AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 avril 2022.
Sur le rôle du groupement d’intérêt public "Plateforme des données de santé"
Le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par le GIP PDS. Tous les filtrages et les appariements de données seront réalisés en amont de la transmission des données vers la solution technique du GIP PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM.
Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que le GIP PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le CHU de Brest et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par cette méthodologie de référence.
Réutilisation des données d’une base existante 
Les données portant sur les années 2018 à 2019 du registre des accidents vasculaires cérébraux du pays de Brest (demande d’autorisation n° 908085) seront réutilisées dans le cadre de la présente étude.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI
Années concernées : 2017 à 2020, sous réserve qu’elles soient diffusables par la CNAM.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information sur :
le site web du responsable de traitement de l’étude ;
les sites web des centres participants au registre.
 
Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD.
 
Ce traitement devra être enregistré dans le répertoire public mis à disposition par le GIP PDS.
Mesures de sécurité et modalités d’hébergement
La sécurité des données de l’espace projet dédié au projet "ALIA" dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique du GIP PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet "ALIA".
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "ALIA" et intégrant les éléments fournis par le GIP PDS pour sa solution technique.
 
Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 15 avril 2023, pour une durée de trois ans sous réserve de la mise en œuvre du plan d’actions qu’il a défini.
Cette décision d’homologation devra donc être renouvelée avant l’expiration de ce délai si le projet est toujours en cours.
 
Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au CHU de Brest de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Transferts hors Union européenne
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP.
En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Durées de conservation 
Un an à compter de la mise à disposition des données.
Observations particulières
La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du registre des accidents vasculaires cérébraux du pays de Brest relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou demande d’autorisation). Par conséquent, le registre des accidents vasculaires cérébraux du pays de Brest devra faire l’objet d’une nouvelle formalité auprès de la Commission.
 
AUTORISE le 
centre hospitalier universitaire de brest à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est I du 5 février 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
La collecte des noms et prénoms des participants par le sous-traitant du responsable de traitement est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
La collecte de la commune de résidence des participants et d’installation des orthophonistes a été justifiée dans le dossier de demande. 
Mesures de sécurité 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet POPPINS-02.
Afin d’assurer la séparation des données directement identifiantes par rapport aux données de l’étude, le sous-traitant dispose d’une architecture technique spécifiquement conçue et de procédures organisationnelles assurant la gestion des habilitations d’accès. Une attention particulière devra être portée sur l’attribution de profils accédant aux deux catégories de données : elle devra faire l’objet d’une validation hiérarchique spécifique et être limitée aux données strictement nécessaires aux missions de la personne habilitée.
Afin d’assurer la confidentialité des informations sensibles échangées entre le personnel des centres investigateurs et les participants à l’étude, la solution de visioconférence choisie dispose d’un haut niveau de sécurité et ne permet pas d'enregistrer les sessions ; les messages instantanés et autres données de session sont automatiquement supprimées à la fin d’une session. En outre, le personnel de l'étude est formé afin qu'aucun échange d'informations écrites non autorisé n'ait lieu pendant la visioconférence.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Transferts hors Union européenne 
Le responsable de traitement prévoit de transférer à Jersey, pays reconnu comme adéquat par l’Union européenne, certaines données pseudonymisées des participants à l’étude.
Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données des participants à l’étude.
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ("data privacy framework", ci-après "DPF").
En l’espèce, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Prenant en considération l’arrêt C311/18 rendu par la CJUE le 16 juillet 2020, il ne peut être totalement exclu une divulgation non autorisée par le droit de l’Union européenne, en violation de l’article 48 du RGPD aux autorités publiques étatsuniennes, sur le fondement de la section 702 de la loi FISA et de l’Executive Order 12 333. Le responsable de traitement devra mettre en œuvre des mesures empêchant tout accès aux données par le prestataire, telles que le chiffrement des données sauvegardées par des algorithmes à l’état de l’art et la non-transmission des clés de chiffrement au prestataire.
Durées de conservation en base active et en archivage
Les données nominatives seront conservées deux ans puis détruites.
 
Autres données :
Base active : deux ans
Archivage : quinze ans.
 
AUTORISE la société BMOTION TECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé (CESREES) du 18 juillet 2024.
Modification substantielle du traitement de données
La modification envisagée concerne l’ajout d’un objectif secondaire relatif à la description des complications liées aux maladies inflammatoires chroniques de l'intestin et les arrêts de travail associés aux séquences de traitements.
Les autres conditions de mise en œuvre de l’étude demeurent inchangées.
 
AUTORISE la société JANSSEN-CILAG à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024. 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI. 
Années concernées : 2006 à 2025.
Modalités de consultation : portail de la CNAM
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information devra également être rendue publique sur le site internet du responsable de traitement. Elle devra 
comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Durée d’accès
Trois ans après la dernière mise à disposition des données.
 
AUTORISE la société BRISTOL MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité national d’éthique de la recherche pour la santé humaine (CNERSH) du Ministère de la santé publique de la République du Cameroun du 17 septembre 2024.
Points de non-conformité à la méthodologie de référence concernée
Les participants à la présente étude sont inclus au Cameroun.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal et, d’autre part, des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Catégories particulières de données traitées (autres que données de santé)
Des enregistrements vocaux ne pouvant pas permettre l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. 
La collecte de données relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.
Destinataires des données directement identifiantes