AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes et des coordonnées téléphoniques et électroniques (suivi à domicile dématérialisé et suivi centralisé).
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
S’agissant de la collecte des données nominatives et des coordonnées électroniques et téléphoniques :
La collecte des nom, prénom ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer le suivi des patients qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Sur instruction du responsable du traitement, et à des fins de maintenance et support technique de la plateforme de suivi, le sous-traitant pourra accéder à ces données, de façon temporaire. 
 
S’agissant des données liées à l’utilisation d’une plateforme de suivi en ligne et d’une application mobile :
Les données techniques ayant un caractère personnel liées à l’usage de la plateforme de recueil des données de l’étude (à savoir traceur, adresse IP, identifiant mobile et logs) sont traitées par le sous-traitant uniquement pour assurer le bon fonctionnement de la plateforme.
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude et de leur propre participation. Cette note devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom) ainsi que des coordonnées téléphoniques et électroniques seront détruites à la fin du suivi des participants.
 
Autres données :
Base active : quatre ans
Archivage : quinze ans.
 
AUTORISE le 
centre hospitalier universitaire de Nantes à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 30 septembre 2024
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes 
La collecte des nom, prénom ainsi que des coordonnées (téléphoniques et électroniques) est nécessaire pour la réalisation du volet qualitatif de l’étude par un chargé d’études en sciences humaines et sociales. Les patients en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information des personnes
Tous les participants recevront une note d’information individuelle.
Durées de conservation en base active et en archivage
Les enregistrements vocaux réalisés dans le cadre de l’étude seront détruits dès retranscription.
Les données nominatives et les coordonnées du patient seront détruites à la fin du suivi. 
 
Autres données : 
Base active : cinq ans.
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
La Commission nationale de l’informatique et des libertés, 
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; 
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest II du 16 juillet 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’accès aux données du SNDS (SNIIRAM, PMSI et CépiDc) collectées durant l’année 2026. La profondeur historique totale des données du SNDS traitées dans le cadre de cette étude sera donc de 2021 à 2026.
Les autres modalités de mise en œuvre de l’étude restent inchangées.
 
AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE MARSEILLE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 février 2025.
Modification du traitement envisagé
Seul l’INSERM sera désormais responsable de traitement dans le cadre de cette étude.
Les autres conditions de mise en œuvre de ce projet de recherche restent inchangées. 
 
AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud Méditerranée II du 4 octobre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit l’utilisation d’une solution de contrôle qualité à distance. 
Cela implique que le sous-traitant puisse être destinataire de certaines données administratives d’identification des participants (nom, prénom, date de naissance complète et coordonnées).
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Mesures de sécurité
La solution technique permettant le contrôle qualité à distance consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les données nécessaires au contrôle qualité à distance par les attachés de recherche clinique du promoteur.
Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’"envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée". La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé.
L’envoi des documents sur la plateforme utilisera un mode "boîte aux lettres", sans possibilité de consultation et de modification de documents, où les utilisateurs externes des centres investigateurs pourront uniquement envoyer leurs documents sans aucune possibilité d’y accéder ensuite. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification comprenant au moins deux facteurs d’authentification différents.
Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. 
Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs.
Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés.
Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les données, en plus d’être chiffrées, disposeront d’une protection pour empêcher l’impression, la copie, la capture ou l’exportation de ces données. 
Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation.
Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer certaines données à caractère personnel des participants à l’étude en Israël, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat conformément aux dispositions de l’article 45 du RGPD.
Durées de conservation en base active et en archivage
Les données administratives d’identification sont conservées 72 heures sur la plateforme dédiée au contrôle qualité à distance, puis détruites.
Autres données :
Base active : cinq ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE la société SONIVIE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitants 
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Avis du comité
Avis favorable du Comité de protection des personnes Est I du 14 mars 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes en raison d’un suivi dématérialisé. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires données directement identifiantes
Le responsable de traitement prévoit d’étudier l’efficacité des outils numériques suivants, proposés notamment via une application mobile dédiée : 
un accès libre à du contenu éducatif thérapeutique ;
un programme thérapeutique en ligne sur l’application ;
un coaching guidé à travers le contenu de l'application, avec des appels hebdomadaires par des professionnels de santé ne participant pas à la prise en charge des participants, via une solution électronique d’appels téléphoniques. 
 
Afin d’évaluer l’efficacité de ces outils, les participants devront remplir à plusieurs reprises des questionnaires de suivi sur une plateforme en ligne. Les utilisations de l’application seront tracées et les appels téléphoniques seront enregistrés, retranscrits et supprimés directement après analyse. Un appel final, non enregistré, permettra de recueillir le retour d’expérience des participants.
La collecte des noms, prénom ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer l’accès à l’application mobile et le suivi des patients via la plateforme en ligne, qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra être complété avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD.
Mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données (AIPD) spécifique à l’étude. Cette AIPD intègre de manière détaillée les différentes étapes du traitement et les sous-traitants impliqués (application mobile, plateforme téléphonique, plateforme de suivi par questionnaires).
Les mesures de sécurité décrites dans le dossier de demande devront répondre aux exigences prévues par le f) du 1 de l’article 5 et l’article 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom) ainsi que les coordonnées téléphoniques et électroniques seront détruites à la fin du suivi des participants.
 
Autres données :
Base active : trois ans
Archivage : quinze ans.
 
AUTORISE l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest III du 21 octobre 2021.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et qu’à la suite d’une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec celles du SNDS).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2022 à 2025, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique).
Information et droits des personnes
Tous les participants seront individuellement informés du traitement de leurs données issues du SNDS.
Durée d’accès aux données du SNDS
Les échantillons biologiques prélevés seront détruits à la fin de l’étude.
 
Données du SNDS : quatre ans à compter de la mise à disposition des données.
Réutilisation des données
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE 
LE CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 avril 2025. 
Point de non-conformité à la méthodologie de référence concernée