AgentPublic/cnil huggingface dataset:
l’accès aux données sera limité aux chercheurs qui en auront l’usage et soumis à des conditions de confidentialité et de déontologie strictes.
 
 
 
 
D. Sur les droits des personnes
 
Une information individuelle doit être faite conformément à l’article 14 du RGPD, sauf à démontrer que la fourniture de cette information exigerait des efforts disproportionnés ou risquerait de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement (article 14-5 b) du RGPD. La CNIL prend acte de ce que le CNRS a indiqué procèdera à une information générale sur son site internet dans la mesure où les données de contact ne sont pas collectées lors de la consultation des dossiers de procédure pénale.
 
Dans la mesure où le traitement concerne en grande partie des personnes mineures, la CNIL souligne l’importance de mettre à disposition de ces personnes une information simple et pédagogique, adaptée à la tranche d’âge. Cette information devra expliquer clairement, en particulier :
 
l’objectif poursuivi par le traitement ;
comment les données ont été recueillies ;
qui sont les accédants et les destinataires du traitement.
 
Enfin, l’AIPD devrait préciser les modalités concrètes d’exercice des droits (précision des droits applicables, des modalités d’exercice du droit à l’effacement, de l’adresse de contact, etc.).
 
E. Sur les mesures de sécurité
Le traitement projeté, qui inclut notamment des données sensibles relatives à des personnes vulnérables, a fait l’objet d’une AIPD. 
 
Les données seront collectées sur des postes de travail sous la responsabilité du CNRS. Ceux-ci seront sans connexion internet et sans ports utilisables.
 
Les données seront supprimées des postes de collecte après avoir été copiées sur un disque dur chiffré du CNRS, au plus tard une semaine après la collecte. La consultation, la manipulation du versement des données et l’analyse des données seront réalisées sur ce disque dur, par un unique chercheur dûment habilité y accédant via un poste de travail coupé de tout réseau.
 
Les données devront être chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données que des sauvegardes. Les postes de travail devront mettre en œuvre un verrouillage automatique de session, disposer d’un antivirus et de logiciels régulièrement mis à jour.
 
Il appartient au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
 
 
 
Les autres dispositions du projet de recherche n’appellent pas d’observations de la part de la CNIL. 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques) ;
Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
Après avoir entendu le rapport M. Bertrand du Marais, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés (CNIL) a adopté, par la délibération n° 2024-061 du 18 juillet 2024, la recommandation relative aux applications mobiles.
Ce document, tel qu’initialement adopté, nécessite quelques modifications, objet de la présente délibération. En complément de quelques rectifications d’erreurs ou omissions d’ordre purement matériel, les modifications principales sont les suivantes :
Au sein de la partie 4.2 ("Déterminer les qualifications de chaque acteur"), l’exemple relatif à la "Lecture et traitement d’une donnée de localisation par une application via un SDK pour le seul compte de l’éditeur" et son schéma sont modifiés, afin de rectifier une incohérence ;
Au sein de la partie 6.2.3 ("Participer à la conformité en matière de recueil du consentement"), le tableau relatif à l’"articulation des fenêtres de sollicitation (CMP/permission) en fonction de l’ordre de présentation des requêtes" est remplacé par une infographie intitulée "Articuler la permission technique et le recueil du consentement", dans un objectif de clarté ;
Au sein de la partie 6.3.1 ("Sélectionner le SDK selon les bons critères"), une précision est apportée sur la nécessité, lorsque le fournisseur d’un SDK intégré au sein d’une application réalise des traitements pour son propre compte, de le prévoir contractuellement avec l’éditeur lors de l’intégration du SDK. Cette contractualisation est nécessaire dès lors que l’éditeur et le fournisseur de SDK sont responsables conjoints de la collecte réalisée à travers le SDK et que l’éditeur doit, en tant que responsable des traitements réalisés au sein de l’application, avoir une vision claire et contractualisée des traitements opérés par le prestataire qu’il choisit. Cette modification est par ailleurs effectuée en référence à une mention déjà présente au sein de la partie 4.2 ("Déterminer les qualifications de chaque acteur"), indiquant que "l’éditeur n’est pas responsable des traitements effectués par les tiers pour leur propre compte sur des données personnelles issues d’opérations de lecture et/ou écriture qu’ils réalisent à travers l’application. Dès lors que le traitement utilise les données collectées via l’application, cette collecte doit être prévue contractuellement entre l’éditeur et le tiers".
Le fonds des décisions de la CNIL sur Légifrance ne permettant pas, à ce stade, de présenter au public une version consolidée combinant une décision initiale et une décision modificative, il convient, pour garantir l’accessibilité de la recommandation sur le site Legifrance.gouv.fr, d’abroger la version précédente et de la remplacer entièrement par la version figurant en annexe.
 
Décide : 
 
Article 1er : La délibération n° 2024-061 du 18 juillet 2024 portant adoption de la recommandation relative aux applications mobiles est abrogée.
 
Article 2 : La recommandation modifiée figurant en annexe est adoptée.
 
Article 3 : La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
 
Annexe 
 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante :
https://www.cnil.fr/sites/cnil/files/2025-04/recommandation-applications-mobiles-modifiee.pdf
La Commission nationale de l'informatique et des libertés,
Saisie le 24 septembre 2024 par la société IMPLICITY d’une demande d’autorisation concernant un traitement de données automatisé ayant pour finalité une étude visant à développer et valider un algorithme de diagnostic et de prédiction de l’évolution de la fibrillation atriale et ses risques associés, intitulée " AFIB " ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
 
Sur le responsable de traitement
Créée en 2016, la société Implicity a notamment développé une plateforme de télésuivi des patients porteurs de dispositifs médicaux connectés, appelée " IMPLICITY PLATFORM " (ci-après la " plateforme Implicity "). Elle commercialise également un dispositif médical de type logiciel, IMPLICITY IM009, destiné à la télésurveillance des patients porteurs de prothèse cardiaque implantable à visée thérapeutique. Elle produit et commercialise donc des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (ci-après " CSP "). La mise en œuvre de l’étude " AFIB " impliquant un traitement de données du Système national des données de santé (SNDS), les dispositions des articles L. 1461-1 et L. 1461-3 du CSP sont applicables en l’espèce.
Sur le rôle de la Plateforme des données de santé
Le groupement d’intérêt public " Plateforme de données de santé " (ci-après la PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par la PDS ou la CNAM. Tous les filtrages de données seront réalisés en amont de la transmission des données vers la solution technique de la PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM.
Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que la PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre la société Implicity et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD.
Sur la finalité et le caractère d’intérêt public du traitement
Le traitement envisagé a pour finalité la mise en œuvre d’une étude intitulée " AFIB " visant à développer et valider un algorithme de diagnostic et de prédiction de l’évolution de la fibrillation atriale ainsi que les risques associés de décompensation cardiaque ou d’accident vasculaire cérébral.
Afin d’atteindre cet objectif, cette étude concernera, sous réserve de l’exercice du droit d’opposition et conformément aux critères d’inclusion et de ciblage décrits dans le protocole : 
les personnes majeures porteuses d’une prothèse cardiaque ou d’un capteur connecté ;
les personnes souffrant de fibrillation atriale ou ayant souffert d’un accident vasculaire cérébral ;
les personnes présentant un risque de fibrillation atriale car souffrant d’une insuffisance cardiaque. 
 
Selon le dossier de demande :
la phase de développement correspondra à l’entraînement et l’optimisation d’un modèle d’intelligence artificielle ; 
la phase de validation correspondra à l’évaluation des performances techniques et cliniques d’un modèle développé ;
la version du modèle validé dans le cadre de ce projet ayant vocation à être qualifié de dispositif médical. Ce dispositif sera réputé validé une fois les autorisations et/ou des certificats nécessaires à la mise sur le marché du produit au sein de l’Union européenne et des Etats-Unis obtenus. 
 
La finalité du traitement est déterminée, explicite et légitime, conformément au b) du 1 de l’article 5 du RGPD. La CNIL estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément au I de l’article 66 de la loi " informatique et libertés ".
Tout développement d’une nouvelle version de l’algorithme constituera un traitement de données distinct qui s’inscrira dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ". Ce traitement devra être justifié par l’intérêt public et faire l’objet de formalités propres.
Sur la base légale du traitement et l’exception permettant de traiter des données sensibles
Le traitement envisagé par la société Implicity s’inscrit dans le cadre de son activité commerciale. Ce traitement est, à ce titre, licite au regard du f) du 1 de l’article 6 du RGPD. En outre, il est nécessaire à des fins de recherche scientifique et remplit la condition prévue au j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information de certaines personnes concernées et de la nature des données traitées (appariement des données issues de la plateforme Implicity avec celles du SNDS). 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la nature des données traitées, y compris les données issues de la base principale du SNDS
Les catégories de données dont le traitement est envisagé dans cette étude ont été décrites dans le dossier de demande. Elles proviendront, d’une part, de la plateforme Implicity et, d’autre part, du SNDS.
 
S’agissant des données issues de la plateforme Implicity : 
 
Des données collectées par les professionnels et établissements de santé dans le cadre de la prise en charge de leurs patients seront réutilisées dans le cadre de cette étude à des fins : 
d’appariement avec celles du SNDS ;
d’analyse pour les besoins de cette étude.
Cette réutilisation pourra intervenir sous réserve de : 
l’autorisation écrite et spécifique des établissements et professionnels de santé agissant en qualité de responsables de traitement du dispositif de télésurveillance et, 
l’absence d’opposition des personnes concernées à la réutilisation de leurs données à caractère personnel. 
 
Aucune donnée relative aux professionnels de santé utilisant la plateforme Implicity ne sera traitée dans le cadre de cette étude.
 
S’agissant des variables nécessaires à l’appariement : 
 
Lorsqu’ils sont renseignés sur la plateforme Implicity, le NIR, la date de naissance complète et le sexe des patients seront transmis directement à la CNAM. La CNAM transmettra en retour les identifiants correspondant aux données extraites de la population cible ; le NIR ne sera pas intégré aux données de l’espace projet " AFIB ".
Les données des patients dont le NIR n’est pas renseigné sur la plateforme Implicity seront chaînées avec celles du SNDS au moyen d’un appariement probabiliste (indirect). Ce rapprochement sera réalisé notamment grâce aux codes FINESS d’identification des établissements intervenant dans leur prise en charge, au code CIM-10 correspondant à l’implantation du dispositif cardiaque, à la date de l’implantation du dispositif cardiaque et aux données d’identification partielle du patient. Ces données seront transmises à la PDS pour appariement et seront supprimées une fois celui-ci effectué. La PDS contrôlera leur suppression avant la mise à disposition du jeu de données dans l’espace projet " AFIB " et s’assurera que les données ne contiennent aucune indication géographique identifiante.
 
S’agissant des données du SNDS :
Sous réserve qu’elles soient diffusables par la CNAM, certaines données du SNIIRAM, du PMSI et du CépiDc concernant les années 2010 à 2028 seront traitées dans le cadre de cette étude.
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions du c) du 1 de l’article 5 du RGPD.
Sur les catégories d’accédants et de destinataires des données et notamment l’accès direct aux données du SNDS par un industriel de santé
Afin de pouvoir accéder aux données du SNDS, la société Implicity est tenue, conformément aux dispositions de l’article L. 1461-3 du CSP :
soit de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l'une des finalités interdites mentionnées à l’article L. 1461-1 du CSP, en particulier pour la promotion de certains produits de santé en direction des professionnels de santé ou d'établissements de santé ;
soit de recourir à un laboratoire de recherche ou à un bureau d'études pour réaliser le traitement.
 
En l’espèce, la société Implicity souhaite accéder directement à certaines données du SNDS. A ce titre, elle a présenté un argumentaire détaillé incluant la mise en œuvre d’un ensemble de mesures techniques et organisationnelles spécifiques.
En premier lieu, la société Implicity dispose d’une gouvernance à même d’intégrer les garanties qu’elle présente. La CNIL note notamment en ce sens :
l’ajout d’engagements spécifiques dans la politique de protection de la vie privée ;
la démarche de certification ISO/IEC 27001, intégrant notamment la gestion des personnels, de leurs obligations de confidentialité et de leurs habilitations ;
la réalisation d’audits annuels.
En deuxième lieu, la société Implicity s’engage à ce que seuls les personnels spécifiquement identifiés au sein de l’équipe de recherche puissent être habilités à accéder à l’espace projet. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
Une séparation stricte des activités de recherche de la société Implicity est mise en place :
dans son organigramme, qui établit une séparation hiérarchique nette entre le département " data " (dont fait partie l’équipe de recherche) et le personnel en charge du développement commercial (" ventes " et " marketing ") ; 
les personnes qui auront accès à l’espace projet " AFIB " (incluant les données SNDS) n’accèderont pas aux données identifiantes (dont le NIR) de la plateforme Implicity ;
une liste des catégories de personnels ne pouvant pas être habilités à accéder au SNDS sera établie (équipes de vente et marketing, équipe gérant les données de production de la plateforme Implicity) ;
la procédure d’habilitation permettra également de s’assurer que les personnes ayant accès à l’espace projet " AFIB " ne sont pas en contact avec les patients, ne travaillent pas sur plusieurs projets de recherche permettant de croiser les données et ne participent pas au développement commercial des produits.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
En troisième lieu, les personnels concernés seront sensibilisés aux risques et obligations qui leur incombent lors de leur habilitation par la société Implicity à accéder à l’espace projet, notamment à l’aide d’un module dédié aux finalités interdites. Ces personnels devront obligatoirement participer à des actions de sensibilisation animées par la PDS, et un rappel annuel sera effectué pendant la durée du projet.
Chaque utilisateur habilité ainsi que le responsable de projet s’engageront ab initio, formellement et individuellement, à ne pas utiliser les données et les résultats du projet pour des finalités interdites et à s’assurer que les résultats du projet ne sont pas exploitables à cette fin.
En quatrième lieu, s’agissant du risque de ré-identification directe des établissements ou des professionnels de santé à des fins de promotion de produits de santé, les données du projet AFIB ne contiendront aucun code identifiant les établissements ou les professionnels de santé, ni aucune indication géographique les concernant. Ces codes seront préalablement remplacés par des pseudonymes générés par la PDS et dont la société Implicity n’aura pas la correspondance.
En cinquième lieu, s’agissant du risque de ré-identification indirecte après export des données, seules des données anonymes peuvent être exportées hors d’un environnement homologué conformément à l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS. Des procédures dédiées seront mises en place à la fois par la société Implicity et par la PDS. Ainsi, toute demande d’export fera l’objet d’une validation interne préalable par une personne identifiée au sein du bureau d’étude. Un audit systématique et préalable sera également réalisé par la PDS sur la base de critères tendant à attester de l’anonymat effectif de l’export souhaité.
Les critères et procédures prévues devront être revus régulièrement au vu de l’évolution des techniques d’anonymisation et de ré-identification.
Au regard de l’ensemble de ces éléments, la CNIL estime que les mesures techniques et organisationnelles mises en place par la société Implicity paraissent de nature à démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites.
Sur la durée d’accès aux données
Les données de l’étude seront mises à disposition sur un espace projet de la PDS pour une durée de sept ans à compter de l’accès effectif à celles-ci et seront détruites à l’issue de ce délai.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions du e) du 1 de l’article 5 du RGPD.
Sur l'information et les droits des personnes
S’agissant des personnes suivies via la plateforme Implicity avant 2019 :
En application de l'article 69 de la loi " informatique et libertés " et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web de la société Implicity d’une information relative au projet de recherche.
 
S’agissant des autres personnes concernées :
Une note d’information individuelle est transmise par le professionnel prenant en charge le participant à l’occasion d’une visite de suivi lors de la mise en place de la télésurveillance via la plateforme Implicity. Elle mentionne que leurs données pourront être réutilisées à des fins de recherche par la société Implicity et renvoie à un dispositif spécifique d'information (portail de transparence) auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données par la société Implicity. Une note d’information relative à la présente étude sera donc diffusée sur le portail de transparence mis en œuvre par la société Implicity, accessible via son site web. 
La note d’information diffusée sur le site web de la société Implicity devra être mise à jour avant le début de l’étude afin de comporter l’ensemble des mentions d’informations prévues par l’article 14 du RGPD.
S’agissant de l’exercice des droits :
Les personnes concernées pourront exercer leurs droits d’accès, de rectification, de limitation, d’opposition et d’effacement à tout moment auprès de la société Implicity.