AgentPublic/cnil huggingface dataset:
"les prestataires de services d’information en temps réel sur la circulation routière et la sécurité routière visés au 6° [de l’article L. 1513-2 du CT]" et
"les fournisseurs de services numériques d’assistance aux déplacements visés au 7° du même article".
 
Interrogé sur les critères permettant de qualifier un acteur donné au regard de l’une ou l’autre de ces catégories, le ministère a précisé que :
 
le terme "fournisseurs de services numériques d’assistance au déplacement" renvoie en particulier aux applications qui fournissent à la fois un service d’information pour les déplacements routiers et pour les déplacements multimodaux ;
le terme "prestataires de services d’information en temps réel sur la circulation routière et la sécurité routière visés au 6° [de l’article L. 1513-2 du CT]" comprend l’ensemble des applications qui fournissent des services d’information pour les déplacements routiers (peu important si des services d’information sur les déplacement sont également fournis, ou pas).
 
Par ailleurs, le ministère a précisé que pour les besoins d’application de l’article L. 1513-2 du code des transports, seuls sont pris en compte les applicatifs en ligne permettant de calculer un trajet entre deux points, avec le suivi de géolocalisation en temps réel de l’utilisateur (ce qui exclut les dispositifs qui fournissent aux utilisateurs des informations sans nécessiter pour cela la collecte des données horodatées de géolocalisation).
Or, la CNIL relève que si certaines obligations résultant du projet d’article D. 1513-5 sont communes à ces deux catégories d’acteurs, certaines n’en concernent qu’une seule. Tel est le cas des deux derniers alinéas de cet article, qui prévoient que les obligations de fourniture des données concernent "les prestataires de services d’information en temps réel", sans pour autant viser les "fournisseurs de services numériques d’assistance aux déplacements".
 
La CNIL observe qu’en l’état, ces deux notions ne semblent pas être clairement définies, ce qui crée un risque juridique pour les acteurs concernés.
Dans ces conditions, elle prend acte de l’engagement du ministère de clarifier le projet de texte de manière à préciser que la notion de "fournisseurs de services numériques d’assistance au déplacement" est incluse dans celle des "prestataires de services d’information en temps réel sur les déplacements".
 
Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL.
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25008238
Thématiques : Systèmes de transport intelligents, STI, données de circulation, point d’accès national
Organisme(s) à l’origine de la saisine : Ministère de l’aménagement du territoire et de la décentralisation
Fondement de la saisine : Article L.1513-2 du code des transports
L’essentiel :
 
La CNIL recommande que les responsabilités des différents acteurs soient clarifiées à l’égard des traitements de données à caractère personnel réalisés en amont de la mise à disposition.
 
Elle invite le ministère à limiter l’obligation de numérisation aux seules données et informations collectées après l’entrée en vigueur du décret projeté, par les organismes concernés.
 
Enfin, elle invite le ministère à clarifier les conditions d’anonymisation des données transmises.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu le code des transports, et notamment son article L. 1513-2 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Après avoir entendu le rapport de M. Didier Kling, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
La loi n° 2025-391 portant diverses dispositions d'adaptation au droit de l'Union européenne en matière économique, financière, environnementale, énergétique, de transport, de santé et de circulation des personnes ( loi DDADUE 2025 ) est venue transposer, le 30 avril 2025, la Directive (UE) 2023/2661 du Parlement et du Conseil du 22 novembre 2023 modifiant la directive 2010/40/UE concernant le cadre pour le déploiement de systèmes de transport intelligents ( STI ) dans le domaine du transport routier et d’interfaces avec d’autres modes de transport en France.
 
Les systèmes de transport intelligents ( STI ) sont basés sur la communication de données agrégées concernant les conditions de trafic routier aux prestataires de services d’information en temps réel , via un point d’accès national (le PAN ), par l’ensemble des acteurs susceptibles de détenir certaines données relatives à la circulation (autorités investies des pouvoirs de police de la circulation, gestionnaires des péages, constructeurs de véhicules dotés de systèmes de collecte et de transmission de données embarquées, fournisseurs des applicatifs d’assistance à la conduite, etc.).
 
La loi DDADUE 2025 a notamment introduit dans le code des transports un article L. 1513-2, lequel :
contient une liste des différentes catégories de détenteurs et utilisateurs des données et d'informations permettant la mise à disposition de services d'information en temps réel sur la circulation routière et la sécurité routière soumis à l’obligation de mettre ces données à disposition des utilisateurs potentiels, et
prévoit que les modalités d'application de cette disposition, et en particulier la liste des catégories de données devant être mises à disposition, devront être définies par voie réglementaire après avis de la CNIL et de l'Autorité de régulation des transports (ART).
 
B. L’objet de la saisine
 
Le projet de décret est pris pour application de l’article L. 1513-2 du code des transports.
 
Il impose à une partie des organismes énumérés à cet article l’obligation de numériser les données qu’ils détiennent. Il précise également quelles catégories de données doivent être mises à disposition, via le PAN, pour chaque catégorie d’acteurs.
II. L’avis de la CNIL
 
L’article 1er du décret insère une nouvelle section Obligations de numérisation des données routières dans le code des transports.
 
Composée d’un article unique D. 1513-10, elle a notamment pour objet de :
préciser les catégories d’acteurs soumis à l’obligation d’enregistrement numérique des données dont ils disposent, quel que soit leur format initial et dès lors que l’information sous-jacente existe ;
prévoir que les données concernées et leurs formats numériques [seront] précisés par arrêté du ministre chargé des transports .
 
En premier lieu, la CNIL constate que la mise en œuvre du système des transports intelligents nécessite trois étapes distinctes de traitement de données :
 
dans un premier temps, les constructeurs des véhicules terrestres à moteur ou leur mandataires devront collecter des données brutes dont le projet de décret ne précise pas la nature. Certaines de ces données pourraient, selon toute probabilité, présenter un lien avec des personnes identifiées ou identifiables (par exemple, une information relative à la présence d’un véhicule spécifique à un endroit et à un moment donnés), et être donc soumises à la réglementation applicable en la matière (notamment le RGPD et la loi informatique et libertés modifiée) ;
dans un second temps, le constructeur ou son mandataire devront extraire, à partir de ces données brutes, des informations agrégées, lesquelles ne devront en principe plus présenter de lien avec des personnes identifiées ou identifiables, et dont le traitement n’aurait de ce fait pas vocation à être encadré par les règles applicables en matière de protection des données à caractère personnel ;
enfin, dans un troisième temps, une fois que les données sont agrégées, le constructeur du véhicule ou son mandataire doit les transmettre au PAN en respectant la convention de la transmission des données .
A cet égard, la CNIL observe que le projet crée une obligation de transmission de données pour certaines catégories d’acteurs sans toutefois clarifier leur statut à l’égard de traitements de données à caractère personnel susceptibles d’être mis en œuvre dans ce cadre.
 
La détermination de leur statut étant un préalable nécessaire pour clarifier leurs obligations au regard des règles en matière de protection des données, la CNIL appelle le ministère à apporter cette clarification à même d’assurer la sécurité juridique de l’ensemble des acteurs concernés.
 
En deuxième lieu, pour l’obligation de numérisation, la CNIL observe que le texte ne distingue pas entre les données déjà détenues par les parties prenantes à la date d’entrée en vigueur de ce texte, et celles qui seront collectées après cette date. De plus, s’agissant des données déjà détenues, aucune limite temporelle n’est prévue pour limiter les données devant être numérisées.
 
A cet égard, la CNIL observe que le projet de décret est pris pour l’application de l’article L. 1513-2 du code des transports relatif à la mise à disposition de services d'information 
en temps réel
 sur la circulation routière et la sécurité routière. Par conséquent, une obligation de numérisation de données collectées avant l’entrée en vigueur du décret projeté n’apparait pas justifiée.
Dans ces conditions, la CNIL invite le ministère à modifier le projet de manière à limiter l’obligation de numérisation de données aux seules données et informations collectées par les organismes concernés, après son entrée en vigueur ou, à défaut, encadrer la profondeur historique des données à numériser.
 
En troisième lieu, la CNIL observe que la réglementation européenne relative aux systèmes de transport intelligents impose actuellement aux parties prenantes l’utilisation du standard de transmission de données appelé DATEX II.
 
La documentation technique relative à ce standard évoque les scénarios de collecte et de transmission d’informations telles que le modèle du véhicule, sa couleur, son numéro de plaque d’immatriculation et son numéro de série.
 
Interrogé sur la question de la compatibilité de tels contenus avec l’obligation d’anonymisation des données à la source, le ministère a indiqué que seule une partie des possibilités offertes par le standard DATEX II était actuellement utilisée par les détenteurs et les utilisateurs de données et d'informations permettant la mise à disposition de services d'information en temps réel sur la circulation routière et la sécurité routière, de sorte que seules les données anonymes étaient actuellement transmises dans ce cadre.
Par ailleurs, la CNIL prend acte de l’engagement du ministère de modifier le projet de décret afin de clarifier le fait que, quels que soient les formats numériques retenus pour la communication des données en question, ces formats ne permettront en aucun cas de réidentifier les véhicules concernés, leurs conducteurs, leurs propriétaires, leurs locataires ou leurs passagers.
 
Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL.
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25013418
Thématiques : hébergement de données de santé ; territorialité ; transferts
Organisme(s) à l’origine de la saisine :
Ministère du Travail, de la Santé, des Solidarités et des Familles
Fondement de la saisine :
article L. 1111-8 du code de la santé publique
L’essentiel :
1. Le projet de décret, pris en application des dispositions de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique et de l’article L. 1111-8 du code de la santé publique, précise les obligations pesant sur les hébergeurs de données de santé en matière de souveraineté.
 
2. La CNIL accueille favorablement le renforcement des exigences prévues par l'arrêté du 11 juin 2018 portant approbation du référentiel d'accréditation des organismes de certification et du référentiel de certification pour l'hébergement de données de santé à caractère personnel.
 
3.En outre, elle estime que l’actualisation des exigences réglementaires quant aux mentions du contrat d’hébergement constitue un apport bienvenu dans la perspective d’une plus grande transparence à l’égard des personnes concernées. 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;
 
Vu le code de la santé publique, notamment son article L. 1111-8 ;
 
Sur la proposition de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique ("loi SREN") contient diverses dispositions visant à assurer la protection des données stratégiques et sensibles sur le marché de l'informatique en nuage.
 
En particulier, l’article 32 de la loi SREN modifie le IV de l’article L. 1111-8 du code de la santé publique, relatif aux conditions de l’hébergement des données de santé à caractère personnel, pour y intégrer des obligations en matière de souveraineté.
Ainsi, cet article prévoit des obligations pour l’hébergeur de données de santé quant à la territorialité de l’hébergement et quant au contenu du contrat d’hébergement, en particulier concernant les mesures prises face aux risques de transfert de ces données ou d'accès non autorisé à celles-ci par des Etats n’appartenant pas à l'Union européenne ou à l'Espace économique européen (ci-après "Etat tiers"). 
 
B. L’objet de la saisine
 
Le projet de décret soumis à la CNIL pour avis par le ministère du travail, de la santé, des solidarités et des familles (Délégation au numérique en santé) précise la portée des nouvelles obligations pesant sur les hébergeurs de données de santé. 
 
A cette fin, le projet de décret prévoit :
L’obligation pour l’hébergeur de données de santé, le cas échéant ses sous-traitants, d’héberger les données de santé à caractère personnel exclusivement sur le territoire d'un Etat membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen ;
Les fondements des transferts de données, au sens du chapitre V du RGPD, en cas d’accès à distance aux données de santé depuis un Etat tiers ;
Les informations devant figurer dans le contrat d’hébergement concernant les transferts résultant d’un accès à distance, les réglementations extra-européennes applicables qui impliqueraient un transfert de données à caractère personnel ou un accès non autorisé à ces données au sens de l’article 48 du RGPD, les mesures mises en œuvre pour atténuer les risques liés à ces transferts et les risques résiduels demeurant malgré ces mesures, ainsi que les modalités d’exercice des droits par les personnes concernées ;
L’obligation pour l’hébergeur de données de santé d’assurer la tenue à jour et la publicité de la cartographie des transferts de données de santé en dehors de l’Union européenne, des éventuels accès à distance à ces données et des risques d’accès non autorisé à ces données.
II. L’avis de la CNIL
 
A. Sur les apports du projet de décret par rapport à la réglementation en vigueur
 
De manière générale, le projet de décret reprend les exigences déjà prévues par l’arrêté du 11 juin 2018 tel que modifié par l’arrêté du 26 avril 2024 (ci-après "référentiel HDS"), en particulier les exigences n°28 à 31, qu’il complète en exigeant expressément l’insertion de certains éléments dans le contrat d’hébergement.
La CNIL accueille très favorablement ce renforcement des obligations prévues par le référentiel HDS, qui apparaît de nature à accroître la transparence vis-à-vis des personnes concernées ainsi qu’à renforcer la maîtrise des données de santé par les parties au contrat d’hébergement vis-à-vis du risque d’accès extra-européen.
 
B. Sur les dispositions relatives à la territorialité de l’hébergement des données de santé et au risque d’accès à distance
 
Le 2° de l’article 1er du projet de décret précise la portée des exigences de l’article L. 1111-8 du code de la santé publique relative à la territorialité de l’hébergement des données de santé. Ainsi, lorsque l’activité d’hébergement de données de santé implique leur stockage, il doit intervenir exclusivement sur le territoire d'un Etat membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen, sans préjudice des cas d’accès à distance depuis un Etat tiers. 
 
Le ministère a précisé que cette obligation n’a pas pour objet d’obliger les responsables de traitement de données de santé à caractère personnel d’héberger leurs traitements exclusivement sur des offres issues d’acteurs économiques européens, mais vise à les orienter vers des offres immunes de tout risque d’accès extra-européen.
Cet article prévoit également que, dans l'hypothèse où la prestation proposée par l’hébergeur ou l’un de ses sous-traitants impliquerait un accès à distance à ces données depuis un Etat tiers, cet accès doit nécessairement être fondé sur une décision d’adéquation de la Commission européenne ou, à défaut, sur l’une des garanties appropriées prévues par l’article 46 du RGPD.
 
La CNIL accueille favorablement ces obligations en ce qu’elles ont pour objet d’assurer une protection renforcée des données de santé vis-à-vis d’acteurs extra-européens, tant dans le cadre de la prestation principale de stockage des données que dans le cadre des accès nécessaires à cette prestation. 
 
Concernant les exigences de souveraineté et d’immunité des données de santé par rapport aux lois extra-européennes, la CNIL réitère son soutien à l’objectif annoncé par le ministère de faire converger les exigences de la certification HDS avec celles prévues par la qualification SecNumCloud.
 
C. Sur les mentions devant figurer dans le contrat d’hébergement relatives à la souveraineté des données
 
Le 2° ainsi que les b) et c) du 3° de l’article 1er du projet de décret prévoient que le contrat d’hébergement de données de santé doit comporter :
Les informations relatives à l’encadrement des éventuels accès à distance aux données de santé depuis un Etat tiers, y compris le détail et la documentation des garanties appropriées, au sens de l’article 46 du RGPD, mises en place pour encadrer l’accès à distance en l’absence de décision d’adéquation, ainsi que les éventuelles autres mesures permettant d’assurer un niveau adéquat de protection des données ;
La liste des réglementations extra-européennes susceptibles d’entraîner un transfert ou un accès non autorisé aux données de santé, les mesures mises en œuvre pour atténuer les risques qu’un tel transfert ou accès se réalise ainsi que les risques résiduels demeurant malgré ces mesures ;
En l’absence de telles réglementations, une indication en ce sens ainsi que les justifications permettant d’en attester.
 
La CNIL accueille favorablement ces nouvelles mentions qui complètent et renforcent les exigences du référentiel HDS quant au contenu du contrat d’hébergement et permettent ainsi de garantir la maîtrise, par les parties au contrat, des différentes situations susceptibles de porter atteinte à la souveraineté des données.
 
D. Sur les droits des personnes
 
Le a) du 3° de l’article 1er du projet de décret prévoit que le contrat d’hébergement doit mentionner les modalités d’exercice des droits d’accès, de rectification, d’effacement et de portabilité des données, ainsi que de limitation du traitement et d’opposition au traitement lorsque ceux-ci sont applicables.
La CNIL accueille favorablement cette modification qui contribue à l’effectivité de l’exercice de leurs droits par les personnes concernées, en garantissant que les parties à la prestation d’hébergement des données de santé ont bien prévu les mesures appropriées pour permettre cet exercice.
 
Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL. 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°.b) ;
 
Après avoir entendu le rapport de Mme Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement ;
 
Article 1 
Le référentiel figurant en annexe est adopté. 
 
Article 2 
La présente délibération sera publiée au Journal officiel de la République française. 
 
Annexe 
Vous pouvez consulter l’intégralité du texte à l’adresse suivante : https://www.cnil.fr/referentiel-durees-conservation-donnees-rh
 
 
 
La présidente,
 
 
 M.-L. Denis
N° de demande d’avis : 2241618
Thématiques : Recherche scientifique (hors santé), observation participante, information des personnes
Organisme(s) à l’origine de la saisine : Université de Montpellier Paul-Valéry
Fondement de la saisine :
Article 44.6° 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL a été saisie par l’université de Montpellier Paul-Valery d’une demande d’avis sur un traitement mis en œuvre dans le cadre d’un projet de recherche 
sur les pratiques langagières en santé mentale
.
Compte tenu de l’objet et de la portée du traitement, la CNIL recommande de mettre en œuvre des mesures d’atténuation des risques de réidentification des personnes (suppression des données identifiées comme non pertinentes après l’analyse, pseudonymisation des données).
Concernant 
l’information des personnes concernées, la CNIL rappelle qu’il conviendra de prendre les mesures nécessaires, d’une part, pour se conformer à l’obligation d’informer individuellement les personnes concernées au titre de l’article 13 du RGPD et, d’autre part, pour s’assurer que le traitement projeté peut bénéficier de la dérogation prévue à l’article 14.5.b du RGPD. 
­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD);
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 44-6 ;
Sur proposition de Mme Aminata Niakaté, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le projet de recherche repose sur une analyse du langage et du discours sur les pratiques langagières en santé mentale dans le cadre de l’intervention précoce en psychiatrie. Il s’agit plus spécifiquement d’analyser les processus de construction, de circulation et d’appropriation des catégories diagnostiques en santé mentale dans les interactions entre jeunes adultes, soignants et communautés numériques concernées. Les travaux sont menés au sein du laboratoire Langages humanité médiations apprentissages interactions numériques (ci-après LHUMAIN ) de l’université de Montpellier Paul-Valéry.
 
Ce projet a pour objectifs :
d’étudier les pratiques d’autodiagnostic et de divulgation de troubles psychiques sur certaines plateformes telles que Discord, par exemple;