Absence d’autorisation pour le traçage de déplacements piétonniers

Par un arrêt du 8 février 2017, le Conseil d’Etat a confirmé le refus de la CNIL d’autoriser une expérimentation visant à comptabiliser des flux de piétons au motif de l’insuffisance du procédé d’anonymisation. Une société souhaitait procéder à un traitement de données visant à comptabiliser des déplacements piétonniers par la collecte des adresses des terminaux mobiles des personnes passant à proximité de ses mobiliers urbains. Or, d’une part, le traçage ne satisfaisait pas à l’obligation d’information et aux droits d’opposition, d’accès et de rectification des personnes concernées par le traitement. D’autre part, s’agissant du procédé d’anonymisation, la technique empêchait certes les tiers d’accéder aux données, mais le responsable de traitement pouvait toujours identifier les individus, de telle sorte que les données ne pouvaient être regardées comme rendues anonymes. Enfin, “les objectifs mêmes de la collecte des données (…) étaient incompatibles avec une anonymisation des informations recueillies”, dès lors que le traitement avait “pour objet d’identifier les déplacements des personnes et leur répétition”.

Pour lire l’arrêt sur Legalis.net

La CNIL contrainte d’anonymiser le nom d’un tiers dans une délibération

Par une décision du 11 mars 2015, le Conseil d’Etat a enjoint à la CNIL de procéder à l'anonymisation des mentions d'une délibération concernant un tiers à la procédure objet de cette délibération. En l’espèce, une société avait fait des observations au cours d’une procédure à laquelle elle n’avait pas été attraite et avait demandé à ce que les passages de la délibération la concernant ne soient pas publiés. La CNIL ayant rejeté cette demande, la société a formé un recours pour excès de pouvoir devant le Conseil d’Etat. La Haute juridiction a considéré que lorsqu’un tiers demande à ce qu’il ne soit pas procédé à la publication de mentions le concernant figurant dans une décision de sanction prononcée par la CNIL ou qu’il soit procédé à leur anonymisation, l’autorité est tenue de faire droit à cette demande. Elle a donc annulé la décision de rejet et a condamné la CNIL à verser 3000 euros au titre des frais irrépétibles.

Pour lire la décision sur Legalis.net

Avis du G29 sur les techniques d’anonymisation de données

Le 10 avril 2014, le G29 réunissant les « CNIL » européennes a rendu un avis relatif aux techniques d’anonymisation des données à caractère personnel. Dans son avis, le G29 rappelle que toute technique d’anonymisation doit être construite au cas par cas et adaptée aux types de traitements de données. Afin d’évaluer l’efficacité d’une technique d’anonymisation, le G29 préconise de procéder en trois étapes. Il vérifie (i) qu’il est impossible d’isoler un individu à partir de l’ensemble de données, (ii) qu’il est impossible de relier entre eux des ensembles de données distincts concernant un même individu, (iii) qu’il est impossible de procéder par déduction pour obtenir de l’information sur un individu. Si ces trois critères sont remplis, le G29 considère que l’ensemble de données est bien anonyme. Si au moins un des critères n’est pas rempli, une analyse détaillée des risques de ré-identification sera nécessaire pour juger de l'efficacité de la technique d'anonymisation.

Pour lire l’avis du G29 sur Europa.eu

Observation de la CNIL sur la levée de l’anonymat des personnes atteintes du VIH

La CNIL a émis une observation le 24 juin 2010 sur les modalités de mise en œuvre de la levée de l’anonymat prévues par l’arrêté du 8 juillet 2010 qui permet aux centres de dépistage du VIH et des infections sexuellement transmissibles de procéder, dans certaines conditions, à la levée de l’anonymat des consultants. Entre autres, la levée nécessite un intérêt thérapeutique pour la personne concernée et est facultative. La Cnil précise les données recueillies ainsi que les modalités de leur suppression. Pour lire les observations sur le site de la Cnil

Condamnation d’un médecin pour publication de photographies non floutées d’une patiente

Par une décision en date du 15 mars 2010, la Chambre disciplinaire nationale de l'ordre des médecins confirme la décision du 2 décembre 2008 prononcée par la chambre disciplinaire de première instance de l'Ordre des médecins d'Ile de France. Le médecin qui poste sur son site dédié à la chirurgie esthétique, la photographie non floutée du visage d'une patiente ayant subi une liposculpture du menton, se rend coupable de graves manquements aux obligations posées par les articles R. 4127-3 et R.4127-19 du code de la santé publique (interdiction d'utiliser les documents médicaux concernant les personnes soignées ou examinées et permettant leur identification et interdiction de pratiquer la publicité) ainsi que de violation du secret professionnel. La Chambre disciplinaire nationale confirme donc l'interdiction d'exercer la médecine pendant trois ans, dont un an ferme, prononcée en première instance.