Suite à la décision de la Commission nationale de l’informatique et des libertés (CNIL) en date du 8 septembre 2011 autorisant la mise en œuvre, par une société, d’un traitement de données à caractère personnel ayant pour finalité la réalisation d’études épidémiologiques à partir de données issues des feuilles de soins électroniques anonymisées à bref délai, une autre société atteste auprès du juge des référés que l’exécution de la délibération contestée lui causerait un préjudice financier important.

Cette société affirme que la délivrance d’une autorisation à la société concurrente rendrait les coûts de son propre système de collecte des données plus élevés par rapport à celui rendu possible par la délibération litigieuse et entrainerait un manque à gagner résultant des études épidémiologiques plus approfondies que la société concurrente pourra réaliser à partir des données collectées.

Toutefois, la Haute juridiction administrative estime qu’ « en tout état de cause, l’exécution de la délibération, qui ne fait nullement obstacle à ce que les procédés de collecte et de traitement de données développés depuis longtemps par la société requérante continuent d’être mis en œuvre, ne serait susceptible d’avoir qu’un impact limité sur la situation de l’activité de la société requérante ». Elle rejette ainsi la requête à fin de suspension de la société en considérant que la « délibération contestée ne peut être regardée comme portant une atteinte grave et immédiate à l’intérêt public qui s’attache à la protection des restrictions d’accès à ce numéro [numéro d’inscription au répertoire national d’identification des personnes physiques] ». Elle relève en effet que l’un des procédés d’anonymisation des données, en assurant leur « hachage irréversible », font « obstacle à ce qu’un lien puisse être ultérieurement établi entre les données traitées et le numéro d’inscription au répertoire national d’identification des personnes physiques ».

 

 

Conseil d'État
Juge des référés
N° 354904
Inédit au recueil Lebon

M. Jacques-Henri Stahl, rapporteur
SCP DELVOLVE, DELVOLVE ; SCP ODENT, POULET ; SCP PIWNICA, MOLINIE, avocats

Lecture du mercredi 18 janvier 2012

 

Vu la requête, enregistrée le 15 décembre 2011 au secrétariat du contentieux du Conseil d'Etat, présentée pour la SOCIÉTÉ IMS HEALTH, dont le siège social est 91, rue Jean Jaurès à Puteaux (92800) ; la SOCIÉTÉ IMS HEALTH demande au juge des référés du Conseil d'Etat :

1°) d'ordonner, sur le fondement de l'article L. 521-1 du code de justice administrative, la suspension de l'exécution de la délibération de la Commission nationale de l'informatique et des libertés n° 2011-246 du 8 septembre 2011 autorisant la mise en oeuvre par la société CELTIPHARM d'un traitement de données à caractère personnel ayant pour finalité la réalisation d'études épidémiologiques à partir de données issues des feuilles de soins électroniques anonymisées à bref délai ;

2°) de mettre à la charge de l'Etat le versement de la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative ;

elle soutient que sa demande en référé n'est pas sans objet dès lors que la délibération contestée produit des effets ; que le Conseil d'Etat est compétent en premier ressort en application du 4° de l'article R. 311-1 du code de justice administrative ; que le recours en annulation qu'elle a déposé n'est pas tardif ; qu'elle justifie d'un intérêt pour agir à l'encontre de la délibération contestée ; que la condition d'urgence est remplie ; que le traitement autorisé par la délibération contestée et sa mise en oeuvre immédiate portent atteinte de manière suffisamment grave et immédiate à sa situation et emportent des conséquences difficilement réversibles ; qu'elle a mis en place un procédé de collecte de données différent et plus contraignant que celui autorisé par la Commission au bénéfice de son concurrent ; que le préjudice financier dû à une distorsion de concurrence peut être évalué à 8 millions d'euros par an ; que la délibération contestée préjudicie de manière suffisamment grave et immédiate à l'intérêt public qui s'attache au respect des restrictions mises par la loi à l'accès au numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et à l'exploitation des données qui lui sont liées ; que l'utilisation du NIR présente un caractère irréversible qui justifie l'urgence ; qu'il existe un doute sérieux quant à la légalité de la délibération contestée ; qu'au titre de la légalité externe, la délibération contestée est irrégulière pour n'avoir pas été prise par la formation plénière de la Commission nationale de l'informatique et des libertés et pour avoir été adoptée par une formation irrégulièrement composée, sans vote ni débat ; qu'elle est entachée d'un défaut de motifs au regard des articles 2 et 3 de la loi du 11 juillet 1979 et des exigences de l'article 6 de la loi du 6 janvier 1978 ; qu'au titre de la légalité interne, la délibération litigieuse est entachée d'une erreur de droit ; que le CNIL n'a pas procédé à l'analyse du dispositif d'anonymisation au regard de l'article 8-III de la loi du 6 janvier 1978 ni établi la conformité du dispositif en termes de sécurité et de confidentialité ; qu'ont été méconnus les principes de licéité, de légitimité et de pertinence consacrés par les 1°, 2° et 3° de l'article 6 de la loi du 6 janvier 1978 ; que la collecte des données issues des feuilles de soins électroniques auprès des organismes concentrateurs techniques pour d'autres finalités que celles liées à la liquidation des droits des assurés sociaux est illicite comme méconnaissant l'article 6 de la loi de 1978 et l'article 226-18 du code pénal ; qu'ils constituent un détournement de finalité réprimé par l'article 226-21 du code pénal ; que l'utilisation de ces données permet une violation du secret professionnel sanctionnée par l'article 226-13 du code pénal ; que l'autorisation d'une telle collecte est contraire à la doctrine de la Commission ; que la collecte et l'utilisation du NIR par une entreprise privée à des fins commerciales ou par les organismes concentrateurs techniques est manifestement illicite au regard de l'article 6 de la loi de 1978 ; qu'en ne précisant pas dans la délibération contestée les raisons qui l'ont conduite à regarder le traitement de ces données comme satisfaisant aux exigences de la loi du 6 janvier 1978 modifiée et alors que la décision n'est pas conforme à la doctrine de la Commission, la Commission a commis une erreur de droit et une erreur manifeste d'appréciation ;

Vu la délibération dont la suspension de l'exécution est demandée ;

Vu la copie de la requête à fin d'annulation de la délibération contestée ;

Vu le mémoire en défense, enregistré le 6 janvier 2012, présenté par la Commission nationale de l'informatique et des libertés (CNIL) qui conclut au rejet de la requête ; elle soutient que la décision contestée ayant été régulièrement mise en ligne sur le site Legifrance au 21 septembre 2011 au plus tard, la requête est irrecevable comme tardive ; que l'urgence n'est pas caractérisée dès lors que l'impact de l'exécution de la décision contestée sur la situation de la société requérante est incertain et relatif et ne présente pas un caractère immédiat ; que la préservation de la situation commerciale de la société requérante ne fait pas obstacle à la délivrance d'une autorisation à une société concurrente ; que l'autorisation répond à des besoins d'intérêt général ; que les effets anticoncurrentiels allégués ne sont pas établis par la société requérante ; que la délibération contestée ne prive pas la société requérante des autorisations dont elle a elle-même bénéficié ; que le préjudice que subirait la société CELTIPHARM en cas de suspension serait supérieur au préjudice que l'exécution de la délibération peut causer à la société requérante ; que la société requérante, ainsi qu'il lui a été indiqué, serait susceptible de mettre en oeuvre un traitement similaire aux mêmes conditions que la société CELTIPHARM ; que le traitement autorisé par la délibération litigieuse vise à pallier un manque d'études après autorisation de mise sur le marché de médicaments et répond à un besoin d'intérêt général ; qu'il n'est porté aucune atteinte à l'intérêt public qui s'attache aux restrictions d'utilisation du NIR ; que les moyens invoqués ne sont pas de nature à créer un doute sérieux quant à la légalité de la délibération contestée ; que la délibération litigieuse a été régulièrement adoptée par la Commission au cours de sa séance plénière du 8 septembre 2011, dans le respect des règles de quorum et de procédure applicables ; que la Commission a bien examiné si le traitement répondait aux exigences des 1°, 2° et 3° de l'article 6 de la loi du 6 janvier 1978 modifiée ; que la délibération est motivée par les indications détaillées figurant dans le corps de la délibération qui se présente sous la forme d'un tableau ; que la Commission a procédé à une analyse détaillée du dispositif d'anonymisation ; que le traitement autorisé répond tant aux exigences prévues par la loi en termes de sécurité et de confidentialité du traitement qu'aux attentes des autorités publiques et privées en matière de santé publique ; que, depuis 2004, la combinaison des articles 8-III et 25-I-1° de la loi du 6 janvier 1978 modifiée permet d'autoriser des acteurs privés à exploiter des données de santé préalablement anonymisées à d'autres fins que la liquidation des droits ; que la Commission a accordé des autorisations présentant des similitudes avec l'autorisation contestée depuis l'intervention de la loi de 2004 ; que, dès lors que le dispositif autorisé ne permet pas d'identifier les personnes, la violation du secret professionnel n'est pas établie ; que l'autorisation litigieuse ne permet pas à la société CELTIPHARM de collecter ou d'accéder au NIR figurant dans les feuilles de soins ; que les organismes concentrateurs techniques créent un identifiant anonyme irréversible par une fonction de hachage utilisant une clé secrète à laquelle la société CELTIPHARM n'a pas accès ; que l'identifiant anonyme fait en outre l'objet d'une seconde anonymisation ;

Vu le mémoire en réplique, enregistré le 13 janvier 2012, présenté pour la SOCIÉTÉ IMS HEALTH, qui reprend les conclusions de sa requête et les mêmes moyens ; elle fait valoir, en outre, que la requête est recevable, dans la mesure où la délibération n'a pas été publiée, que l'insertion sur le site Legifrance est dépourvue de tout effet sur le déclenchement du délai de recours et qu'il n'est pas établi au dossier que la mise en ligne aurait été faite le 21 septembre 2011 ; qu'elle n'envisage pas, en l'état, de déposer une demande d'autorisation identique à celle de CELTIPHARM qu'elle estime de nature à préjudicier gravement à l'intérêt public qui s'attache à la protection du NIR ; que l'intérêt général ne suffit pas à justifier de la légalité du traitement autorisé par la CNIL ; qu'il n'est pas établi que le rapport et le projet de délibération aient été adressés aux membres de la Commission deux jours ouvrés au moins avant la séance ; que le recours à la procédure du vote bloqué était irrégulier en l'espèce ; que les indications du tableau figurant dans le corps de la délibération constituent l'objet et non les motifs de la décision contestée, qui n'est pas motivée ; que ce traitement repose bien sur la collecte et le traitement initial de données non anonymisées ; que les organismes concentrateurs agiront en qualité de sous-traitants de la société CELTIPHARM, qui doit être regardée comme la responsable du traitement ayant accès juridiquement aux données non anonymisées ; que les autorisations accordées précédemment par la Commission présentent des différences substantielles avec l'autorisation en cause, que ce soit en termes de personnes bénéficiaires ou de finalité ;

Vu le mémoire en défense, enregistré le 16 janvier 2012, présenté pour la société CELTIPHARM, qui conclut au rejet de la requête ; elle fait valoir que la condition d'urgence n'est pas remplie ; qu'elle n'est pas en mesure de mettre en oeuvre immédiatement le traitement autorisé par la délibération contestée ; que l'application de la délibération ne causerait en tout état de cause aucun préjudice difficilement réparable à la société requérante ; qu'en revanche, la suspension de l'exécution de la délibération aurait des conséquences importantes pour la société CELTIPHARM qui subirait un grave préjudice financier ; que l'intérêt de la santé publique et de la maîtrise des dépenses de santé justifie qu'il soit statué rapidement sur la requête au fond ; que le procédé autorisé par la délibération contestée garantit l'anonymisation des données ; qu'il répond à un besoin de santé publique en permettant de réaliser des études épidémiologiques après la délivrance des autorisations de mise sur le marché de médicaments permettant d'observer les comportements réels d'utilisation des médicaments ;

Vu les autres pièces du dossier ;

Vu la loi n°78-17 du 6 janvier 1978, modifiée notamment par la loi n°2004-801 du 6 août 2004 ;

Vu le code de justice administrative ;

Après avoir convoqué à une audience publique, d'une part, la SOCIETE IMS HEALTH et, d'autre part, la Commission nationale de l'informatique et des libertés ainsi que la société CELTIPHARM ;

Vu le procès-verbal de l'audience publique du mardi 17 janvier 2012 à 10 heures au cours de laquelle ont été entendus :

- Me Delvolvé, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la SOCIÉTÉ IMS HEALTH ;

- la représentante de la SOCIÉTÉ IMS HEALTH ;

- Me Odent, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la société CELTIPHARM ;

- le représentant de la société CELTIPHARM ;

- les représentants de la Commission nationale de l'informatique et des libertés ;

et à l'issue de laquelle l'instruction a été close ;

Considérant qu'aux termes de l'article L. 521-1 du code de justice administrative : Quand une décision administrative, même de rejet, fait l'objet d'une requête en annulation ou en réformation, le juge des référés, saisi d'une demande en ce sens, peut ordonner la suspension de l'exécution de cette décision, ou de certains de ses effets, lorsque l'urgence le justifie et qu'il est fait état d'un moyen propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la décision ;

Considérant qu'aux termes de l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / 1° Les données sont collectées et traitées de manière loyale et licite ; / 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres IX et X et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ; / 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ; / 4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ; / 5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Considérant qu'en vertu du III de l'article 8 de la même loi, issu de la loi du 6 août 2004, la Commission nationale de l'informatique et des libertés peut autoriser, compte tenu de leur finalité et selon les modalités prévues à l'article 25, certaines catégories de traitements de données à caractère personnel sensibles, notamment celles relatives à la santé, si ces données sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission ; que selon le I de l'article 25 de la loi du 6 janvier 1978 modifiée Sont mis en oeuvre après autorisation de la Commission nationale de l'informatique et des libertés, à l'exclusion de ceux qui sont mentionnés aux articles 26 et 27 : 1° Les traitements, automatisés ou non, mentionnés au 7° du II, au III et au IV de l'article 8 (...) ;

Considérant que, sur le fondement des dispositions du III de l'article 8 et du I de l'article 25 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a, par la délibération contestée en date du 8 septembre 2011, autorisé, dans les conditions qu'elle a précisées, la société CELTIPHARM à mettre en oeuvre un traitement ayant pour finalité la réalisation d'études épidémiologiques à partir de données issues des feuilles de soins électroniques anonymisées à bref délai ;

Considérant que l'urgence justifie la suspension de l'exécution d'un acte administratif lorsque celle-ci porte atteinte, de manière suffisamment grave et immédiate, à un intérêt public, à la situation du requérant ou aux intérêts qu'il entend défendre ; qu'il appartient au juge des référés d'apprécier concrètement, compte tenu des justifications fournies par le requérant, si les effets de l'acte contesté sont de nature à caractériser une urgence justifiant que, sans attendre le jugement de la requête au fond, l'exécution de la décision soit suspendue ;

Considérant que, pour demander la suspension de l'exécution de la délibération de la Commission nationale de l'informatique et des libertés en date du 8 septembre 2011, la SOCIÉTÉ IMS HEALTH fait valoir que l'exécution de la délibération contestée lui cause un préjudice financier important, résultant, d'une part, des coûts plus élevés de son propre système de collecte des données par rapport à celui rendu possible par la délibération contestée au bénéfice de la société CELTIPHARM et, d'autre part, du manque à gagner résultant des études épidémiologiques plus approfondies que cette société concurrente pourra réaliser à partir des données collectées ; qu'elle fait également valoir l'intérêt public qui s'attache au respect des prescriptions de la loi relative à l'informatique et aux libertés, en particulier des restrictions mises par la loi à l'accès au numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ;

Mais considérant, d'une part, qu'il ressort des pièces versées au dossier soumis au juge des référés ainsi que des indications données au cours de l'audience que le traitement de données autorisé par la délibération contestée n'est pas susceptible d'être effectivement mis en oeuvre par la société CELTIPHARM avant plusieurs mois ; qu'en tout état de cause l'exécution de la délibération, qui ne fait nullement obstacle à ce que les procédés de collecte et de traitement de données développés depuis longtemps par la société requérante continuent d'être mis en oeuvre, ne serait susceptible d'avoir qu'un impact indirect et très limité sur la situation et l'activité de la société requérante ; que, par suite, l'exécution de la délibération attaquée n'est pas de nature, à la date de la présente ordonnance, à porter une atteinte suffisamment grave et immédiate aux intérêts de la société requérante pour justifier que cette exécution soit suspendue en référé dans l'attente du jugement de la requête au fond ;

Considérant, d'autre part, qu'il ressort des éléments figurant au dossier et résultant de l'audience que la délibération contestée impose de mettre en place deux procédés d'anonymisation des données avant leur traitement par la société CELTIPHARM ; que le premier de ces procédés se traduit par un hachage irréversible, réalisé par les organismes concentrateurs techniques avec une clé qui n'est pas portée à la connaissance de la société CELTIPHARM, lequel fait obstacle à ce qu'un lien puisse être ultérieurement établi entre les données traitées et le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ; qu'eu égard notamment aux caractéristiques et aux effets du premier de ces procédés d'anonymisation, la société CELTIPHARM n'aura pas effectivement accès, en propre, au NIR ; qu'eu égard aux précautions prises, l'exécution de la délibération contestée ne peut ainsi être regardée comme portant une atteinte grave et immédiate à l'intérêt public qui s'attache à la protection des restrictions d'accès à ce numéro, justifiant que, sans attendre le jugement de la requête au fond, l'exécution de la délibération soit immédiatement suspendue ;

Considérant qu'il résulte de ce qui précède que la condition d'urgence requise par l'article L. 521-1 du code de justice administrative n'est pas remplie ; que, dès lors et sans qu'il y ait lieu de se prononcer sur la fin de non-recevoir opposée à la requête au fond par la Commission nationale de l'informatique et des libertés et sur les moyens de légalité soulevée par la société requérante, les conclusions à fin de suspension de la SOCIÉTÉ IMS HEALTH ainsi que celles qu'elle a présentées sur le fondement de l'article L. 761-1 du code de justice administrative, ne peuvent qu'être rejetées ;

O R D O N N E :
------------------
Article 1er : La requête de la SOCIÉTÉ IMS HEALTH est rejetée.
Article 2: La présente ordonnance sera notifiée à la SOCIÉTÉ IMS HEALTH, à la Commission nationale de l'informatique et des libertés et à la société CELTIPHARM.