CE – M. D… C… – 449694

CE – M. D… C… – 449694

Décision

Autorité:
Conseil d'Etat
Numéro:
449694
Nom:
M. D… C…
Date:
22 juillet 2022
Pays:
France
Lien:
Cliquer ici

Contexte

Il résulte de l'instruction qu'à la suite du signalement sur le site internet " 01net.com " de l'existence, dans différents pays, de serveurs informatiques d'imagerie médicale en libre accès, les services de la Commission nationale de l'informatique et des libertés (CNIL) ont procédé les 20 et 24 septembre 2019 à des contrôles en ligne qui ont confirmé le caractère librement accessible de telles données par des serveurs localisés en France.

Après avoir obtenu l'identité et les coordonnées des adresses IP afférentes, la délégation de contrôle de la CNIL a, par un courrier électronique du 8 octobre 2019, notamment, notifié à M. C..., chirurgien orthopédiste, le contrôle en ligne qu'elle avait effectué, après l'avoir informé du caractère librement accessible des images médicales de ses patients à partir de l'adresse IP de son serveur.

Par un courrier électronique du 9 octobre 2019, M. C... a répondu avoir pris les mesures nécessaires pour mettre fin à la violation constatée. La formation restreinte de la CNIL a, par une délibération en date du 3 décembre 2020, prononcé à l'encontre de M. C... une amende administrative de 3 000 euros au titre des manquements constatés aux articles 32 et 33 du règlement du 27 avril 2016. M. C... demande l'annulation de cette délibération.


Apport(s)

Obligation du responsable du traitement de notifier à la CNIL une violation de données à caractère personnel - Portée
  • Extrait(s) pertinent(s)4. [...] Il résulte du [paragraphe 1 de l'article 33 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD)] que l'obligation de notifier à la Commission nationale de l'informatique et des libertés (CNIL) une violation de données à caractère personnel susceptible de faire naître un risque pour les droits et libertés des personnes physiques ne s'impose pas au responsable du traitement dans le cas où la CNIL l'a elle-même informé de cette violation et a engagé son contrôle sur la base des informations portées à sa connaissance par ailleurs.
  • Article(s) du RGPD Article 33 – Notification à l’autorité de contrôle d’une violation de données à caractère personnel
  • Fait référence à
  • Autres informations


Références

Cette décision cite...

Cette décision est citée par...

Signaler une erreur / Faire une suggestion
Retour en haut