Fuite de données de santé : sanction de 1,5 million d’euros à l’encontre de la société DEDALUS BIOLOGIE
Dans sa décision du 15 avril 2022, la CNIL sanctionne la société DEDALUS BIOLOGIE à hauteur de 1,5 million d’euros en raison de défauts de sécurité ayant conduit à la fuite de données médicales de 500 000 personnes.
En février 2021, une fuite de donnée concernant près de 500 000 personnes a été révélée. Les nom, prénom, numéro de sécurité sociale, nom du médecin, date d’examen et surtout des informations médicales (VIH, cancers, maladies génétiques, grossesses, traitements médicamenteux suivis par le patient, ou encore des données génétiques) de ces personnes ont ainsi été diffusés sur internet.
La CNIL a donc effectué des contrôles auprès de la société DEDALUS BIOLOGIE qui commercialise des solutions logicielles pour des laboratoires d’analyse médicale. Elle a constaté que cette dernière avait manqué à plusieurs obligations prévues par le RGPD, en particulier à l’obligation d’assurer la sécurité des données personnelles.
La CNIL relève ainsi un manquement à l’obligation pour le sous-traitant de respecter les instructions du responsable de traitement (art. 29 RGPD) puisque les données migrées entre le laboratoire et le logiciel étaient plus importantes que prévues.
La CNIL constate également un manquement à l’obligation d’assurer la sécurité des données personnelles (art. 32 RGPD) du fait des nombreux manquements techniques et organisationnels en matière de sécurité de la société DEDALUS BIOLOGIE (absence de chiffrement, d’effacement automatique, de procédure spécifique de migration…).
Enfin, la CNIL relève un manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement (art. 28 RGPD) puisque les conditions générales de vente de la société DEDALUS BIOLOGIE et les contrats de maintenance transmis ne contiennent pas les mentions prévues par l’article 28-3 du RGPD.
Ainsi, la formation restreinte de la CNIL a prononcé une amende de 1,5 million d’euros. Ce montant a été décidé au regard de la gravité des manquements retenus et en prenant en compte le chiffre d’affaires de la société DEDALUS BIOLOGIE.
Elle a également décidé de rendre publique sa décision.
Délibération SAN-2022-009 du 15 avril 2022
