Fuite De Données De Santé : La CNIL Sanctionne Le Sous-traitant Dedalus

Le 21 avril 2022, la Commission Nationale de l'Informatique et des Libertés (CNIL), a sanctionné un sous-traitant à hauteur de 1,5 millions d'euros suite à une divulgation massive de données de santé, révélée en 2021.

La Commission a estimé que le leader européen des systèmes de gestion de laboratoire (SIL) a contribué, par négligence, à la violation de données de santé de plus de 500 000 patients.

Pour calculer le quantum de l'amende, la CNIL relève notamment un manquement à l'obligation d'assurer la sécurité des données¹ et à l'obligation d'agir sur instructions du responsable de traitement².

L'originalité de cette décision réside dans la sanction du sous-traitant pour défaut d'encadrement contractuel des traitements de données³. La Commission reconnait la responsabilité du sous-traitant sur le fondement de l'article 28 du RGPD pour n'avoir pas intégré, par défaut, les mentions obligatoires au sein de ses contrats standards. Cette décision s'inscrit