AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France V du 25 juin 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
 
 
 
 
Dans l’hypothèse où le patient ne serait pas en état de recevoir l’information avant son inclusion, celle-ci sera délivrée, dès que possible, à son représentant désigné légalement. 
Dès lors que son état de santé le permettra, le patient sera informé de son inclusion dans l’étude et de ses droits. 
Le patient ou, le cas échéant, son représentant désigné légalement sera informé de son droit de s'opposer à l'utilisation des données recueillies dans le cadre de l'essai clinique.
Durée de conservation en base active et en archivage
Base active : quatre ans.
Archivage : vingt-cinq ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE RENNES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité National d'Ethique pour la Recherche en Santé du Ministère de la santé et de l’action sociale de la République du Sénégal du 6 mai 2024.
Points de non-conformité à la méthodologie de référence concernée
Les participants à la présente étude sont inclus au Sénégal.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, de la nature des données collectées et d’autre part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Par ailleurs, il est pris acte de l’engagement des responsables de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Catégories particulières de données traitées (autres que données de santé)
D’une part, les coordonnées des lieux d’habitation des participants seront collectées afin de réaliser une analyse spatiale des cas de paludisme et du portage du parasite du paludisme dans la population d’étude.
D’autre part, des enregistrements vocaux susceptibles de permettre l’identification des personnes se prêtant à la recherche seront réalisés. Le consentement des participants sera recueilli à cette fin.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
 
S’agissant de l’inclusion de mineurs :
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur et de leur propre participation à l’étude.
Les mineurs participant à l’étude recevront une note d’information individuelle.
Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information.
Transferts hors Union européenne
Les responsables de traitement prévoient de transférer certaines données pseudonymisées des participants à l’étude au Sénégal.
Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD.
Les responsables de traitement envisagent d’encadrer le transfert de données au Sénégal par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021.
Il leur incombe d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Sénégal afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Les responsables de traitement sont également tenus de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Durées de conservation en base active et en archivage
Les échantillons biologiques seront conservés pendant dix ans puis détruits.
Les enregistrements audios seront conservés pendant trois mois, le temps de leur retranscription, puis détruits.
Autres données :
Base active : huit ans
Archivage : vingt-cinq ans.
Réutilisation des données et échantillons biologiques
Toute recherche, étude ou évaluation mise en œuvre à partir des données recueillies devra faire l’objet de formalités préalables auprès de la CNIL.
 
AUTORISE l’INSTITUT DE RECHERCHE POUR LE DEVELOPPEMENT, l’UNIVERSITE IBA DER THIAM DE THIES et l’UNIVERSITE CHEIKH-ANTA-DIOP DE DAKAR à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec celles du Système national des données de santé (SNDS), ainsi que des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur la Plateforme des données de santé
D’une part, le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) interviendra dans le cadre de l’extraction des données du SNDS depuis le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS. Seules les données strictement nécessaires et pertinentes au regard des objectifs décrits dans le protocole de recherche seront ciblées puis extraites depuis le portail de la CNAM par le GIP PDS. Tous les filtrages de données seront réalisés en amont de la transmission des données vers la solution technique du GIP PDS. La vérification de la concordance entre les données nécessaires à la mise en œuvre des traitements décrits dans le dossier et les données extraites sera effectuée en lien avec la CNAM.
D’autre part, le GIP PDS assurera l’hébergement pour l’analyse des données de l’étude et facilitera leur appariement avec les données du SNDS via son service "Concentrateur".
S’agissant de ces opérations de traitement, la CNIL estime que le GIP PDS interviendra en qualité de sous-traitant.
La répartition des rôles et responsabilités entre le CHU de Bordeaux et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée entre les deux parties, conformément à l’article 28 du RGPD.
Nature des données traitées
S’agissant des bases de données réutilisées dans le cadre de l’étude :
Seront réutilisées dans le cadre de la présente étude :
les données de la cohorte AVC ischémique issue de la base de données de l’Observatoire des AVC en Nouvelle Aquitaine ("ObA2") (demande d’autorisation n° 2216283) ;
les données de la cohorte "TALENT-RETRO" (dont le traitement a été mis en œuvre dans le cadre d’une déclaration de conformité à la MR-004).
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS :
probabiliste s’agissant des données de la cohorte "ObA2";
par l’utilisation du NIR, du sexe et de la date de naissance complète des participants s’agissant des données de la cohorte "TALENT-RETRO".
S’agissant du traitement des données du SNDS : 
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2006 à 2027, sous réserve qu’elles soient diffusables par la CNAM,
Modalités de consultation : solution technique du GIP PDS.
Circuit d’appariement
L’appariement des données sera réalisé selon un circuit spécifique matérialisé dans le dossier de demande au sein du "protocole de chaînage NIR" défini par le responsable de traitement. Ce protocole apparaît conforme aux principes prévus par le "vademecum de circulation du NIR aux fins d’appariement avec le SNDS". Afin d’assurer l’effectivité de la séparation des identifiants, des rôles et des tâches concernant ce circuit d’appariement, l’ensemble des acteurs impliqués devra s’engager formellement à respecter le protocole et à exclure toute opération ou transmission de données non prévue dans celui-ci.
Le CHU de Bordeaux transmettra le NIR, le sexe et la date de naissance complète des participants au service "Concentrateur", proposé par le GIP PDS et opéré par un de ses sous-traitants, qui les transmettra à la CNAM pour extraction des données du SNDS correspondantes. Les données pseudonymisées seront versées sur la plateforme du GIP PDS pour appariement avec les données du SNDS et analyse dans le cadre de l’étude.
Les données identifiantes devront être chiffrées et être transmises sous forme de fichiers chiffrés. Les algorithmes utilisés et les procédures de gestion de clés associées devront être conformes au référentiel général de sécurité (annexes B1 et B2) et aux recommandations correspondantes de l’ANSSI.
Des mesures de sécurité renforcées devront être mises en place pour protéger les tables de correspondance. Les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information comportant l’ensemble des mentions prévues par le RGPD sur :
le site web du responsable de traitement de l’étude,
le site web des registres cardio-neuro-vasculaires,
le site web spécifique du projet "RHU TALENT".
Mesures de sécurité
La sécurité des données de l’espace projet dédié au projet "TALENT-SNDS"dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et de l’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Une homologation de la solution technique, conforme au référentiel de sécurité applicable au SNDS, et incluant l’espace projet mis à disposition du responsable de traitement, a été réalisée par la PDS le 22 juillet 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’elle a défini. Le CHU de Bordeaux devra s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.
Sur les transferts hors Union européennes
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP.
En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Durées de conservation
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement.
Les données du SNDS seront mises à disposition pour une durée de trois ans à compter de leur accès effectif puis seront archivées pour une durée d’un an sur un espace projet hébergé par la solution technique du GIP PDS.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Observations particulières
Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou, en cas de non-conformité au référentiel, autorisation de la CNIL).
Par conséquent, les registres de cancer réutilisés pour la présente étude devront faire l’objet de nouvelles formalités auprès de la CNIL.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis du Comité d’éthique de la recherche pour la santé humaine de la République du Cameroun du 22 août 2023
Point de non-conformité à la méthodologie de référence
A titre liminaire, la CNIL relève que les participants à la présente étude, qui comporte un volet prospectif et un volet rétrospectif, sont inclus au Cameroun.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception, d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal et, d’autre part, des modalités d’information des personnes concernées s’agissant du volet rétrospectif de l’étude.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-003. Par ailleurs, la CNIL prend acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Réutilisation d’une base de données existante
Les données et les échantillons biologiques collectés dans le cadre des enquêtes démographiques de santé réalisées en 2011 et en 2018 par le Ministère de la santé publique du Cameroun seront réutilisées dans le cadre de la présente étude. Le dossier de demande mentionne qu’elles ont été mises en œuvre conformément à la règlementation locale applicable.
Information et droits des personnes
S’agissant des participants au volet rétrospectif de l’étude :
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Une note d’information collective sera affichée au sein des centres ayant assuré le suivi des participants aux enquêtes démographiques de santé et publiée sur le site web du Centre Pasteur du Cameroun. Elle devra être mise à jour afin de comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des participants au volet prospectif de l’étude :
Ils recevront une note d’information individuelle.
Transferts hors Union européenne
Les données pseudonymisées de l’étude seront transférées au Cameroun.
Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. Lorsque ce transfert s'effectue à destination d'un pays n’assurant pas un niveau de protection suffisant, celui doit être réalisé moyennant des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes, code de conduite, mécanisme de certification). Conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
 
La CNIL relève que le responsable de traitement envisage d’encadrer le transfert de données au Cameroun par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021.