L'autorité espagnole de protection des données a sanctionné le service de santé régional des Asturies pour avoir maintenu un processus de traitement de données de santé sur support papier et par courriel non sécurisé, malgré la disponibilité de systèmes électroniques adéquats, et pour avoir omis de réaliser une analyse d'impact pour ce traitement à haut risque.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre du Service de Santé de la Principauté des Asturies (SESPA) pour des manquements en lien avec la sécurité du traitement et l'absence d'analyse d'impact relative à la protection des données.

L'affaire trouve son origine dans une plainte déposée en mai 2024, dénonçant les modalités de gestion des demandes d'autorisation de traitements médicaux individualisés, qui impliquaient la circulation de rapports cliniques détaillés sur support papier et par courriel.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que, bien que le SESPA dispose d'un système de dossier médical électronique et d'une plateforme de partage de fichiers sécurisée, le processus d'autorisation des traitements individualisés reposait encore sur la transmission de rapports cliniques en format papier. Ces documents, contenant des données de santé sensibles, étaient transmis entre différents services avant d'être numérisés et envoyés par courriel, sans pseudonymisation. L'autorité a jugé ces mesures insuffisantes pour garantir un niveau de sécurité approprié au risque, soulignant que des incidents tels que la perte ou l'égarement de demandes (parmi les 1 755 traitées en 2023) démontraient l'inefficacité des mesures en place. Se référant à l'arrêt de la Cour de Justice de l'Union Européenne C-340/21, l'autorité a rappelé que l'adoption de mesures de sécurité doit être effective et garantir concrètement que les données ne soient ni perdues ni accessibles à des personnes non autorisées.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a estimé que le traitement des données de santé pour l'évaluation de traitements individualisés constituait un traitement à haut risque pour les droits et libertés des personnes, notamment en raison de la nature sensible des données et du volume traité, ce qui rendait obligatoire la réalisation d'une analyse d'impact. Le SESPA a justifié l'absence de cette analyse en s'appuyant sur une évaluation des risques qui concluait à un niveau de risque faible. Cependant, l'AEPD a rejeté cet argument, jugeant l'analyse des risques fournie comme étant fondamentalement viciée car elle omettait de prendre en compte la catégorie spéciale des données traitées (données de santé), un élément pourtant déterminant dans l'appréciation du niveau de risque. L'autorité a rappelé, en s'appuyant sur les considérants 84 et 90 du RGPD, que cette analyse doit être menée avant le début du traitement pour évaluer la gravité du risque et définir les mesures pour y faire face.

Décision de l'autorité

En conséquence, l'autorité a déclaré que le Service de Santé de la Principauté des Asturies a enfreint les articles 32 et 35 du RGPD.

En outre, l'autorité a ordonné au SESPA de mettre en œuvre, dans un délai de trois mois, des mesures techniques et organisationnelles appropriées pour sécuriser le traitement et de réaliser l'analyse d'impact relative à la protection des données requise.

Enseignements

Cette décision rappelle que :

• La simple existence de systèmes d'information sécurisés ne suffit pas à garantir la conformité ; le responsable de traitement doit s'assurer que les processus opérationnels en place utilisent effectivement ces systèmes et que les flux de données non sécurisés, notamment sur support papier, sont éliminés.
• Une analyse des risques servant de base pour décider de ne pas mener une analyse d'impact doit impérativement et explicitement prendre en compte la nature et la sensibilité des données traitées. Omettre de considérer qu'il s'agit de données de santé invalide la conclusion de l'analyse.
• La matérialisation des risques, telle que la perte ou l'égarement de documents, constitue la preuve tangible de l'inadéquation des mesures de sécurité mises en place par le responsable de traitement.