AgentPublic/cnil huggingface dataset:
f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article 8.2 des BCR ; de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité ne peut intervenir que si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ;
g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée aux articles 13.1 et 13.2 des BCR ;
h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées à l’article 10 des BCR ainsi qu’en annexe 2 des BCR ;
 
i) les procédures de réclamation sont décrites aux articles 8.3, 8.4 et 9 des BCR ainsi qu’en annexe 3 des BCR ;
j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 14 des BCR ainsi qu’en annexe 4 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur sa demande ;
 
k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 15 des BCR ;
l) le mécanisme de coopération avec l'autorité de contrôle, mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises, est décrit à l’article 13.4 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 14 des BCR ;
m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers, et qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes, sont décrits à l’article 7 des BCR ;
n) enfin, l’article 11 des BCR prévoit une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
 
Le CEPD a rendu l’avis n°01/2025 en date du 16 janvier 2025, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis.
Décide : 
 
La CNIL approuve les BCR " responsable du traitement " présentées par le groupe COFACE, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambiguïté, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
 
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR " responsable du traitement " du groupe COFACE ne seraient pas respectées.
 
La présidente,
 
 
M.-L. Denis
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
 
 
ANNEXE AU PROJET DE DECISION
 
Les BCR " responsable du traitement " du groupe COFACE approuvées par la présente décision s’étendent au périmètre décrit ci-après :
 
a. Champ d’application. 
 
Ces BCR " responsable du traitement " s’appliquent à tous les traitements de données à caractère personnel par les entités du groupe COFACE agissant en qualité de responsables de traitement ou de sous-traitants internes, et liées par les BCR, quel que soit les pays dans lesquels elles sont situées (article 3 des BCR).
 
b. États membres de l’EEE depuis lesquels les transferts sont effectués.
Les États membres de l’EEE depuis lesquels les transferts sont effectués sont visés à l’annexe 1 des BCR et sont les suivants : Allemagne, Autriche, Belgique, Bulgarie, Croatie, Danemark, Espagne, France, Grèce, Hongrie, Irlande, Italie, Lituanie, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Slovaquie, Slovénie et Suède.
 
c. Pays tiers vers lesquels les transferts sont effectués.
Les pays tiers vers lesquels les transferts sont effectués sont visés à l’annexe 1 des BCR et sont les suivants : Afrique du Sud, Algérie, Argentine, Australie, Brésil, Cameroun, Canada, Chili, Chine, Colombie, Corée du Sud, Côte d’Ivoire, Émirats arabes unis, Égypte, Équateur, États-Unis, Hong Kong, Inde, Indonésie, Israël, Japon, Malaisie, Maroc, Mexique, Nouvelle-Zélande, Pérou, Philippines, Royaume-Uni, Russie, Sénégal, Serbie, Singapour, Suisse, Taïwan, Thaïlande, Turquie et Vietnam.
 
d. Les finalités des transferts.
Les finalités des transferts sont détaillées dans l’annexe 8 des BCR. Elles comprennent notamment les finalités suivantes :
Développement informatique ;
Maintenance informatique ;
Services d’hébergement et d’archivage - produits COFACE ;
Services d’hébergement et d’archivage - services RH ;
Partage de données - Contrat d’assurance et demandes d’indemnisation ;
Partage de données - Recouvrement de créance ;
Partage de données - Marketing ;
Partage de données - Fraude ;
Échange de données, d’informations et de notes de crédit ;
Diligences à l’égard des entreprises clientes ;
Services RH ;
Mise à jour des données RH interentreprises.
 
e. Catégories de personnes concernées.
 
Les catégories de personnes concernées sont détaillées dans l’annexe 8 des BCR et comprennent les employés, directeurs généraux, contacts des comptes clés (clients, acheteurs, courtiers, agents), prospects, entrepreneurs individuels, partenaires commerciaux et leurs directeurs généraux et membres du conseil d’administration.
 
f. Catégories de données à caractère personnel transférées.
 
Les catégories de données à caractère personnel transférées sont détaillées dans l’annexe 8 des BCR.
[1] Approuvé par le CEPD le 25 mai 2018.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 décembre 2024. 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2009 à 2024.
Seul le bureau d’études aura accès aux données individuelles mises à disposition sur le portail de la CNAM. 
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement. Elle devra être complétée avant sa mise en ligne afin de comporter l’ensemble des mentions prévues par le RGPD, notamment s’agissant des modalités d’exercice des droits des personnes concernées.
Le traitement sera également enregistré au sein du portail de transparence de la Plateforme des données de santé.
Durée d’accès
Trois ans à compter de la mise à disposition des données.
 
AUTORISE la société BOEHRINGER INGELHEIM à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 29 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec celles du Système national des données de santé (SNDS)).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Nature des données 
S’agissant du traitement de données du SNDS : 
composantes concernées : SNIIRAM et PMSI ;
années concernées : 2025 à 2032, sous réserve qu’elles soient diffusables par la CNAM ;
modalités de consultation : portail de la CNAM.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Durées de conservation
Données du SNDS : cinq ans à compter de la mise à disposition des données.
 
Autres données :
Base active : onze ans
Archivage : quinze ans.
 
AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France I du 10 septembre 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données collectées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)).
En dehors de cette exception, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Catégories particulières de données traitées (autres que données de santé)
Le consentement éclairé et exprès des personnes concernées en vue de la réalisation de l’examen de leurs caractéristiques génétiques sera recueilli par écrit préalablement au traitement.
Traitement de données du SNDS et circuit d’appariement
S’agissant du traitement de données du SNDS :
Composantes concernées : SNIIRAM et CépiDc
Années concernées : 2008 à 2025, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM.
 
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants.
Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Données du SNDS : cinq ans à compter de la mise à disposition des données.
 
Autres données :
Base active : vingt-huit ans
Archivage : quinze ans.
 
Cas particuliers :
Les échantillons biologiques seront conservés pendant la durée de la recherche puis détruits.
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement.
Réutilisation des données et des échantillons biologiques
Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE l’
INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest IV du 13 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie.
Les personnes concernées en seront préalablement informées.
Information des personnes
Tous les participants recevront une note d’information individuelle. 
Mesures de sécurité
Les consentements des participants à la recherche seront recueillis au format papier et feront l’objet d’un contrôle qualité réalisé à distance. La solution technique permettant ce contrôle des consentements consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur.
Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’"envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée". La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé.
Le dépôt des documents de consentement numérisés sur la plateforme sera réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur le règlement eIDAS.
Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés.
Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement seront uniquement consultables en ligne, la solution mettra en œuvre un outil de visualisation web permettant d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché de recherche clinique.
Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation.
Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude.