Le 31 janvier, la CNIL a publié un communiqué de presse faisant état de son bilan de l’année 2022. Elle précise à cette occasion que les tendances de 2021 se sont confirmées en 2022.
Pour résumer en quelques chiffres :
-> 21 sanctions prononcées dont 13 rendues publiques
-> manquements fréquents : défaut d’information, non-respect des droits des personnes, défaut de coopération avec la CNIL
-> un tiers des décisions sanctionnent un défaut de sécurisation des données
-> 4 sanctions concernent une mauvaise gestion des cookies
-> 3 sanctions concernent la prospection commerciale
La CNIL met aussi en exergue sa coopération avec ses homologues européens dans plusieurs affaires, notamment l’affaire META
Au cours de l’année 2022, la CNIL a également envoyé de nombreuses mises en demeures (147) pour différents sujets de mise en conformité dont notamment
->obligation de désigner un DPO,
-> prospection commerciale,
-> transmission de données à des partenaires commerciaux,
-> transfert de données vers les Etats-Unis,
-> sécurisation des données,
-> … etc.
Consultez ici le communiqué de la CNIL : la CNIL présente le bilan 2022 de son action répressive
Le 15 décembre 2022, la Cour d’appel de Nîmes a rendu une décision concernant un contrat d’abonnement à un logiciel de télétransmission de feuilles de soins aux caisses et mutuelles dont l’éditeur ne bénéficiait pas de la certification HDS.
En l’espèce, une infirmière libérale ayant souscrit à cet abonnement a constaté que son éditeur ne bénéficiait pas de la certification HDS. En effet, ce dernier sous-traite, depuis plusieurs années, l’hébergement des données à OVH qui n’a reçu que très récemment l’agrément à l’hébergement de données de santé.
L’éditeur du logiciel de télétransmission fonde sa défense sur le fait qu’il n’héberge pas les données de santé mais qu’il les achemine vers une société tierce.
Or, et comme le rappelle la Cour d’appel, d’une part, un éditeur d’un logiciel de télétransmission doit être agréé s’il héberge des données de santé. S’il sous-traite cet hébergement, son sous-traitant doit être lui-même agréé. D’autre part, la Cour déduit que la télétransmission de données de santé est indissociable de leur hébergement sur un support physique de stockage de données.
Par conséquent, l’éditeur devait être en mesure de fournir un hébergement conforme aux règles de protection des données de santé à caractère personnel. Ainsi, la Cour d’appel décide que le contrat est illicite et prononce sa nullité.
Cette décision ayant pour effet d’obliger l’éditeur à rembourser à l’utilisateur l’intégralité des redevances qu’il a perçues, nous ne saurons que trop recommander aux OCAM et à leurs différents sous-traitants (concentrateurs TP, sociétés de Cloud, gestionnaires délégués, …) de vérifier la qualification HDS des plateformes de stockage auxquelles ils ont recours.
En effet, cette décision interroge sur les possibilités de remise en cause des différentes conventions qui peuvent être conclues à l’occasion d’une opération d’assurance santé y compris les contrats d’assurance eux-mêmes.
Consultez ici l’intégralité de la décision : CA Nîmes, 15 décembre 2022, n°21/01215
Par un communiqué du 24 janvier dernier, l’ANSSI a publié son panorama sur les grandes tendances de la menace cyber pendant l’année 2022. Nous pourrons y constater notamment :
-> la poursuite de la convergence des outils et technique des différents profils d’attaquant ainsi que l’évolution de leur ciblage, notamment le ciblage des équipements périphériques ;
-> la propagation de la menace par rançongiciel, notamment contre les TPE, PME (40 % ), les collectivité territoriales (23 %) et les établissements publics de santé (10 %) ;
-> l’augmentation des attaques par sabotage informatique en lien avec l’invasion russe de l’Ukraine;
-> le maintien de différentes faiblesses dans la sécurisation des données, notamment en cas d’externalisation des services auprès des entreprises de services numériques, laquelle n’est pas accompagnée par des clauses de cyber sécurité adaptées. Ce qui augmente l’opportunité de menaces informatiques ;
-> le rappel aux organismes publics et privés de prendre le risque cyber au juste niveau et d’adopter les bonnes mesures pour se protéger contre ce risque. Il s’agit notamment de la mise à jour du guide d’hygiène informatique, de la sensibilisation du personnel sur ce risque et du développement de capacités de détection et de traitement d’incident permettant de se prémunir des menaces les plus courantes.
Consultez ici l’intégralité du document : ANSSI : Panorama de la Cybermenace 2022
