AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024.
Modifications substantielles du traitement de données
Les modifications envisagées portent sur :
l’ajout de nouveaux objectifs : poursuite et approfondissement des travaux pour une des pathologies, les hépatites auto-immunes (HAI) ;
l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires.
 
 Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE, l’ASSOCIATION POUR LA LUTTE CONTRE LES MALADIES DU FOIE ET DES VOIES BILIAIRES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Ouest IV du 10 juin 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé)
La collecte des nom, prénom ainsi que des coordonnées électroniques est nécessaire pour assurer le suivi des participants qui en sont informés (création du compte patient dans l’application utilisée dans le cadre de l’étude). 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé.
Mesures de sécurité
Les messages stockés au sein de l’application seront chiffrées de bout-en-bout et ne seront accessibles qu’à l’émetteur et aux destinataires des messages.
Une authentification multifacteur sera mise en place pour les accès patients, professionnels et administrateurs à l’application. Les données personnelles liées à l’application seront chiffrées au repos. 
Les données pseudonymisées issues de l’application seront transmises via une messagerie sécurisée de santé ou un service de stockage sécurisé interne à l’éditeur de l’application, dont l’hébergement n’est pas soumis à des réglementations extra-européennes. Ces données stockées par le service devront être détruites dès la réception des données.
Au sein du CHU, les données pseudonymisées seront chiffrées au repos. Un serveur de calcul interne à la Faculté de santé rattachée au CHU sera ensuite utilisé pour traiter les données personnelles des patients. Des comptes nominatifs avec des espaces de travail distincts seront utilisés pour ce traitement, dont les accès sont conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Au vu de la sensibilité des données, la CNIL recommande fortement le chiffrement au repos des supports de stockage du serveur de calcul, ainsi que le déploiement d’une authentification multifacteur lors d’un accès à des données de santé.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Durées d’accès et de conservation des données
Les données nominatives et les coordonnées électroniques seront détruites à la fin du suivi des participants. 
 
Les données issues de la messagerie sécurisée au sein de l’application seront également détruites à la fin du suivi des participants.
 
Autres données : 
Base active : cinq ans et huit mois. 
Archivage : quinze ans. 
 
AUTORISE le CENTRE HOSPITALIER UNIVERSAITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’accès aux données du Système national des données de santé (SNDS) prolongé d’une année supplémentaire.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE 
la société MYOKARDIA à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l'accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. 
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Seront réutilisées dans le cadre de cette étude, les données issues des bases de de données suivantes : 
des études FARIVE (dont le traitement a fait l’objet de la demande d’autorisation n°902266) et PEITHO (dont le traitement a fait l’objet de la formalité CNIL n°1217614) mises en œuvre par l’Assistance publique-Hôpitaux de Paris ; 
de l’étude MARTA mise en œuvre par l’Assistance publique-Hôpitaux de Marseille (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ; ;
de l’étude MEGA STUDY mise en œuvre par le centre médical universitaire de Leiden ; 
de l’étude PEAGE mise en œuvre par le Centre hospitalier universitaire de Saint-Etienne (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ;
des études EDITH , BREIZH COHORTE , PEAGE (pour la bio banque), RENOVE PADIS-EP et PADIS-TVP mises en œuvre par le Centre hospitalier universitaire de Brest (dont les traitements ont été réalisés dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ;
de l’étude PADIS EXTENSION mise en œuvre par le centre hospitalier universitaire de Brest (dont le traitement a fait l’objet de la demande d’autorisation n°913038) ;
des études FOCUS et PEITHO 2 (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) mises en œuvre par l’hôpital universitaire Johannes Gutenberg de Mayence ;
de l’étude BFC FRANCE REGISTERY mise en œuvre par le centre hospitalier universitaire de Besançon (dont le traitement a fait l’objet de la demande d’autorisation n°2216065) ;
de l’étude REMOTEV mise en œuvre par les hôpitaux universitaires de Strasbourg (dont le traitement a fait l’objet d’une déclaration normale n°2167960).
Information et droits des personnes
S’agissant des patients dont le suivi est terminé : 
En application de l'article 69 de la loi du 6 janvier 1978 modifiée et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes dont le suivi est terminé et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information sur le site web du responsable de traitement de la présente étude, des responsables de traitements initiaux dont les données seront réutilisées ainsi que par voie d’affichage. 
Les notes d’information devront être complétées afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Les échantillons biologiques centralisés et analysés dans le cadre de la présente recherche seront conservés pendant une durée de quinze ans.
 
Base active : cinq ans.
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BREST à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 23 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France X du 13 décembre 2023.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes, ainsi que des modalités d’information des personnes concernées (collecte des bandes d’appel au service d’urgence ; inclusion de personnes se trouvant en situation d’urgence vitale immédiate).
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégorie particulière de données traitées (autres que données de santé)
La collecte des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
La collecte des bandes d’appel aux services d’urgence, susceptibles de comporter des données relatives aux appelants tiers, a été scientifiquement justifiée dans le dossier de demande.
Seules les données strictement nécessaires à l’étude pourront être collectées.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche.
Une note d’information sera également diffusée dans des journaux locaux, ainsi que sur les sites web des centres participants. Elle devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
Mesures de sécurité
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Durées de conservation en base active et en archivage
Base active : trois ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes (CPP) SUD MEDITERRANEE I du 12 octobre 2022.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées
La collecte du code postal de résidence a été scientifiquement justifiée dans le dossier de demande.
L’examen des caractéristiques génétiques des patients, inclus en situation d’urgence ou en situation d’urgence vitale immédiate conformément aux dispositions de l’article L. 1122-1-3 du code de la santé publique (CSP), ne pourra être réalisé qu’après le recueil du consentement éclairé, exprès et écrit des personnes concernées ou, le cas échéant, de leurs représentants légaux.
Information et droits des personnes
Les documents d’information devront comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Durées de conservation en base active et en archivage
Base active : cinq ans
Archivage : quinze ans
Archivage consentement : dix ans
Les échantillons biologiques seront conservés pendant dix ans puis détruits.
Réutilisation des échantillons biologiques
La constitution et la conservation d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou autorisation).
Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse.
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette enquête.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Avis du comité