AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (chaînage des données cliniques avec celles du Système national des données de santé (SNDS)).
En dehors de ce point, qui fera l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé)
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF sans NIR publiée par la CNIL. A cet égard, les données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI. 
Années concernées : 2024 à 2029, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM. 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD. 
Durées d’accès et de conservation des données
Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
 
Données du SNDS : trois ans à compter de la mise à disposition des données.
 
Autres données : 
Base active : dix ans. 
Archivage : vingt-cinq ans. 
 
 
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France II du 24 juin 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (chaînage des données cliniques avec celles du Système national des données de santé (SNDS)) et des modalités d’information des personnes.
En dehors de ces points, qui feront l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé)
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF sans NIR publiée par la CNIL. A cet égard, les données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI. 
Années concernées : 2024 à 2027, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM. 
Information et droits des personnes
 
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale devra être systématiquement transmise à la femme enceinte participant à l’étude et elle sera invité à la lui transmettre.
Les notes d’information devront comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
Durées d’accès et de conservation des données
Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
 
Données du SNDS : trois ans à compter de la mise à disposition des données.
 
Autres données : 
Base active : cinq ans. 
Archivage : quinze ans. 
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest IV du 9 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement envisage de recueillir le consentement des participants par voie dématérialisée au moyen d’une signature électronique. Le sous-traitant mettant à disposition la solution sera destinataire de certaines données administratives d’identification des participants (nom, prénom et coordonnées électroniques), ainsi que du contenu de la note d’information et du formulaire de consentement mentionnant leur pathologie.
Il appartient au responsable de traitement de de s’assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Mesures de sécurité
Le responsable de traitement a transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet HOME-BRAC .
Afin d’assurer la confidentialité des informations sensibles échangées entre le personnel des centres investigateurs et les participants à l’étude :
les sessions ne seront pas enregistrées par la solution de télésoin ;
les accès aux données, pour les professionnels et les participants, devront se faire via une authentification multifacteur.
Les données de l’étude seront stockées chez un hébergeur certifié hébergeur de données de santé . Les solutions de télésoin et de suivi patient, permettant la saisie de questionnaires, ne contiendront que des données pseudonymisées. Les données devront être cloisonnées par rapport à celles issues de la solution de consentement électronique.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer au Royaume-Uni certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 28 juin 2021, ces transferts peuvent s’effectuer sans encadrement spécifique.
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées électroniques seront détruites après la signature du formulaire de consentement pour participer à l’étude.
 
Autres données :
Base active : sept ans
Archivage : quinze ans.
 
AUTORISE la société PHYSIO-ASSIST à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Philippe-Pierre CABOURDIN, président, Vincent LESCLOUS, vice-président, Madame Laurence FRANCESCHINI et Messieurs Bertrand DU MARAIS et Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2022-104C du 21 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société KASPR ;
Vu le rapport de Monsieur Fabien TARISSAN, commissaire rapporteur, notifié à la société KASPR le 3 mai 2024 ; 
Vu les observations écrites versées par le conseil de la société KASPR le 13 juin 2024 ;
Vu la réponse du rapporteur à ces observations signifiée par commissaire de justice à la société KASPR le 12 juillet 2024 ;
Vu les observations écrites versées par le conseil de la société KASPR, reçues le 19 août 2024 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 19 septembre 2024 :
- Monsieur Fabien TARISSAN, commissaire, entendu en son rapport ;
 
En qualité de représentants de la société KASPR :
- […].
 
La société KASPR ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
 
1. Créée en 2018, la société KASPR (ci-après " la société "), a son siège basé au 38 rue Dunois à Paris (75013), ses bureaux opérationnels sont situés au 198 avenue de France à Paris (75013). La société emploie 32 salariés. Elle a réalisé un chiffre d’affaires d’environ […] euros en 2021, […] euros en 2022, et […] euros en 2023.
 
2. La société KASPR développe et commercialise une extension (ci-après " l’extension KASPR ") disponible à partir du site " kaspr.io " et fonctionnant sur le navigateur CHROME, qui permet à ses utilisateurs d’obtenir les coordonnées professionnelles de personnes dont ils visitent le profil sur le réseau social LinkedIn.
3. Le 28 juillet 2022, faisant suite à plusieurs saisines, et en vertu de la décision n° 2022-104C du 21 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission "), les services de la Commission ont effectué un contrôle sur audition des représentants de la société.
 
4. Ce contrôle avait pour objet de vérifier la conformité des traitements de données à caractère personnel mis en œuvre par la société KASPR aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après " le RGPD " ou " le Règlement "), de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après " loi Informatique et Libertés ") et, le cas échéant aux dispositions des articles L251-1 et suivants du code de la sécurité intérieure.
 
5. Par courrier électronique du 9 août 2022, la société a fait parvenir à la CNIL plusieurs documents et éléments de réponse sollicités par les services de la Commission dans le cadre des investigations.
 
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 8 avril 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
7. Le 3 mai 2024, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. 
 
8. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction de mettre en conformité le traitement avec les articles 5, 6, 12, 14 et 15 du RGPD, assortie d’une astreinte à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
9. Par courrier électronique du 17 mai 2024, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse, qui lui a été accordé le 23 mai suivant, sur le fondement de l’article 40, alinéa 4 du décret du 29 mai 2019.
 
10. Le 13 juin 2024, la société a produit des observations en réponse au rapport du rapporteur.
 
11. Le 12 juillet 2024, le rapporteur a répondu aux observations de la société.
 
12. Le 19 août 2024, la société a présenté de nouvelles observations en réponse.
 
13. Par courrier du 6 septembre 2024, la société a reçu une convocation à la séance de la formation restreinte du 19 septembre suivant.
14. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 19 septembre 2024.
 
I. Motifs de la décision
 
A. Sur le traitement en cause
 
15. L’outil KASPR est une extension pour le navigateur CHROME qui, lors de la visite du profil d’une personne sur LinkedIn, affiche les coordonnées professionnelles (numéro de téléphone et adresse électronique) de personnes physiques qui figurent dans la base de données KASPR. Pour accéder à ce service, l’utilisateur doit acheter et dépenser des " crédits " permettant d’afficher les coordonnées de la personne souhaitée (la personne cible). Le nombre de crédits dont bénéficie l’utilisateur est déterminé par le prix de son abonnement, qui peut être mensuel ou annuel. 
 
16. En l’espèce, la formation restreinte relève que la société traite les données à caractère personnel de deux catégories distinctes de personnes :
- les personnes cibles, c’est à dire les personnes dont les coordonnées professionnelles ont été collectées par la société à partir de différentes sources, dont le réseau social LinkedIn et versées dans sa base de données ; 
- les utilisateurs de l’extension KASPR, c’est-à-dire les clients de la société dont l’abonnement permet de visiter les profils LinkedIn des personnes cibles afin, notamment, d’obtenir leurs coordonnées professionnelles.
17. La finalité de l’extension KASPR est de permettre à ces utilisateurs de contacter les personnes cibles, par exemple pour de la prospection commerciale, du recrutement ou de la vérification d’identité, grâce aux coordonnées de professionnels obtenues. Les seules données pouvant être affichées par l’extension lors de la visite d’un profil LinkedIn sont le numéro de téléphone et l’adresse de courriel. Les données collectées concernant les données de contacts des personnes cibles sont les nom, prénom, adresse de courriel, numéro de téléphone, URL du profil LinkedIn ou autres réseaux sociaux, employeur, entreprise, intitulé du poste, compétences, intérêt professionnel, carrière, date d’embauche et de fin de poste, formation, lieu de travail, source de la donnée et date de la collecte 
 
18. La formation restreinte observe que la société collecte les données par le biais de trois sources :
 
- des " fournisseurs " collectant eux-mêmes des données à partir de sources professionnelles publiquement accessibles comme LinkedIn, Whois, GitHub ; 
- les annuaires des registres de noms de domaines, qui permettent de rechercher des informations sur un nom de domaine déjà existant et son titulaire ;
- l’import des contacts LinkedIn d’un utilisateur lors de l’activation de KASPR. Les utilisateurs KASPR synchronisent l’extension KASPR avec leur compte LinkedIn. La délégation a été informée que cela permet de récupérer les coordonnées disponibles sur LinkedIn des contacts directs des utilisateurs mais qui ne sont pas forcément visibles par l’intégralité des visiteurs du site LinkedIn. L’extension KASPR permet ainsi de rendre disponibles, dans la base de données KASPR, des données que les contacts LinkedIn des utilisateurs de KASPR souhaitaient limiter à leurs seuls contacts au sein du réseau social professionnel.
 
19. Environ 160 millions de contacts figurent dans la base de données constituée par la société, dont précisément […] au sein de l’Union Européenne, de la Norvège, de l’Islande et du Liechtenstein, l’origine géographique étant déterminée par l’adresse du lieu de travail. 
 
B. Sur la compétence de la CNIL et l’application du mécanisme de cohérence
 
20. L’article 3, paragraphe 1 du RGPD dispose que " Le présent règlement s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union ".
21. Aux termes de l’article 56, paragraphe 1, du Règlement, " l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 ".
 
22. Les critères permettant de déterminer si une autorité de contrôle est concernée sont fixés par l’article 4 (22) du RGPD qui dispose qu’une autorité est " concernée par le traitement de données à caractère personnel parce que :
a) le responsable du traitement ou le sous-traitant est établi sur le territoire de l'État membre dont cette autorité de contrôle relève ;
b) des personnes concernées résidant dans l'État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l'être ; ou
c) une réclamation a été introduite auprès de cette autorité de contrôle ".
 
23. Le rapporteur considère qu’en application de l’article 3, paragraphe 1 du RGPD, dès lors que les activités du responsable de traitement ont lieu sur le territoire de l’Union, les obligations contenues dans le RGPD s’appliquent pour toutes les personnes concernées par ledit traitement, que celles-ci soient localisées au sein de l’Union européenne ou non.
24. Par ailleurs, le rapporteur considère que, dès lors que la délégation de la CNIL a constaté la présence dans la base de données KASPR de données à caractère personnel de personnes localisées en Suède, en Hongrie et dans le land de Saxe, ces autorités sont concernées.
 
25. En défense, si la société ne conteste pas la qualité d’autorité compétente de la CNIL pour connaître de la conformité au RGPD du traitement en cause, elle soutient que la CNIL n’est pas compétente pour se prononcer, en tant qu’autorité chef de file, sur la conformité au RGPD des traitements des données à caractère personnel des personnes situées en Hongrie, en Suède et dans le land de Saxe dès lors que ces autorités se sont déclarées non concernées. S’agissant ensuite du champ d’application territoriale du RGPD, la société considère que dans l’évaluation du nombre de personnes concernées par les manquements qui lui sont reprochés, ne peuvent pas être pris en compte les personnes localisées en dehors de l’Union Européenne. La société soutient que dans son arrêt du 24 septembre 2019, la Cour de justice de l’Union européenne a considéré à l’occasion d’une question préjudicielle relative à la portée territoriale du droit au déréférencement que le RGPD ne pouvait produire d’effet que sur le territoire de l’Union européenne (CJUE, grande chambre, 24 septembre 2019, Google, n°C-507/17).