estimait traiter des données anonymes, se situant donc hors du champ d’application du RGPD, la CNIL affirme à l’inverse que la société procédait à un traitement de données à caractère personnel, dès lors soumis aux règles protectrices du RGPD et de la LIL19.

  • 20 C’est le critère de l’individualisation, ou singling out (Valérie Verbruggen, « RGPD : cœur du puzz (...)
  • 21 Art. 4, 5, RGPD ; Délib., Cegedim Santé, § 40.
  • 22 RGPD, cons. 28.
  • 23 RGPD, cons. 26. Le Conseil d’État a ainsi estimé qu’« une donnée à caractère personnel ne peut être (...)
  • 24 RGPD, cons. 26.
  • 25 Lorraine Maisnier-Boché, « Anonymisation relative ou pseudonymisation. L’exigence des autorités de (...)

9Il faut rappeler qu’une donnée est dite à caractère personnel lorsqu’elle se rapporte à une personne identifiée ou identifiable, c’est-à-dire individualisable20. À la différence du pseudonymat21, mesure de réduction des risques22, l’anonymat repose sur l’absence ou la suppression du caractère identifiant ou identifiable de la personne23, permettant ainsi d’exclure la qualification de donnée à caractère personnel24 – une distinction sur le devant de la scène au niveau européen25.

  • 26 RGPD, cons. 26.
  • 27 Ibid.
  • 28 La CNIL cite trois arrêts de la CJUE pour l’interprétation de ces dispositions : CJUE, 2e ch., 19 o (...)
  • 29 Groupe « Article 29 », Avis 05/2014 sur les techniques d’anonymisation, 10 avr. 2014. Sur les condi (...)
  • 30 CNIL, délib. Cegedim Santé, § 87.

10Encore faut-il déterminer dans quel cas des données se rapportent à une personne identifiable. Le caractère identifiable d’un individu est déterminé à partir des « moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement26 », qui sont établis en « pren[ant] en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci27 ». En l’espèce, la CNIL mobilise l’interprétation des notions de pseudonymat et d’anonymat selon le RGPD par la Cour de Justice de l’Union européenne (CJUE)28 et rappelle l’avis du Groupe « Article 29 », devenu le Comité européen de la protection des données (CEPD), dans lequel il a proposé en 2014 trois critères pour déterminer le caractère anonyme d’une donnée29. La CNIL procède alors par étapes successives afin de déterminer la possible réidentification d’un individu dans le traitement litigieux. L’autorité administrative constate la possibilité de réidentifier un individu en l’espèce, et conclut donc que, à l’époque où elle a alors exercé son contrôle, les données n’étaient que « pseudonymes et non anonymes30 ».

  • 31 Dans ce sens déjà, Margo Bernelin, « Anonymisation des données et cybersécurité en santé : un droit (...)
  • 32 CNIL, délib. Cegedim Santé, § 71 et s. et 75 et s.
  • 33 Interrogeant l’« utilité » d’une base de données au regard de la définition de l’anonymat, Lorraine (...)
  • 34 CNIL, délib. Cegedim Santé, § 74. V. égal. § 59, 70, 79, 81 et 86.
  • 35  Ibid., § 91.

11Il ressort entre autres de cette délibération que l’anonymat peut se révéler difficile à caractériser dans le cas de la réutilisation des données de santé31. La CNIL estime en l’espèce que l’individualisation d’un parcours patient au sein de la base de données, même si la personne concernée n’est pas nommément identifiée, conduit à caractériser un risque de réidentification32. Or, l’identification du parcours de soins d’une personne présente un intérêt dans de nombreux cas de réutilisation des données de santé33, puisqu’elle permet d’affiner les données existantes, par exemple en établissant des antécédents médicaux. De la même manière, le volume de données constitue un critère central pour la détermination du caractère identifiable des données selon la CNIL34, alors que la constitution de bases de données importantes et variées (big data) présente un intérêt particulier pour l’utilisation secondaire des données de santé. Plus encore, la CNIL fait du « volume important de données35 » un critère possible de qualification des entrepôts de données de santé. Dès lors, au regard de la diversité et de la quantité de données traitées dans l’entrepôt, l’anonymat des données était largement compromis.

12Les données de santé, dès lors qu’elles ne sont pas anonymes, sont des données à caractère personnel d’un type particulier, car dites sensibles, et dont la CNIL confirme en l’espèce l’interprétation large.

1.2. Le rôle relatif de la finalité du traitement

  • 36 Art. 4, 15, RGPD.
  • 37 CJCE, ch., 6 nov. 2003, C-101/01, Procédure pénale c. Bodil Lindqvist, § 50 : D., 2024, p. 1062, no (...)
  • 38 Sur le « contexte médical », v. Maximilien Lanna, La protection des données à caractère personnel à (...)
  • 39 CNIL, « Qu’est-ce qu’une donnée de santé », précité et Groupe « Article 29 », Annexe « Health data (...)
  • 40 CNIL, « Qu’est-ce qu’une donnée de santé », précité et Groupe « Article 29 », Annexe « Health data (...)
  • 41 CNIL, « Qu’est-ce qu’une donnée de santé », précité ; comp. les « conclusions […] tirées sur l’état (...)
  • 42 Thibault Douville, Droit des données à caractère personnel, LGDJ, 2023, p. 113, no 136.
  • 43 CNIL, délib., Cosmospace, § 102.
  • 44 CNIL, délib., Télémaque, § 66.
  • 45 CNIL, délib., Cosmospace, § 102 ; CNIL, délib., Télémaque, § 66.

13Les « données concernant la santé36 » font l’objet d’une acception large37. Leur qualification n’inclut pas seulement les données collectées dans le cadre du système de soins38 : à côté des « données de santé par nature », comme les prescriptions ou les résultats d’examen39, se trouvent les données « qui du fait de leur croisement avec d’autres données, deviennent des données de santé en ce qu’elles permettent de tirer une conclusion sur l’état de santé ou le risque pour la santé d’une personne40 » ou les données de santé qui le « deviennent […] en raison de leur destination, c’est-à-dire de l’utilisation qui en est faite au plan médical41 ». La qualification de donnée de santé a ainsi été renouvelée par des usages nouveaux, comme les applications de bien-être42. En l’espèce, lors des consultations de voyance, des clients ont pu confier à un voyant des indications directes ou indirectes sur leur hygiène de vie ou leur état physique et psychologique, justifiant que les données communiquées lors des conversations téléphoniques43 et par « chat » et SMS44, puis conservées par le responsable de traitement, soient qualifiées de données de santé par la formation restreinte de la CNIL45.

  • 46 V. Erwan Pinilla, Francis Megerlin, « De la donnée de santé par qualification de la loi, à la donné (...)
  • 47 CNIL, délib., Cosmospace, § 102 ; CNIL, délib. Télémaque, § 66. Il s’agit d’une collecte par l’enre (...)
  • 48 CNIL, délib., Cosmospace, § 102 ; CNIL, Télémaque, § 66.
  • 49 CJUE, G. C., 4 oct. 2024, C‑21/23, ND c. DR, § 87 : Comm. com. électr., 2024, n° 12, comm. 112, Ann (...)

14Il en résulte que si la finalité du traitement permet d’inclure des données personnelles dans la catégorie de données de santé46, elle n’est en revanche pas à même de les en exclure. Dès lors, en l’espèce, la qualification de donnée sensible est ainsi acquise dès lors que des données par nature « font bien l’objet d’un traitement47 », peu importe que « la société indique ne pas utiliser ces données pour une finalité spécifique48 ». Un mois après les délibérations Cosmospace et Telemaque, la CJUE a elle-même estimé que l’intention du responsable de traitement – l’« exploitant agit[-il] dans le but d’obtenir des informations relevant d’une des catégories particulières49 » ? – importait peu dans l’opération de qualification.

  • 50 Rebecca Wong, « Data Protection Online: Alternative Approaches to Sensitive Data ? », Journal of In (...)
  • 51 Christina Koumpli, Les données personnelles sensibles : contribution à l’évolution du droit fondame (...)
  • 52 Ibid. V. aussi, pour un raisonnement similaire à propos dun’arrêt de la CJUE rendu le 1er août 2022 (...)

15Ce rôle relatif de la finalité du traitement et de l’intention du responsable de traitement invite tous les responsables de traitement à s’interroger sur la possibilité de traiter des données de santé – on pense par exemple à des requêtes sur un moteur de recherche pour identifier des symptômes ou encore à une personne déclarant une maladie au détour d’un appel enregistré pour la qualité du service. Ce raisonnement peut être étendu à l’ensemble des données sensibles50, dont les données de santé ne sont qu’une catégorie. Le critère même de détermination des données sensibles a historiquement fait débat à travers l’opposition entre une qualification « per se51 » de ces données (une liste de données sensibles, comme le propose l’article 9 du RGPD) et une qualification en fonction du contexte du traitement (par exemple, une interconnexion)52.

16Il reste qu’en droit positif, tous les traitements de données de santé sont soumis au régime des données sensibles prévu par l’article 9 du RGPD, quel que soit l’usage réel qui est fait de ces données, garantissant une protection particulièrement large de ces données. Pour autant, si la finalité du traitement ne permet pas d’exclure la qualification de donnée de santé, elle permet en revanche de déterminer plus précisément le régime applicable à ces données. De sorte que le choix d’une qualification large des données de santé n’entraîne pas, en droit français, l’application du même régime aux traitements variés qu’elle recoupe.

2. Le régime fragmenté des traitements de données de santé

17Les délibérations étudiées illustrent la fragmentation du régime des traitements de données de santé, et ce en fonction de leur finalité. Après l’étape de qualification des données de santé, cette notion permet d’opérer des distinctions entre les régimes applicables, et plus précisément au regard du régime spécial de la LIL applicable aux traitements dans le domaine de la santé : critère d’inclusion de certains traitements de données de santé dans ce régime spécial (A), la finalité constitue également un critère d’exclusion systématique d’autres traitements de données de santé (B).

2.1. Des traitements en principe inclus dans le régime spécial

18Par l’application des dispositions spéciales de la LIL à l’entrepôt de santé qu’elle caractérise, la délibération Cegedim Santé illustre l’importance des finalités du traitement dans le régime des traitements de données de santé.

  • 53 Délib. Cegedim Santé, § 90.
  • 54 HAS, Entrepôts de données de santé hospitaliers en France. Quel potentiel pour la Haute Autorité de (...)
  • 55 Ibid.
  • 56 CNIL, délib. no 2017-013, 19 janv. 2017, autorisant l’Assistance publique-Hôpitaux de Paris à mettr (...)
  • 57 CNIL, délib. no 2021-118, 7 oct. 2021, portant adoption d’un référentiel relatif aux traitements de (...)
  • 58 Quant à la valeur juridique de ces écrits, rappelons que des « questions-réponses » sur des lignes (...)
  • 59 CNIL, « Traitements de données de santé : comment faire la distinction entre un entrepôt et une rec (...)
  • 60 Deux délibérations rendues le 28 août 2024, qui n’ont pas été rendues publiques, avaient toutefois (...)

19« Construction doctrinale de la CNIL53 », l’EDS constitue initialement un dispositif technique54 visant à constituer un vaste ensemble de données de santé en vue d’une utilisation ultérieure pour différents projets de recherche. Depuis leur apparition dans le domaine hospitalier à la fin des années 200055, la CNIL a autorisé un premier EDS en 201756, avant d’adopter un référentiel dédié à leur mise en œuvre en 202157. De premiers critères de définition des EDS ont été précisés à travers une page sur le site internet de la CNIL58 différenciant l’entrepôt lui-même – la collecte de données de santé en vue de leur mise à disposition ultérieure – et les recherches ensuite effectuées à partir des données de l’EDS59. La délibération Cegedim Santé est elle-même la première décision publique de sanction relative à un EDS60.

  • 61 CNIL, délib. Cegedim Santé, § 89 et s.
  • 62 Ibid., § 113.
  • 63 Ces référentiels sont prévus par l’article 66, II, de la LIL ; sur le recours par la CNIL à des ins (...)
  • 64 Art. 5, 2, RGPD dans sa version en anglais ; C. Koumpli, précité, p. 455 et s.
  • 65 Art. 9, 4, RGPD.
  • 66 LIL, section 3 du chapitre III du titre II.
  • 67 CNIL, délib., Cegedim Santé, § 113.

20Dans cette délibération, la CNIL consacre « la qualification du traitement en entrepôt de données de santé61 », qui entraînerait l’obligation de procéder à des formalités préalables auprès d’elle62. Il s’agit d’une déclaration de conformité à un référentiel, dispositif dit de « droit souple63 » ou, à défaut, d’une demande d’autorisation auprès de la CNIL. Prévues à l’article 66, II et III de la LIL, ces formalités constituent une exception au RGPD qui repose sur un principe d’accountability64. Elles relèvent ainsi d’un régime spécial, adopté sur le fondement d’une marge de manœuvre laissée aux États membres65 et applicable aux « traitements de données à caractère personnel dans le domaine de la santé66 », dont relèvent justement les EDS selon la CNIL67.

  • 68 Art. 65, al. 1er, LIL.
  • 69 Art. 65, 1, LIL, comp. art. 44, 1.
  • 70 Art. 65, 4 et 5 LIL, comp. art. L. 6113-7 et L. 6113-8 CSP.

21Si ce régime spécial s’applique en apparence aux « traitements contenant des données concernant la santé des personnes68 », son champ d'application est principalement déterminé en fonction des finalités du traitement. Ce critère ressort de la liste des « catégories de traitements » dispensées de ce régime à l’article 65 de la LIL : il en va ainsi des traitements de données de santé dans un cadre de soins69 ou aux fins de l’évaluation de leur activité par les établissements de santé70. Pour déterminer si un traitement est ou non soumis aux articles 66 et suivants de la LIL, il faut dès lors examiner ses finalités.

  • 71 CNIL, délib. no 2021-118 préc., § 3.1.1.
  • 72 CNIL, délib., Cegedim Santé, § 120.
  • 73 Art. 9, 1, RGPD.
  • 74 Art. 9, 2, RGPD.
  • 75 Art. 44 LIL.
  • 76 Art. 9, 2, a, RGPD.
  • 77 V. supra.
  • 78 CNIL, délib., Cegedim Santé, § 120.
  • 79 Ibid., § 115 et 122 et s.

22En l’espèce, les finalités de l’EDS – rappelons que, dans le référentiel de la CNIL, la finalité d’un EDS est de « permettre la réutilisation des données qu’ils contiennent71 » – ne dispensaient visiblement pas du respect des formalités préalables. La formation restreinte relève en effet que « la seule exception […] susceptible de s’appliquer en l’espèce est celle relative au cas dans lequel la personne concernée a donné son consentement explicite au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques72 ». Lorsque le traitement est permis par le consentement de la personne, son responsable est en effet également dispensé de respecter le régime spécial de la LIL. Pour comprendre cette exception, il faut rappeler que tout traitement de données de santé, données dites « sensibles », est en principe interdit73, sauf exceptions prévues par le RGPD74 ou la LIL75. Le consentement explicite de la personne constitue la première de ces exceptions76. Or, la liste des catégories de traitement dispensées du régime spécial par l’article 65 de la LIL renvoie au cas dans lequel le traitement de données sensibles est justifié par le consentement de la personne. En l’espèce, le responsable de traitement pensant traiter des données anonymisées77, il n’avait pas recueilli le consentement des personnes78 ni, à défaut, déclaré ou déposé une demande d’autorisation de son traitement auprès de la CNIL79.

  • 80 CNIL, « Traitements de données de santé : comment faire la distinction entre un entrepôt et une rec (...)

23À la faveur de ce raisonnement, il est possible de se demander si tous les EDS ne reposant pas sur le consentement ne seraient pas soumis aux formalités préalables – c’est d’ailleurs ce qu’affirme la CNIL sur son site internet80. Ce faisant, la marge de manœuvre laissée par le RGPD aux États membres dans le domaine de la santé permet d’exercer un contrôle renforcé sur des traitements permettant une circulation des données de santé.

  • 81 Nous ne reviendrons pas, dans ces développements, sur la suppression des régimes de formalités préa (...)
  • 82 V. L’article 40-1 de la LIL, dans sa version issue de la loi no 94-548 du 1er juillet 1994 relative (...)
  • 83 Conseil d'État, Avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi no  (...)

24Mais comment justifier cette distinction parmi les traitements de données de santé et expliquer par exemple que des traitements, pourtant tous qualifiés d’entrepôts de données de santé, puissent être soumis à des régimes différents ? Nous nous limiterons ici à quelques remarques81. Il faut d’abord souligner que les exceptions au régime spécial s’expliquent historiquement : elles sont le produit de modifications successives de règles pensées à l’époque pour des traitements aux finalités particulières, ce qui justifiait alors de nombreuses exclusions82 qui ont été maintenues. Par ailleurs, selon le Conseil d’État, des traitements ont été dispensés de formalités préalables lors de l’adaptation de la loi française au RGPD parce qu’ils ont été « créés dans des conditions préservant les droits et libertés fondamentales par nature » ou répondent à des besoins spécifiques des pouvoirs publics83. Nous pourrions ajouter que, d’un point de vue pragmatique, il serait lourd de produire des référentiels couvrant des traitements aussi nombreux et divers que ceux dans le domaine de la santé et, à défaut, d’examiner les demandes d’autorisation de tous les traitements non conformes. Tout ceci contribue à expliquer que l’exclusion de certains traitements du régime spécial repose in fine sur le critère de la finalité du traitement, articulé avec celui du consentement explicite de la personne.

2.2. Des traitements systématiquement exclus du régime spécial

  • 84 CNIL, délib. Cosmospace, § 103 ; CNIL, délib. no SAN-2024-015, § 67.
  • 85 CNIL, délib., formation restreinte, no SAN-2023-008, 8 juin 2023, concernant la société X, § 81 (v. (...)
  • 86 CNIL, délib., formation restreinte, no SAN-2023-006, 11 mai 2023, concernant la société X, § 56. Su (...)

25La CNIL estime que le traitement dans le cadre des consultations de voyance ne peut être justifié, au sens de l’interdiction du traitement des données dites « sensibles », que par le consentement explicite de la personne. En effet, « aucune des autres conditions prévues au titre de l’article 9-2-b) à j) du RGPD n’[est] mobilisable au cas d’espèce84 ». La CNIL avait déjà adopté ce raisonnement dans une délibération sur des services de voyance85. Elle avait également appliqué cette analyse à un traitement de données issues d’un questionnaire disponible sur un site internet dans le domaine de la santé du type « cancer du côlon : quels sont vos risques » ou « et si c’était la maladie d’Alzheimer86 ».

  • 87 CNIL, « Applications mobiles en santé et protection des données personnelles : Les questions à se p (...)

26Plus généralement, certains traitements de données de santé hors d’un cadre de prévention, de financement de la santé ou de recherche dans la santé semblent uniquement justifiables par le consentement de la personne au titre de l’article 9 du RGPD. Ainsi la CNIL a-t-elle estimé sur son site internet que les applications dites de « bien-être », par exemple pour mieux dormir, ne pouvaient reposer que sur l’« accord exprès » de la personne, à la différence des applications constituant des « outil[s] de prise en charge sanitaire », comme de la télésurveillance médicale87.

  • 88 Marie Bastian, La construction du droit de la santé numérique, th. Paris Nanterre, 2022, p. 347, §  (...)
  • 89 Art. 9, 2, h et i, RGPD.
  • 90 Art. 9, 2, j, RGPD.
  • 91 Art. 44, 3, LIL, v. également art. 9, 2, g et i, RGPD.
  • 92 Art. 9, 2, a, RGPD.

27S’agissant de l’application du régime des données sensibles, il existe donc une distinction entre les traitements de données de santé poursuivant une finalité prévue par l’article 9 alinéa 2 et l’article 44 et ceux qui ne peuvent que reposer sur le consentement. La majorité des exceptions à l’interdiction du traitement des données sensibles repose en effet sur la finalité du traitement88 : on pense, dans le domaine de la santé, aux exceptions sectorielles89, relatives à la recherche90 ou encore fondées sur l’intérêt public91. Le consentement explicite de la personne92 est l’une des rares exceptions ne reposant pas uniquement sur la finalité du traitement.

  • 93 CNIL, délib., Cosmospace, § 115 ; CNIL, délib., Télémaque, § 79.
  • 94 CNIL, délib., Cosmospace, § 107 ; CNIL, délib., Télémaque, § 71 ; v. art. 4, 11 et art. 9, 2, a, RG (...)
  • 95 CNIL, délib. no SAN-2023-008, préc., § 86.
  • 96 Ibid., § 87.
  • 97 CNIL, délib., Cosmospace, § 111 ; CNIL, délib., Télémaque, § 75. Cette interprétation repose sur l’ (...)
  • 98 CNIL, délib., Cosmospace, § 112-113 ; CNIL, délib., Télémaque, § 76-77.
  • 99 CNIL, délib., Cosmospace, § 115 ; CNIL, délib., Télémaque, § 79.

28Dès lors, l’absence de recueil du consentement ne peut qu’entraîner une violation de l’article 9 du RGPD93. Or, comme le note la CNIL, la définition du consentement est stricte. Le consentement doit être explicite, ce qui « suppose de permettre à la personne concernée de manifester, par une action positive, son assentiment au traitement de données sensibles, attestant de la matérialité de son consentement94 ». Une délibération précédente sur les services de voyance avait justement établi que « la simple volonté de recevoir ce type de prestation et le fait de livrer spontanément des informations sensibles ne constituent pas un consentement explicite des personnes concernées95 », le responsable de traitement devant prévoir « un moyen afin de s’assurer qu’elles y consentent de manière explicite par un acte positif clair96 ». En outre, le consentement doit être éclairé « sur le caractère particulier des données [que la personne concernée] communique, notamment en ce que celles-ci peuvent révéler son état de santé et son orientation sexuelle, ainsi que sur l’usage qui sera fait de ces données97 ». Or, en l’espèce, la CNIL relève que l’information n’est pas délivrée et le consentement explicite n’est pas recueilli, que ce soit sur le site internet, dans les chats, SMS ou appels téléphoniques98, entraînant la violation de l’article 9 du RGPD99.

29En revanche, lorsque le consentement explicite est effectivement recueilli, les responsables de traitement n’ont pas à se conformer au régime spécial de la LIL, et notamment aux formalités préalables auprès de la CNIL. L’article 65 de la LIL, rappelons-le, exclut du régime spécial applicable aux traitements de données de santé les traitements justifiés par le consentement explicite au sens de l’article 9 du RGPD. Ainsi, alors que l’entrepôt de données de santé peut être exclu du champ des formalités préalables s’il repose sur le consentement, les traitements dans le cadre de consultations de voyance sont toujours exclus de ces formalités, car ils ne peuvent reposer que sur le consentement explicite de la personne.

  • 100 Art. 9, 2, a, RGPD.

30Conclusion. Au terme de cette analyse, il apparaît que le régime des données de santé est fragmenté au regard de la qualification initialement large de cette catégorie de données. Si la distinction des régimes repose principalement sur la finalité du traitement poursuivi, le consentement explicite de la personne y joue un rôle central. Condition nécessaire de la licéité de certains traitements, comme les consultations de voyance, il constitue aussi le seul cas dans lequel les responsables de certains traitements, à l’instar des EDS, ne sont pas soumis au régime spécial applicable aux traitements de données de santé. Ce constat appelle quelques remarques sur le rôle que joue le consentement en la matière. Tout d’abord, lorsque les responsables de traitement ont le choix de se fonder ou non sur le consentement, ils n’y recourent pas systématiquement : les traitements massifs de données s’accordent en effet mal avec le recueil de la volonté explicite de chacune des personnes concernées, a fortiori dans les cas de réutilisation. En outre, dans tous les cas, il ressort des délibérations sur la voyance qu’une interprétation stricte du consentement explicite de la personne permet de s’assurer de l’application de règles protectrices car, faute du recueil d’un consentement conforme, le responsable de traitement peut être sanctionné. Observons enfin que le consentement doit être donné par la personne au regard des finalités du traitement100, lesquelles, on l’a vu, sont centrales pour distinguer les régimes applicables aux traitements de données de santé. D'une certaine manière, la justification de ces traitements par le consentement de la personne la conduit à déterminer les finalités de traitement qui, écartées par les pouvoirs publics, seraient cependant acceptables à ses yeux.

Haut de page

Notes

1 Art. 4, 15, Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avr. 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

2 Art. 65 et s., Loi no 78-17 du 6 janv. 1978 relative à l'informatique, aux fichiers et aux libertés.

3 CNIL, délib., formation restreinte, no SAN-2024-013, 5 sept. 2024, concernant la société CEGEDIM SANTÉ, spéc. § 5 et s. : AJDA, 2024, p. 2251 ; Comm. com. électr., 2024, comm. 101, Lorraine Maisnier-Boché ; Dalloz actualité, 19 sept. 2024, pan. Mélanie Clément-Fontaine, Cabinet Twelve Avocats ; Dalloz actualité, 26 sept. 2024, comm. Margot Musson ; Dalloz IP/IT, 2024, p. 494, obs. Anne-Lisa Bofua, § 5 ; RDSS 2025, p. 272, Ludovica Robustelli.

4 Ibid., § 30.

5 Ibid., § 6.

6 Ibid., § 89 et s.

7 Ibid., § 111 et s.

8 CNIL, délib., formation restreinte, no SAN-2024-014, 26 sept. 2024, concernant la société COSMOSPACE, spéc. § 4 ; CNIL, délib., formation restreinte, no SAN-2024-015, 26 sept. 2024, concernant la société TELEMAQUE. Les deux sociétés étaient responsables de traitement conjointes et unies par un contrat de sous-traitance (CNIL, délib. Cosmospace, § 4).

9 CNIL, délib. Cosmospace, § 1 ; CNIL, délib., Télémaque, § 4. 

10 Art. 4, 2, RGPD.

11 V. la définition de l’« utilisation secondaire » des données électroniques de santé par le règlement EHDS (Règl. (UE) n° 2025/327, 11 févr. 2025, relatif à l’espace européen des données de santé et modifiant la directive 2011/24/UE et le règlement (UE) 2024/2847, JOUE, 5 mars 2025, art. 2, 2, e).

12 V. la note précédente.

13 Gouvernement, Stratégie interministérielle pour construire notre patrimoine national des données de santé 2025-2028, sept. 2024, en ligne : https://esante.gouv.fr/sites/default/files/media_entity/documents/strategie-patrimoine-national-donnees-de-sante-v-def.pdf, consulté le 12 févr. 2026, p. 6.

14 Art. 19 LIL.

15 Art. 20 et s. LIL.

16 Art. R. 311-1, 4°, CJA.

17 Et ce, car la personne mise en cause « doit être informée de son droit de se taire », qui repose sur l’article 9 de la Déclaration des droits de l’homme et du citoyen de 1789 (Cons. const., 8 août 2025, no 2025-1154 QPC, § 15).

18 Puisqu’il a été sursis à statuer dans la décision de transmission de la QPC au Conseil constitutionnel (CE, 5 juin 2025, no 499596, Lebon T. : Dalloz actualité, 9 juin 2025, pan. Mélanie. Clément-Fontaine, Cabinet Twelve Avocats ; Gaz. Pal. 15 juill. 2025, no GPL480h5, pan. Nathalie Finck, Samuel Seroc ; AJDA, 2025, p. 1105, Jean-Marc Pastor).

19 Le RGPD « s’applique au traitement de données à caractère personnel » (art 2, 1, RGPD).

20 C’est le critère de l’individualisation, ou singling out (Valérie Verbruggen, « RGPD : cœur du puzzle de l’encadrement de la protection des données à caractère personnel dans l’Union européenne », in Cécile de Terwangne, Karen Rosier (dir.), Le règlement général sur la protection des données (RGPD/GDPR) : analyse approfondie, Larcier, 2018, p. 64, § 6).

21 Art. 4, 5, RGPD ; Délib., Cegedim Santé, § 40.

22 RGPD, cons. 28.

23 RGPD, cons. 26. Le Conseil d’État a ainsi estimé qu’« une donnée à caractère personnel ne peut être regardée comme rendue anonyme que lorsque l’identification de la personne concernée, directement ou indirectement, devient impossible que ce soit par le responsable du traitement ou par un tiers » (CE, 20 déc. 2023, no 467161, Lebon T, § 2 : Dr. adm., 2024, comm. 14 ; ibid. 2025, Chron. 2 ; Gaz. Pal., 6 févr. 2024, no GPL459b4 ; JCP A, 2024, act. 8 ; JCP G 2024, doctr. 747 ; Procédures, 2024, comm. 1 ; CE, 8 févr. 2017, no 393714, au Recueil, § 7 : Comm. com. électr., 2017, comm. 37 ; D., 2018, p. 1033 ; Dalloz IP/IT, 2017, p. 286 ; Gaz. Pal., 21 févr. 2017, no 287n3, p. 40 ; JCP A, 2017, act. 125).

24 RGPD, cons. 26.

25 Lorraine Maisnier-Boché, « Anonymisation relative ou pseudonymisation. L’exigence des autorités de protection des données à l’épreuve de la CJUE », Comm. com. électr., 2025, no 4, comm. 37. Depuis l’écriture de cet article, la Cour de justice de l’Union européenne a précisé son appréhension du pseudonymat, v. CJUE, 1re chambre, 4 sept. 2025, C-413/23, Contrôleur européen de la protection des données c. Conseil de résolution unique : AJDA, 2025. 1574, note Etienne Ducluseau ; Comm. com. électr., 2025, comm. 89, Nathalie Martial-Braz ; ibid., comm. 97, Lorraine Maisnier-Boché ; Europe, 2025, comm. 357, Denys Simon.

26 RGPD, cons. 26.

27 Ibid.

28 La CNIL cite trois arrêts de la CJUE pour l’interprétation de ces dispositions : CJUE, 2e ch., 19 oct. 2016, C-582/14, Patrick Breyer c. Bundesrepublik Deutschland : Comm. com. électr., 2016, comm. 104, Nathalie Metallinos ; Dalloz actualité, 8 nov. 2016, obs. Elisabeth Autier ; Dalloz IP/IT, 2017, obs. Géraldine Peronne, Emmanuel Daoud, p. 120 ; Europe, 2016, comm. 444, Fabienne Gazin ; Rev. int. compliance, 2016, comm. 130, Merav Griguer, Julie Schwartz ; CJUE, 6e ch., 7 mars 2024, C-479/22, OC c. Commission européenne : Europe, 2024, comm. 200, Valérie Michel ; Gaz. Pal., 8 oct. 2024, no GPL468n12024, chron. Thibault Douville ; RTD Com., 2024, p. 672, note Thibault Douville ; CJUE, 4e ch., 7 mars 2024, C-604/22, IAB Europe c. Gegevensbeschermingsautoriteit : Comm. com. électr., 2024, comm. 93, Nathalie Martial-Braz ; Dalloz IP/IT, 2024, p. 246, note Elodie Rançon ; ibid., p. 603, note Vanessa Younès-Fellous ; Europe, 2024, comm. 201, Clara Grudler ; Gaz. Pal., 8 oct. 2024, no GPL468n12024, chron. Thibault Douville ; JCP G, 2024, act. 380, Dominique Berlin ; RTD Com., 2024, p. 667, note Thibault Douville.

29 Groupe « Article 29 », Avis 05/2014 sur les techniques d’anonymisation, 10 avr. 2014. Sur les conditions de mobilisation de cet avis par la CNIL par le passé, v. l’arrêt précité du Conseil d’État du 8 février 2017.

30 CNIL, délib. Cegedim Santé, § 87.

31 Dans ce sens déjà, Margo Bernelin, « Anonymisation des données et cybersécurité en santé : un droit hésitant ? », Droit, Santé et Société 2024, 11 (2), p. 20 ; Dossier « Données de santé : anonymat et risque de ré-identification », Dossiers Solidarité et Santé, 2015, no 64 ; Hélène Tanghe, Paul-Olivier Gibert, « L’enjeu de l’anonymisation à l’heure du big data », RFAS, 2017, no 4, p. 79.

32 CNIL, délib. Cegedim Santé, § 71 et s. et 75 et s.

33 Interrogeant l’« utilité » d’une base de données au regard de la définition de l’anonymat, Lorraine Maisnier-Boché, « Intelligence artificielle et données de santé », JDSAM, 2017, no 17, p. 25.

34 CNIL, délib. Cegedim Santé, § 74. V. égal. § 59, 70, 79, 81 et 86.

35  Ibid., § 91.

36 Art. 4, 15, RGPD.

37 CJCE, ch., 6 nov. 2003, C-101/01, Procédure pénale c. Bodil Lindqvist, § 50 : D., 2024, p. 1062, note Laurence Burgorgue-Larsen, 12 juin 2004, p. 41, note Mario Nicolella ; RSC, 2004, p. 712, chron. Laurence Idot ; CNIL, « Qu’est-ce qu’une donnée de santé », 8 janv. 2018, en ligne : https://www.cnil.fr/fr/quest-ce-ce-quune-donnee-de-sante, consulté le 10 févr. 2025 ; Margo Bernelin, vo « Données de santé », in Santé, bioéthique, biotechnologies, no 1.

38 Sur le « contexte médical », v. Maximilien Lanna, La protection des données à caractère personnel à l’épreuve de l’automesure connectée, th. Paris 2, 2019, p. 116-117, no 135.

39 CNIL, « Qu’est-ce qu’une donnée de santé », précité et Groupe « Article 29 », Annexe « Health data in apps and devices », 5 févr. 2015.

40 CNIL, « Qu’est-ce qu’une donnée de santé », précité et Groupe « Article 29 », Annexe « Health data in apps and devices », 5 févr. 2015 (« The data are raw sensor data that can be used in itself or in combination with other data to draw a conclusion about the actual health status or health risk of a person »).

41 CNIL, « Qu’est-ce qu’une donnée de santé », précité ; comp. les « conclusions […] tirées sur l’état de santé ou le risque de santé d’une personne », peu importe sa réalité « Conclusions are drawn about a person’s health status or health risk (irrespective of whether these conclusions are accurate or inaccurate, legitimate or illegitimate, or otherwise adequate or inadequate) » (Groupe « Article 29 », Annexe « Health data in apps and devices », précité).

42 Thibault Douville, Droit des données à caractère personnel, LGDJ, 2023, p. 113, no 136.

43 CNIL, délib., Cosmospace, § 102.

44 CNIL, délib., Télémaque, § 66.

45 CNIL, délib., Cosmospace, § 102 ; CNIL, délib., Télémaque, § 66.

46 V. Erwan Pinilla, Francis Megerlin, « De la donnée de santé par qualification de la loi, à la donnée de santé “par destination” », Revue générale de droit médical, Panorama de droit pharmaceutique, 2018, p. 99.

47 CNIL, délib., Cosmospace, § 102 ; CNIL, délib. Télémaque, § 66. Il s’agit d’une collecte par l’enregistrement, d’une conservation, d’une consultation et d’une suppression des conversations téléphoniques et des échanges (comp. RGPD, art. 4, 2).

48 CNIL, délib., Cosmospace, § 102 ; CNIL, Télémaque, § 66.

49 CJUE, G. C., 4 oct. 2024, C‑21/23, ND c. DR, § 87 : Comm. com. électr., 2024, n° 12, comm. 112, Anne Debet ; Contrats, conc. consom., 2025, n° 1, comm. 7, Hélène Aubry ; D., 2024, p. 2115, comm. Francis Megerlin, Erwan Pinilla ; Dalloz IP/IT, 2025, p. 112, obs. Vanessa Younès-Fellous ; Europe, 2024, n° 12, comm. 482, Clara Grudler ; LEDICO, déc. 2024, n° DDC202s0, note Clément Bizet ; Rev. sociétés, 2025, p. 279, obs. Cécile Granier ; RLDI, 2025, n° 224-6, note Eléonore Favero ; RTD com., 2025, p. 94, comm. Thibault Douville

50 Rebecca Wong, « Data Protection Online: Alternative Approaches to Sensitive Data ? », Journal of International Commercial Law and Technology, 2007, 2 (1), p. 9.

51 Christina Koumpli, Les données personnelles sensibles : contribution à l’évolution du droit fondamental à la protection des données personnelles : étude comparée : Union Européenne, Allemagne, France, Grèce, Royaume-Uni, th. Paris 1, 2019, p. 185 et s.

52 Ibid. V. aussi, pour un raisonnement similaire à propos dun’arrêt de la CJUE rendu le 1er août 2022 (CJUE, G. C., 1er août 2022, C-184/20, OT c. Vyriausioji tarnybinės etikos komisija), Thibaut Douville, « Toutes les données à caractère personnel ne sont pas des données sensibles », Dalloz IP/IT, 2023, p. 52.

53 Délib. Cegedim Santé, § 90.

54 HAS, Entrepôts de données de santé hospitaliers en France. Quel potentiel pour la Haute Autorité de Santé ?, Rapport, 20 oct. 2022, en ligne : https://www.has-sante.fr/upload/docs/application/pdf/2022-11/rapport_entrepots_donnes_sante_hospitaliers.pdf, consulté le 10 févr. 2025, p. 15.

55 Ibid.

56 CNIL, délib. no 2017-013, 19 janv. 2017, autorisant l’Assistance publique-Hôpitaux de Paris à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données de santé, dénommé « EDS ».

57 CNIL, délib. no 2021-118, 7 oct. 2021, portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé : CDE, 2022, prat. 10, étude Julie Schwartz ; Dalloz IP/IT, 2022, p. 154, obs. Olivier de Maison Rouge ; JCP E, 2022, chron. 1225, Matthieu Bourgeois, Louis Thibierge, Julie Dehavay.

58 Quant à la valeur juridique de ces écrits, rappelons que des « questions-réponses » sur des lignes directrices et recommandations de la CNIL ont pu faire l’objet d’un recours pour excès de pouvoir (CE, 8 avr. 2022, no 452668, au Recueil : AJDA, 2022, p. 777, obs. Donia Necib ; Comm. com. électr., 2022, comm. 46, Nacima Belkacem ; Dr. adm. 2022, alerte 79, Anne Courrèges ; Gaz. Pal., 19 juill. 2022, no GPL438n1, chron. Benjamin Defoort ; ibid., 2022, 19 avr. 2022, n° GPL434y4, Nathalie Finck, Samuel Seroc ; JCP A, 2022, act. 289, Lucienne Erstein ; ibid. 2022, p. 2242, comm. Hélène Pauliat ; Justice 2023, p. 209, concl. Esther de Moustier).

59 CNIL, « Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ? », 2 mars 2023, en ligne : https://www.cnil.fr/fr/traitements-de-donnees-de-sante-comment-faire-la-distinction-entre-un-entrepot-et-une-recherche-et, consulté le 10 févr. 2025 (publié pour la première fois en 2019).

60 Deux délibérations rendues le 28 août 2024, qui n’ont pas été rendues publiques, avaient toutefois trait aux EDS, v. https://www.cnil.fr/fr/les-sanctions-prononcees-par-la-cnil.

61 CNIL, délib. Cegedim Santé, § 89 et s.

62 Ibid., § 113.

63 Ces référentiels sont prévus par l’article 66, II, de la LIL ; sur le recours par la CNIL à des instruments dits de droit souple, v. par ex. M.-L. Denis, « Les enjeux actuels de la régulation des données personnelles », Justice et Cassation, 2024, p. 431.

64 Art. 5, 2, RGPD dans sa version en anglais ; C. Koumpli, précité, p. 455 et s.

65 Art. 9, 4, RGPD.

66 LIL, section 3 du chapitre III du titre II.

67 CNIL, délib., Cegedim Santé, § 113.

68 Art. 65, al. 1er, LIL.

69 Art. 65, 1, LIL, comp. art. 44, 1.

70 Art. 65, 4 et 5 LIL, comp. art. L. 6113-7 et L. 6113-8 CSP.

71 CNIL, délib. no 2021-118 préc., § 3.1.1.

72 CNIL, délib., Cegedim Santé, § 120.

73 Art. 9, 1, RGPD.

74 Art. 9, 2, RGPD.

75 Art. 44 LIL.

76 Art. 9, 2, a, RGPD.

77 V. supra.

78 CNIL, délib., Cegedim Santé, § 120.

79 Ibid., § 115 et 122 et s.

80 CNIL, « Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ? », précité. Sauf dans le cas où l'EDS contiendrait des données issues du Système national des données de santé, ce qui supposerait une autorisation de la CNIL (ibid.)

81 Nous ne reviendrons pas, dans ces développements, sur la suppression des régimes de formalités préalables à la suite de l'entrée en vigueur du RGPD.

82 V. L’article 40-1 de la LIL, dans sa version issue de la loi no 94-548 du 1er juillet 1994 relative au traitement de données nominatives ayant pour fin la recherche dans le domaine de la santé et modifiant la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et l’article 40-11 de la LIL, dans sa version issue de la loi no 99-641 du 27 juillet 1999 portant création d’une couverture maladie universelle et créant un régime spécial pour « les traitements de données personnelles de santé qui ont pour fin l’évaluation des pratiques de soins et de prévention ».

83 Conseil d'État, Avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, 7 déc. 2017, § 29.

84 CNIL, délib. Cosmospace, § 103 ; CNIL, délib. no SAN-2024-015, § 67.

85 CNIL, délib., formation restreinte, no SAN-2023-008, 8 juin 2023, concernant la société X, § 81 (v. CNIL, Délib. Cosmospace, § 103 ; CNIL, délib. no SAN-2024-015, § 67).

86 CNIL, délib., formation restreinte, no SAN-2023-006, 11 mai 2023, concernant la société X, § 56. Sur le type de données traitées, v. le § 53.

87 CNIL, « Applications mobiles en santé et protection des données personnelles : Les questions à se poser », 17 août 2018, en ligne : https://www.cnil.fr/fr/applications-mobiles-en-sante-et-protection-des-donnees-personnelles-les-questions-se-poser, consulté le 10 févr. 2025 ; HAS, Référentiel de bonnes pratiques sur les applications et les objets connectés en santé (Mobile Health ou mHealth), oct. 2016, en ligne : https://www.has-sante.fr/upload/docs/application/pdf/2016-11/has_ref_apps_oc.pdf, consulté le 10 févr. 2025, p. 17 et 19.

88 Marie Bastian, La construction du droit de la santé numérique, th. Paris Nanterre, 2022, p. 347, § 744 à propos de l’article 8-1, anc. de la LIL.

89 Art. 9, 2, h et i, RGPD.

90 Art. 9, 2, j, RGPD.

91 Art. 44, 3, LIL, v. également art. 9, 2, g et i, RGPD.

92 Art. 9, 2, a, RGPD.

93 CNIL, délib., Cosmospace, § 115 ; CNIL, délib., Télémaque, § 79.

94 CNIL, délib., Cosmospace, § 107 ; CNIL, délib., Télémaque, § 71 ; v. art. 4, 11 et art. 9, 2, a, RGPD.

95 CNIL, délib. no SAN-2023-008, préc., § 86.

96 Ibid., § 87.

97 CNIL, délib., Cosmospace, § 111 ; CNIL, délib., Télémaque, § 75. Cette interprétation repose sur l’application de l’article 9 interprété « à la lumière de la définition posée à l’article 4 » du RGPD.

98 CNIL, délib., Cosmospace, § 112-113 ; CNIL, délib., Télémaque, § 76-77.

99 CNIL, délib., Cosmospace, § 115 ; CNIL, délib., Télémaque, § 79.

100 Art. 9, 2, a, RGPD.

Haut de page

Pour citer cet article

Référence électronique

Rebecca Demoule, « Le régime des traitements de données de santé : une réflexion à l’aune de trois délibérations de la CNIL »Cahiers Droit, Sciences & Technologies [En ligne], 21 | 2026, mis en ligne le 01 mars 2026, consulté le 08 juin 2026. URL : http://journals.openedition.org/cdst/13391 ; DOI : https://doi.org/10.4000/15tpc

Haut de page

Auteur

Rebecca Demoule

Postdoctorante en droit, Institut des sciences juridique et philosophique de la Sorbonne (ISJPS, Université Paris 1 Panthéon-Sorbonne – CNRS UMR 8103) & Institut Santé Numérique en Société

Haut de page

Droits d’auteur

CC-BY-4.0

Le texte seul est utilisable sous licence CC BY 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont susceptibles d’être soumis à des autorisations d’usage spécifiques.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search