AgentPublic/cnil huggingface dataset:
Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées devra pouvoir y accéder.
 
Concernant l’analyse des échantillons biologiques des participants :
 
Dans le cadre de projets de recherche ultérieurs qui feront l’objet de formalités propres, des reliquats d’échantillons biologiques qui ont été collectés dans le cadre du suivi de la cohorte sont susceptibles d’être réutilisés, notamment à des fins de réalisation d’un examen des caractéristiques génétiques. 
 
Les personnes concernées ou, le cas échéant, leurs représentants légaux pourront s’opposer à la réalisation de cet examen, conformément aux dispositions des articles L. 1211-2 et L. 1130-5 du code de la santé publique. 
Sauf opposition des personnes concernées (ou, le cas échéant, de leurs représentants légaux), ces données pourront alimenter l’entrepôt GAZEL.
 
Concernant les données issues du SNDS :
 
Les données seront appariées avec certaines données du SNDS provenant :
du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ;
du Programme de médicalisation des systèmes d’information (PMSI) ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) ;
de la base de données relative aux vaccinations contre la covid-19, dénommée Vaccin-covid .
Les données du SNIIRAM, du PMSI, du CépiDC et de la base Vaccin-covid des années 2007 à 2045 alimenteront l’entrepôt GAZEL, sous réserve qu’elles soient diffusables par la CNAM.
 
A compter de la mise en œuvre de l’entrepôt, une extraction annuelle des données du SNDS sera réalisée, afin d’intégrer les nouvelles données disponibles (2007-2025, puis 2007-2026, etc.).
 
A compter de 2028, l’entrepôt sera alimenté en fenêtre roulante jusqu’en 2045 afin de conserver une antériorité des données du SNDS de dix-neuf ans plus l’année en cours (les données les plus anciennes seront supprimées chaque année à l’occasion de l’ajout de la dernière année des données concernées du SNDS).
 
Sur l’appariement avec les données du SNDS dans le cadre de l’entrepôt GAZEL :
 
Les données de la cohorte feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), selon les modalités déjà autorisées dans le cadre des précédentes demandes relatives à la cohorte GAZEL.
 
Aucune donnée relative aux professionnels de santé ne sera collectée.
 
Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur l’information des personnes
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera adressée aux participants ou, le cas échéant, leur représentant légal, par voie postale.
 
Un portail de transparence sera également mis en place par le responsable de traitement et comportera :
la note d’information relative à la constitution de l’entrepôt ;
une information spécifique à chaque traitement mis en œuvre à partir des données de l’entrepôt, publiée préalablement à sa mise en œuvre.
 
Ces modalités d’information sont conformes au principe de transparence et aux exigences prévues par les articles 12 et suivants du RGPD.
 
L’information relative à la constitution de l’entrepôt ne peut se substituer à l’information individuelle prévue par le RGPD et la loi informatique et libertés pour la mise en œuvre de recherches, études et évaluations ultérieures. 
Sur la transparence du traitement
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des recherches.
 
Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt GAZEL devront être enregistrés au sein du répertoire public de la PDS.
La CNIL demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
Sur la gouvernance de l’entrepôt
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt GAZEL afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public.
 
Ce dispositif est composé :
d’un comité de pilotage qui détermine les orientations stratégiques de l’entrepôt; examine et approuve les propositions du comité scientifique concernant les projets de recherche demandant accès aux données de l’entrepôt, et tient une liste exhaustive des données de l’entrepôt et justifie leur nécessité ;
d’un comité scientifique, qui évalue les aspects scientifiques, éthiques et réglementaires de toutes les demandes de recherches émanant de groupes de recherche publics ou privés portant sur la réutilisation des données de l’entrepôt. Dans ce cadre, il rend un avis motivé sur les demandes de recherche, qui est transmis au comité de pilotage à qui appartient la décision finale. 
 
Ces comités de gouvernance seront notamment composés de membres qualifiés en matière de traitements de données du SNDS.
Sur la durée de conservation des données
Les données sont conservées dans l’entrepôt durant 20 ans à compter de sa constitution, puis archivées pour une durée de 40 ans.
Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur les mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de sa demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt GAZEL, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information. 
 
Les données provenant de l’entrepôt GAZEL et les données correspondantes provenant du SNDS seront stockées au sein du Centre d’accès sécurisé aux données (CASD). Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 17 octobre 2024, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. 
La décision d’homologation n’est valable que jusqu’au 16 octobre 2025 et devra être renouvelée avant cette date, puis à chaque échéance.
Les mesures de sécurité planifiées ou mises en place dans l’entrepôt GAZEL ont été comparées avec les exigences de sécurité mentionnées dans le référentiel entrepôts de données de santé par le responsable de traitement. Aucun écart avec les exigences de sécurité de ce référentiel n’a été relevé.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
Autorise, conformément à la présente délibération, L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement susmentionné pendant vingt ans.
 
 
 
La présidente,
 
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
De nombreux acteurs ont fait part, à la Commission nationale de l’informatique et des libertés (CNIL), de questionnements concernant l’application du règlement général sur la protection des données (RGPD) à l’intelligence artificielle (IA), en particulier depuis l’émergence de systèmes d’IA génératives.
La CNIL adopte une quatrième recommandation sur l’application du RGPD au développement des systèmes d’intelligence artificielle. 
Cette quatrième recommandation est composée de trois fiches pratiques : 
Analyser le statut d’un modèle d’IA au regard du RGPD ;
Annoter les données ;
Garantir la sécurité du développement d’un système d’IA.
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée.
Article 2 : La présente délibération sera publiée au Journal officiel de la République française. 
 La présidente,
 
 M.-L. Denis
Annexe 
 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : https://www.cnil.fr/fr/les-fiches-pratiques-ia
La Commission nationale de l'informatique et des libertés,
Saisie le 19 février 2025 par l’Institut Gustave Roussy d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "INTERCEPTION" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Vincent Lesclous, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
 
Formule les observations suivantes :
 
Sur le responsable de traitement
L’Institut Gustave Roussy est un établissement de santé privé d'intérêt collectif à but non lucratif.
 
L’Institut Gustave Roussy est un Centre de lutte contre le cancer, son statut est issu de l’ordonnance n° 45-2221 du 1er octobre 1945 modifiée par l’ordonnance n° 2005-406 du 2 mai 2005, et par la loi n° 2009-879 du 21 juillet 2009 portant réforme de l’hôpital et relative aux patients, à la santé et aux territoires, dite "HPST". 
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt : 
Euris Health Cloud pour l’hébergement de données de santé notamment : 
				
mise en œuvre de son infrastructure certifiée ISO 27001, ISO 27701 et HDS (hébergeur de données de santé, au sens de l’article L. 1111-8 du code de la santé publique), dans le cadre de son statut de responsable de la mise en œuvre ;
hébergement de la plateforme mutualisée "MyInterception" ;
hébergement de l’entrepôt "INTERCEPTION" ;
 
Health Data Trust pour l’appariement des données avec le SNDS à savoir : 
				
la gestion des tables de correspondances [numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), date de naissance, sexe, numéro d’accrochage] ;
la création des numéros d’accrochage tiers ;
la transmission des informations nécessaires à la Caisse nationale de l'assurance maladie (CNAM).
Cet acteur ne devra pas effectuer d’autres tâches que l’appariement dans le cadre du traitement de la présente autorisation ;
 
la société CEMKA comme bureau d’études ; 
 
les centres investigateurs participants au programme "INTERCEPTION" utilisateurs de la plateforme "MyInterception". 
 
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données de santé, dénommé "INTERCEPTION".
 
Cet entrepôt est destiné notamment à : 
la centralisation de l’ensemble des données de la cohorte "INTERCEPTION" regroupant les participants vus dans les différents centres "INTERCEPTION" : 
l’analyse et l’évaluation des objectifs du projet global "INTERCEPTION" à savoir :
la diminution de la fréquence des cancers graves ;
la réduction du risque de cancer avancé chez les personnes à risque élevé de cancer ;
l’élaboration, pour chaque participant, d’un plan personnalisé de prévention, comportant notamment la réalisation d’examens médicaux. 
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5.1.b) du RGPD.
Les données contenues dans cet entrepôt ne sauraient, conformément aux dispositions de l’article L. 1461-1 du code de la santé publique (CSP), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. De même, la CNIL rappelle l’interdiction de constituer et d’utiliser à des fins de prospection ou de promotion commerciales des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du CSP).
 
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins d’exécution de la mission d’intérêt public qu’il poursuit. Ce traitement est licite au regard de l’article 6.1.e) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66, 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
de la nature des données traitées (appariement des données cliniques avec les données du SNDS) ;
de certaines mesures de sécurité. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les données traitées et les modalités d’appariement 
Cet entrepôt sera alimenté par des données à caractère personnel issues :
de la plateforme "MyInterception" mutualisée et utilisée par l’ensemble des centres participants au programme "INTERCEPTION" ;
du SNDS, pour les personnes incluses dans le programme "INTERCEPTION". 
 
Les données issues du programme "INTERCEPTION" sont :
 
Concernant les données des patients :
l’âge ;
des données de santé ;
des données génétiques ;
des données relatives à la qualité de vie.
 
Concernant les données des professionnels de santé :
nom ;
prénom ;
coordonnées électroniques ;
titres et fonctions ;
numéro RPPS ;
lieu d’activité professionnelle. 
 
Concernant les données issues du SNDS :
Les données du programme "INTERCEPTION" seront appariées avec certaines données du SNDS provenant :
du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ;
du Programme de médicalisation des systèmes d’information (PMSI) ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC). 
 
Sur l’appariement des données du programme "INTERCEPTION" et des données du SNDS dans le cadre de l’entrepôt "INTERCEPTION" :
Les données feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
 
L’appariement déterministe devra respecter les principes de circulation du NIR aux fins d’appariement de données avec le SNDS (circuit multi-centres/eCRF avec NIR ou, à défaut, le Vademecum) et le référentiel de sécurité SNDS.
 
Ces données devront être pseudonymisées avant leur intégration dans l’entrepôt.
 
Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Les données contenues dans cet entrepôt ne sauraient, conformément aux dispositions de l’article L. 1461-1 du code de la santé publique (CSP), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. De même, la Commission rappelle l’interdiction de constituer et d’utiliser à des fins de prospection ou de promotion commerciales des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du CSP). 
Sur la durée de conservation des données
Les données MyInterception versées dans l’entrepôt englobent toute la profondeur historique disponible dans cette base. Elles y seront conservées pendant 20 ans à compter de la dernière saisie de données concernant le patient dans la base source MyInterception.
Ces données seront enrichies par des données du SNDS avec une profondeur historique de 20 ans. L’entrepôt sera alimenté semestriellement en fenêtre glissante : chaque semestre les données du SNDS les plus récentes seront versées dans l’entrepôt, au sein de la bulle sécurisée, et les données du SNDS correspondant au semestre le plus ancien devront être supprimées afin de conserver une profondeur historique ne dépassant pas 20 ans.
 
Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.
Sur l’information et le droit d’accès 
S’agissant des patients :
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera adressée aux patients par voie postale, via une application patient sécurisée ou directement en consultation. 
 
S’agissant des professionnels de santé :
Les professionnels dont les données sont versées dans l’entrepôt recevront une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD. Cette note leur sera adressée par l’équipe administrant l’entrepôt au moment de la création du compte du professionnel accédant à l’entrepôt.
Par ailleurs, le responsable de traitement diffusera sur son site web une information relative à la base de données ainsi que des informations sur les projets de recherches, études et évaluations dans le domaine de la santé menés à partir des données qu’elle contient. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD.
 
L’information relative à la constitution de l’entrepôt ne peut se substituer à l’information individuelle prévue par le RGPD et la loi "informatique et libertés" pour la mise en œuvre de recherches, études et évaluations ultérieures.
 
Ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
 
Les droits des personnes s’exerceront : 
auprès du délégué à la protection des données de l’Institut Gustave Roussy ;
sur le site web de l’entrepôt à partir de la page dédiée à l’information relative à l’entrepôt "INTERCEPTION" ;
sur l’application MyInterception ;
par contact direct auprès du médecin ayant inclus le patient dans le programme "NTERCEPTION". 
Sur la transparence du traitement
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des études.
Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt "INTERCEPTION" devront être enregistrés au sein du répertoire public de la PDS.
 
La CNIL prend par ailleurs acte de l’engagement de l’Institut Gustave Roussy d’inscrire l’entrepôt au sein du répertoire public de la PDS.
 
Elle demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
Sur les mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
 
Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel "entrepôts de données dans le domaine de la santé".
 
Une homologation de la bulle sécurisée du prestataire en charge de l’hébergement des données, Euris Health Cloud, a été réalisée par l’autorité d’homologation le 20 septembre 2024, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Cette décision d’homologation est valable jusqu’au 20 septembre 2027 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
A cet égard, de façon à assurer le cloisonnement effectif entre les données de la cohorte "MyInterception" (nominatives avec le NIR) et les données de l’EDS apparié au SNDS, ces deux systèmes devront disposer d’une enclave distincte et d’une administration technique par des équipes distinctes, selon un principe de séparation des rôles et des tâches.
 
De même, le tiers en charge de l’appariement SNDS, Health Data Trust, dispose d’une infrastructure autonome et d’outils distincts de ceux de l’EDS et de la base source "MyInterception". 
 
Au regard de la volumétrie et de la sensibilité des données traitées, la pseudonymisation des données de santé devra s’effectuer dans un environnement d’intégration comprenant des mesures de sécurité techniques et organisationnelles renforcées, notamment en garantissant un cloisonnement réseau, cryptographique et système spécifique à l’environnement d’intégration, par rapport au reste de l’entrepôt de données de santé. 
 
Les identifiants pseudonymes de l’entrepôt devront être générés, conformément aux dispositions du référentiel de sécurité SNDS, prévu par l'arrêté du 6 mai 2024 et aux exigences du référentiel "entrepôt de données dans le domaine de la santé", par une fonction de hachage cryptographique avec secret résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr.
La procédure de pseudonymisation pour l’alimentation de la base centrale et des espaces projet d’une part, et la procédure de ré-identification d’autre part, devront donc être modifiées afin d’être conformes à ces deux référentiels.
 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
 
Autorise, conformément à la présente délibération, l’Institut Gustave Roussy à mettre en œuvre le traitement susmentionné pendant 19 ans plus l’année en cours.
 
 
La présidente,
 
 
M.-L. Denis