AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées
S'agissant du recueil des coordonnées électroniques et des données de géolocalisation des participants :
Les participants qui ont consenti expressément à participer à la recherche seront invités à télécharger une application développée pour les besoins de l'étude, qui permettra la collecte des données de géolocalisation (GPS) de manière à déterminer une position inférieure à cinq mètres. Aux fins de la connexion à cette application, les coordonnées électroniques du participant seront recueillies.
Cette collecte a été justifiée scientifiquement dans le dossier de demande.
Les participants pourront interrompre ou suspendre la collecte des données de géolocalisation La collecte des données de géolocalisation prendra fin, pour chaque participant, après la collecte de soixante évènements (envoi d'image sur l'ordiphone du participant) et au plus tard au bout de trois semaines.
Durées de conservation en base active et en archivage
Les données de géolocalisation seront archivées jusqu'à la publication des résultats, et au plus tard pour une durée de trois ans, dès la fin du suivi du participant auquel elles se rapportent.
Les données de géolocalisation qui ne correspondent pas à l'envoi d'un évènement sont supprimées dès la fin de la phase de collecte, et au plus tard dans un délai de six mois à compter du début du suivi du participant auquel elles se rapportent.
Les coordonnées électroniques des participants sont supprimées dès la fin du suivi.
Autres données
Base active : trois ans
Archivage : deux ans.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE le CENTRE DE RECHERCHE EN NEUROSCIENCES DE LYON à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Est III du 16 juin 2025.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé) 
Des enregistrements vidéo et audio permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des représentants légaux des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes 
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
Durées de conservation en base active et en archivage 
Les enregistrements vidéo seront conservés pendant quatre ans puis détruits.
 
Autres données :
Base active : quatre ans
Archivage : quinze ans
AUTORISE le CENTRE HOSPITALIER REGIONAL DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité de protection des personnes Nord-Ouest IV du 23 septembre 2025.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé) 
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
Durées de conservation en base active et en archivage 
Les enregistrements vidéo seront conservés pendant un an puis détruits.
 
Autres données :
Base active : deux ans
Archivage : quinze ans
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 23 octobre 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Destinataire des données directement identifiantes
Un sous-traitant du responsable de traitement ainsi qu’un technicien d’études cliniques rattaché au responsable de traitement auront accès aux données administratives des participants (données nominatives, coordonnées électroniques et téléphoniques) ainsi qu’aux données de santé dans le cadre du suivi des participants.
Ces derniers en seront informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Modalités d’information
Les participants majeurs recevront une note d’information individuelle.
Les participants mineurs seront également individuellement informés. Par ailleurs, dans la mesure du possible, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur. Dans les conditions prévues à l’article 70 de la loi "informatique et libertés", en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au titulaire présent.
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées seront détruites à la fin du suivi des participants.
 
Autres données:
Base active: quatre ans
Archivage: quinze ans
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est IV du 29 octobre 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR 003, à l'exception des destinataires des données directement identifiantes. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Destinataire des données directement identifiantes
Un sous-traitant du responsable de traitement aura accès aux données administratives des participants (données nominatives, coordonnées électroniques et téléphoniques) ainsi qu’aux données de santé dans le cadre du suivi des participants. 
Ces derniers en seront informés. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Durées de conservation en base active et en archivage
 
Les données nominatives et les coordonnées seront détruites à la fin du suivi des participants.
 
Autres données:
Base active: cinq ans
Archivage: quinze ans
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Saisie d'une demande d'autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest IV du 30 janvier 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement des données cliniques avec celles du SNDS).
Par ailleurs, la CNIL relève que les modalités d'information des personnes concernées décrites dans le dossier ne sont pas conformes à la MR-001.
En dehors de ces points, qui font l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d'une base existante
Les participants seront tirés au sort par l'Institut national de la statistique et des études économiques (INSEE), à partir de la base de données dénommée "FIDELI" (Fichier démographique d'origine fiscale sur les logements et les personnes).
Catégories particulières de données traitées (autres que données de santé)
Les données de l'étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants.
Le dossier de demande mentionne que le circuit d'appariement sera conforme à la fiche pratique "Responsable de traitement" publiée par la CNIL.
Les données identifiantes (NIR, sexe et date de naissance complète des participants) seront transmises à la CNAM pour extraction des données du SNDS correspondantes.
Les données identifiantes devront être chiffrées et être transmises sous forme de fichiers chiffrés. Les algorithmes utilisés et les procédures de gestion de clés associées devront être conformes au référentiel général de sécurité (annexes B1 et B2) et aux recommandations correspondantes de l'ANSSI.
Des mesures de sécurité renforcées devront être mises en place pour protéger les tables de correspondance. Les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2025 à 2033, sous réserve qu'elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM
Les données traitées étant issues de bases composant le SNDS, l'ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l'espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes
S'agissant des personnes susceptibles d'être tirées au sort :
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l'étude d'une information relative au projet de recherche qui devra comporter l'ensemble des mentions prévues par le RGPD. Ces modalités d'information seront mises en œuvre avant la constitution des bases de données par l'INSEE permettant la réalisation du tirage au sort. Les personnes dont les données figurent dans FIDELI pourront s'opposer à ce qu'elles soient traitées dans le cadre du tirage au sort.
S'agissant des personnes tirées au sort : 
Elles recevront une note d'information individuelle par voie postale afin de leur proposer de participer à l'étude.
Cette dernière devra être complétée avant le début de l'étude afin de comporter l'ensemble des mentions prévues par le RGPD.
Durée d'accès
Données du SNDS : cinq ans à compter de la mise à disposition des données.
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l'appariement.
Les échantillons biologiques seront conservés pendant cinq ans au sein d'une collection d'échantillons biologiques puis détruits.
Autres données :
Base active : un an
Archivage : quinze ans.
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE LA RÉUNION  à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
N° de demande d’avis : 25013263
Thématiques : justice, établissements pénitentiaires, personnes écrouées
Organisme(s) à l’origine de la saisine : ministère de la justice
Fondement de la saisine :
Article 31 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Le traitement de gestion nationale des personnes détenues en établissement pénitentiaire (GENESIS) permet de gérer les conditions de prise en charge et l’ensemble des étapes du parcours pénitentiaire des personnes écrouées.
 
Ses finalités sont élargies et précisées par le projet de décret pour permettre notamment d’assurer la sécurité des victimes. La CNIL estime ces finalités légitimes.
 
Compte tenu du périmètre élargi et de la sensibilité des données 
pouvant être collectées, d’une part, et de l’augmentation du nombre de personnes susceptibles d’avoir accès aux données, d’autre part, des garanties supplémentaires devraient être prises pour notamment assurer la minimisation des données et la gestion des droits et habilitations. 
 
Par ailleurs, il conviendra de prendre les mesures nécessaires pour garantir l’effacement des données à l’issue des durées maximales de conservation prévues par le projet de décret.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 ;
Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A.Le contexte
 
Par le décret n° 2011-817 du 6 juillet 2011, l’administration pénitentiaire a été autorisée à créer un traitement de données à caractère personnel relatives aux personnes placées sous main de justice et écrouées, dénommé "gestion informatisée des détenus en établissement" (GIDE). Ce dispositif était mis en œuvre au sein de chaque établissement pénitentiaire ou établissement de santé habilité à recevoir des personnes détenues.
 
Le décret n° 2014-558 du 30 mai 2014 portant création d’un traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire a mis fin au dispositif GIDE pour le remplacer par un nouvel applicatif (v. CNIL, SP, 11 décembre 2013, avis sur projet de décret, GENESIS, n° 2013-405, publié).
 
Le décret n° 2022-479 du 30 mars 2022 a codifié à droit constant dans le code pénitentiaire les dispositions encadrant ce traitemen, sous les articles R. 240-1 à R. 240-9.
 
B. L’objet de la saisine