AgentPublic/cnil huggingface dataset:
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024.
Finalité et contexte de l’étude
Le traitement a pour finalité la mise en œuvre d’une enquête portant sur l’autonomie en établissements d’hébergement de la protection de l’enfance. Elle poursuivra les objectifs suivants : 
estimer la part des enfants en situation de handicap dans les établissements d’hébergement de la protection de l’enfance ; 
comparer, parmi les enfants placés, les différences d’accès à la scolarité, aux loisirs ou dans les relations avec leurs parents, selon que les enfants sont en situation de handicap ou non. 
Afin d’atteindre cet objectif, cette enquête portera sur des personnes âgées de 5 à 20 ans hébergées en établissement de protection de l’enfance depuis au moins un mois, ainsi que sur certains membres du personnel de ces établissements. 
Cette enquête fait partie du dispositif des enquêtes " Autonomie ". 
Elle a été désignée comme " enquête d’initiative nationale obligatoire " par l’arrêté du 26 septembre 2024 complétant l'arrêté du 7 novembre 2023 portant approbation du programme d'enquêtes statistiques d'initiative nationale ou régionale des services publics pour 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (notamment traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)), des destinataires des données directement identifiantes, des modalités d’information des personnes concernées et des durées de conservation.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Méthodologie de la recherche
Dans un premier temps (volet " établissement "), plusieurs établissements d’hébergement de la protection de l’enfance seront tirés au sort. 
Ces établissements rempliront un questionnaire permettant notamment de tirer au sort :
quinze personnes pour le volet " vie quotidienne et santé " ;
parmi ces quinze personnes, six personnes seront également concernées par le volet " Individus ".
Dans un deuxième temps (volet " vie quotidienne et santé "), un questionnaire concernant la personne tirée au sort sera rempli par un membre du personnel de l’établissement d’hébergement. 
Dans un troisième temps (volet " individus "), les personnes tirées au sort dans le cadre du volet " établissement " rempliront un questionnaire.
Un questionnaire sera également rempli par un membre du personnel de l’établissement d’hébergement, concernant les personnes tirées au sort pour participer au volet " Individus ".
Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé)
Seront réutilisées des données à caractère personnel issues : 
des dossiers administratifs mis en œuvre par les établissements d’hébergement de la protection de l’enfance ; 
les données issues des déclarations sociales nominatives visées à l’article L. 133-5-3 du code de la sécurité sociale dont le traitement est mis en œuvre par le ministère du travail, de la santé et des solidarités (Direction de l’animation de la recherche, des études et des statistiques - DARES) ; 
les données issues du traitement intitulé " remontées individuelles sur l’Autonomie " mis en œuvre par le ministère du travail, de la santé et des solidarités (DREES) . Ce traitement est visé à l’article L. 232-21-1 du code de l’action sociale et des familles (CASF) ;
les données issues du traitement intitulé " Observation longitudinale, individuelle et nationale en protection de l’enfance " (Olinpe) mise en œuvre par le ministère du travail, de la santé et des solidarités (Direction de la recherche, des études, de l’évaluation et des statistiques). Ce traitement est visé à l’article L 2226-3-3 du CASF.
Catégories particulières de données traitées (autres que données de santé)
Les données directement identifiantes (données nominatives et coordonnées), les données de santé et le NIR des personnes doivent être traités et transmis de façon séparée. Ces données seront enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Le responsable de traitement et les personnes agissant sous son autorité n’auront accès qu’aux données des personnes tirées au sort.
S’agissant des personnes tirées au sort lors du volet " établissement " :
Les données à caractère personnel dont le traitement est envisagé sont les suivantes : 
deux premières lettres du nom et le prénom ; 
mois et année de naissance ;
date d’entrée dans la structure ;
la reconnaissance administrative d’un handicap ;
numéro d’inclusion dans l’enquête.
S’agissant des personnes tirées au sort concernées par le volet " Individus " :
Les données à caractère personnel dont le traitement est envisagé sont les suivantes : 
prénom, nom, sexe, NIR. Dans l’hypothèse où le NIR ne serait pas transmis par le responsable de l’établissement d’hébergement, la commune de naissance sera traitée à des fins de reconstitution du NIR ;
date de naissance complète et lieu de naissance (en France ou à l’étranger) ;
la reconnaissance administrative d’un handicap ;
des informations concernant les titulaires de l’autorité parentale (tranche d’âge, statut vital, nationalité, lieu de naissance (en France ou à l’étranger), lieu de vie, situation professionnelle). 
Collecte des données nominatives, de la date de naissance complète et du sexe :
Les données seront traitées aux fins de reconstitution du CSNS par l’Institut national de la statistique et des études économiques en France (INSEE) pour effectuer un rapprochement avec les données issues du traitement " Olinpe ", du traitement " remontées individuelles sur l’Autonomie " et des déclarations sociales nominatives par l’utilisation du code statistique non signifiant (CSNS). 
Collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) :
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants.
Collecte de la commune de naissance :
La collecte de la commune de naissance sera réalisée uniquement si le NIR n’est pas renseigné par les établissements d’hébergement de la protection de l’enfance. Dans cette hypothèse, les données nominatives, le sexe, la date de naissance complète ainsi que le lieu de naissance des personnes tirées au sort seront traitées aux fins de reconstitution du NIR par l’INSEE.
S’agissant des personnes tirées au sort concernées par le volet " vie quotidienne et santé " :
Les données à caractère personnel dont le traitement est envisagé sont les suivantes : 
prénom, date de naissance complète, sexe ;
la reconnaissance administrative d’un handicap ;
la date d’entrée dans l’établissement d’hébergement, le type de mesure, le type de prise en charge, parcours à l’aide sociale de l’enfance.
S’agissant de la collecte des données nominatives et des coordonnées postales des titulaires de l’autorité parentale
 :
La collecte des nom, prénom, ainsi que des coordonnées postales est nécessaire pour leur adresser la note d’information.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2019 à 2029, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : Centre d’accès sécurisé aux données.
Information et droits des personnes
En amont du tirage au sort réalisé dans le volet " établissement ", une note d’information relative au projet de recherche sera :
diffusée sur le site web du responsable de traitement de l’étude ;
affichée au sein des établissement d’hébergement participant. 
Ces mesures de transparence permettront d’informer collectivement les membres du personnel, les personnes hébergées au sein de l’établissement ainsi que les familles dès le commencement de l’enquête.
S’agissant des personnes tirées au sort pour le volet " individus " :
Si la personne hébergée dans l’établissement et tirée au sort est majeure, elle recevra une note d’information individuelle.
Si la personne hébergée dans l’établissement et tirée au sort est mineure, 
les titulaires de l’exercice de l’autorité parentale recevront, dès le tirage au sort effectué, une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
la personne tirée au sort recevra une note d’information lors d’un entretien de suivi. 
Le membre du personnel de l’établissement d’hébergement participant au volet " individu " sera informé individuellement préalablement à la réalisation de l’entretien de suivi. 
S’agissant des personnes tirées au sort concernées par le volet " vie quotidienne et santé " :
La personne hébergée dans l’établissement et tirée au sort ainsi que, le cas échéant, ses représentants légaux seront informés individuellement par l’établissement d’hébergement. Conformément au a) du 3 de l’article 14 du RGPD, la personne devra être informée dans un délai raisonnable, ne dépassant pas un mois.
L’ensemble de ces notes d’information devront comporter l’ensemble des mentions prévues par le RPGD. Les notes d’informations qui seront remise aux personnes mineures devront être adaptées à leurs capacités de compréhension.
Mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de sa demande d’autorisation une analyse d’impact relative à la protection des données. Celle-ci devra être complétée pour prendre en compte les étapes d’appariement. 
Différents identifiants pseudonymes séquentiels ou aléatoires, selon les étapes du traitement, sont attribués aux participants. Il est recommandé d’utiliser uniquement des identifiants pseudo-aléatoires.
Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD).
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par le f) du 1 de l’article 5 et l’article 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Durées de conservation en base active et en archivage
Les données des personnes concernées par le tirage au sort mais non sélectionnées ne seront pas conservées dans le cadre de l’étude.
Le prénom et la date de naissance complète des personnes tirées au sort pour le volet " vie quotidienne et santé " seront conservées pendant douze mois après la fin de la collecte, uniquement afin de vérifier la conformité des fichiers reçus, puis supprimées.
Les données nominatives, la date de naissance complète, le lieu de naissance des personnes tirées au sort pour le volet " Individus " ne seront pas conservés après l’appariement.
Les données nominatives et les coordonnées postales des titulaires de l’autorité parentale seront supprimées après l’envoi de la note d’information.
Autres données : 20 ans dans le respect de l’article L. 1461-1 du code de la santé publique.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE le MINISTERE DE LA SANTE ET DE LA PREVENTION (DIRECTION DE LA RECHERCHE, DES ETUDES, DE L’EVALUATION ET DES STATISTIQUES) à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest VI du 8 juillet 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
S’agissant de la collecte des données administratives d’identification :
La collecte des nom, prénom et coordonnées (téléphoniques et électroniques) est nécessaire pour contacter les participants aux fins de recrutement.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
S’agissant de l’examen des caractéristiques génétiques des participants :
Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi " informatique et libertés ".
S’agissant des autres catégories de données traitées :
La collecte des " Ilots Regroupés pour l'Information Statistique " (IRIS) a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Durées de conservation en base active et en archivage
Les données administratives d’identification seront conservées pendant une durée maximale de trente jours puis détruites.
Les échantillons biologiques seront conservés pendant la durée de l’étude puis versés dans une collection biologique pour une durée maximale de douze ans, lorsque la personne y aura consenti.
Autres données :
Base active : douze ans
Archivage : quinze ans.
Réutilisation des données et des échantillons biologiques
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données associées devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Utilisation de données issues du SNDS historique
Composantes et années concernées sous réserve qu’elles soient diffusables par la CNAM :
SNIIRAM et PMSI : 2015 à 2025
CépiDc : 2022 à 2025.
Modalités de consultation : portail de la CNAM
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique.
Information et droits des personnes
Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera rendue publique sur le site web du responsable de traitement ainsi que sur celui du responsable de la mise en œuvre de l’étude.
Ces documents devront comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Trois ans à compter de la mise à disposition des données.
 
AUTORISE la société 
BRYSTOL MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur adjoint de l'accompagnement juridique
 
Paul HEBERT
l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires ;
la profondeur historique des données du SNDS dont le traitement est envisagé : le traitement porte désormais sur les années 2018 à 2026, sous réserve qu’elles soient diffusables par la CNAM.
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
 
AUTORISE la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la mise à jour de la liste des sociétés composant les membres du consortium VALPORATE, dont fait dorénavant partie la société AUROBINDO PHARMA B.V.
 
La note d’information collective, diffusée sur le site web de chacun des membres du consortium, sera mise à jour en conséquence.
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE les sociétés susmentionnées à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. 
Point de non-conformité à la méthodologie de référence concernée