Cookies, traceurs et vigilances sanitaires : la CNIL précise ses règles

Deux délibérations importantes de la CNIL, publiées au Journal officiel du 18 juillet 2019, précisent le cadre applicable aux cookies, aux traceurs et aux traitements de données personnelles liés aux vigilances sanitaires.

La première délibération, n°2019-093 du 4 juillet 2019, adopte de nouvelles lignes directrices relatives aux opérations de lecture et d’écriture dans le terminal d’un utilisateur, notamment les cookies et autres traceurs. Elle abroge la recommandation de la CNIL du 5 décembre 2013 et tient compte de la directive ePrivacy ainsi que des lignes directrices du Comité européen de la protection des données sur le consentement.

Ces lignes directrices s’appliquent à toute opération consistant à accéder à des informations déjà stockées dans le terminal d’un utilisateur ou à y inscrire des informations, quels que soient le système d’exploitation, le navigateur, le logiciel ou le terminal utilisé. Elles concernent donc l’ensemble des acteurs utilisant des cookies, traceurs publicitaires, outils de mesure d’audience ou dispositifs similaires.

La CNIL rappelle que les traceurs soumis au consentement ne peuvent être déposés ou lus qu’après un consentement libre, spécifique, éclairé et univoque, exprimé par une déclaration ou un acte positif clair. Les responsables de traitement doivent pouvoir démontrer que le consentement de l’utilisateur a été valablement recueilli. Lorsque le consentement est collecté par un tiers, une simple clause contractuelle ne suffit pas à satisfaire cette obligation de preuve.

La seconde délibération, n°2019-057 du 9 mai 2019, adopte un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires. Ce référentiel précise notamment les règles applicables aux traitements de données dans le cadre de la pharmacovigilance, matériovigilance, réactovigilance ou autres dispositifs de surveillance sanitaire.

La CNIL apporte des précisions sur les durées de conservation des données de vigilance sanitaire, qui peuvent aller jusqu’à 70 ans à compter du retrait du marché du médicament, du dispositif ou du produit concerné, en l’absence de durée légale ou réglementaire spécifique. Elle rappelle également l’importance du recours à un hébergeur de données de santé agréé ou certifié HDS lorsqu’un prestataire extérieur intervient dans l’hébergement des données.

Ces deux délibérations s’inscrivent dans une logique de conformité RGPD, de responsabilisation des acteurs et de sécurisation des traitements de données personnelles, qu’il s’agisse de la gestion du consentement aux cookies ou du traitement de données sensibles dans le secteur de la santé.