AgentPublic/cnil huggingface dataset:
La Commission en prend acte. Elle rappelle cependant que le dossier devra être mis à jour dans le cas où d’autres salariés ou prestataires interviendraient dans la recherche, l’étude ou l’évaluation.
Les données à caractère personnel faisant le cas échéant l’objet d’un traitement dans le cadre de la déclaration des intérêts au moyen des formulaires sont les suivantes :
des données d’identification : nom, prénom, organisme d’appartenance, fonction ou qualité, rôle dans la mise en œuvre du traitement ;
des données relatives aux liens d’intérêts en rapport avec l’objet du traitement concernant les activités principales ou secondaires au cours des trois dernières années, les activités dirigées et activités dirigées par la personne et financées par un organisme à but lucratif dont les activités, les techniques et les produits entrent dans le champ de l’objet du traitement :
	
la structure et les activités bénéficiaires ;
le nom de l’entreprise, de l’établissement, de l’organisme, ou de l’employeur ;
l’organisme à but lucratif financeur ;
le nom de la structure qui met à disposition le brevet, produit… ;
l’adresse de l’employeur ;
le lieu d’exercice de l’activité ;
les fonctions exercées ; 
le domaine et type de travaux ;
le nom du produit de santé ou du sujet traité ;
le lieu et l’intitulé de la réunion ;
le sujet de l’intervention ; 
le nom du produit visé ;
le nom de l’activité et du brevet, produit… ; 
la rémunération /intérêt financier direct ou indirect ;
la prise en charge des frais de déplacement ; 
la perception d’un éventuel intéressement ;
les dates de début et de fin des activités.
La Commission considère que ces données sont légitimes, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (3°) de la loi Informatique et Libertés.
 
Sur l’information des personnes concernées et les modalités d’exercice des droits 
L’article 6 du projet prévoit que les personnes physiques mentionnées au troisième alinéa de l’article 5, c’est-à-dire le responsable, les salariés et les prestataires des laboratoires de recherche et bureaux d’études, sont informés du recueil et de la publicité des données les concernant par le laboratoire de recherche ou bureau d’études. 
Il prévoit, par ailleurs, que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée s'exercent auprès de l’INDS.
La Commission déduit de l’absence de mention du droit d’opposition que le ministère souhaite en écarter l’application. 
Elle prend acte de ce que le ministère s’est engagé à écarter formellement la possibilité pour les personnes concernées d’exercer leur droit s’opposition en précisant dans le projet que " le droit d’opposition prévu à l’article 38 de la LIL ne s’applique pas au(x) traitement(s) de données à caractère personnel autorisé(s) par le présent arrêté ".
La Commission suggère au ministère de modifier cet ajout afin de faire mention des " traitements de données à caractère personnel relatifs à la déclaration d’intérêts ", dans la mesure où l’arrêté n’a pas pour objet d’autoriser la création d’un traitement. 
En outre, la Commission relève que les deux modèles de formulaire figurant dans le projet ne comportent pas les mentions prévues par l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle demande qu’ils soient complétés en conséquence. 
Sur l’engagement de conformité au référentiel :
Le deuxième alinéa de l’article L. 1461-3-II-2° du code de la santé publique prévoit que les laboratoires de recherche et bureaux d’études présentent à la Commission un engagement de conformité au référentiel prévu par le projet. 
La Commission prend acte de l’engagement du ministère de mentionner cette obligation dans le projet, en précisant que l’engagement de conformité devra être réalisé auprès de la Commission.
Les autres dispositions du projet n'appellent pas, en l'état et au regard de la loi n° 78-17 du 6 janvier 1978 modifiée, d'observation de la Commission.
 
La présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest III du 30 mai 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (enregistrements audios et chaînage des données cliniques avec celles du Système national des données de santé (SNDS)).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé)
S’agissant de la réalisation d’enregistrements vocaux : 
Des enregistrements vocaux permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants ainsi que, le cas échéant, de leurs représentants légaux sera recueilli pour la réalisation des enregistrements. 
 
S’agissant de la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) :
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF avec NIR publiée par la CNIL. A cet égard, les données de l’étude seront saisies par le centre investigateur dans un cahier d'observation électronique centralisé ( eCRF ) contenant le NIR, la date de naissance complète et le sexe qui seront cloisonnés par rapport aux données de l’étude et au numéro d’inclusion (par exemple, dans une table séparée et chiffrée avec une clé spécifique). L’accès à l’eCRF sera sécurisé par une authentification multifacteur.
Aux fins d’appariement, l’eCRF génèrera en interne une table de correspondance pour tous les participants, entre leur NIR, sexe et date de naissance et un identifiant d’accrochage aléatoire et non signifiant. Cette table sera transmise à la CNAM, éventuellement par l’entremise d’un tiers de formatage habilité à utiliser le téléservice SAFE. Les algorithmes et les procédures de gestion de clés de chiffrement devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. A cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Utilisation de données issues du SNDS historique
Composantes concernées : PMSI et CépiDC. 
Années concernées : 2024 à 2027, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM. 
Information et droits des personnes
Les notes d’informations devront comprendre l’ensemble des mentions prévues par le RGPD.
En outre, le responsable de traitement devra prévoir la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle.
Durées d’accès et de conservation des données
Les enregistrements vocaux seront conservés pendant un an puis détruits après analyse.
Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
 
Données du SNDS : six mois à compter de la mise à disposition des données.
 
Autres données : 
Base active : deux ans. 
Archivage : quinze ans. 
 
AUTORISE le GROUPEMENT DES HOPITAUX DE L’INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France I du 18 juin 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants sera recueilli pour la réalisation des enregistrements.
Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. 
Destinataires des données directement identifiantes
La collecte des noms, prénoms, des coordonnées (téléphoniques et électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. 
Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle. 
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées des participants seront détruites à la fin du suivi. 
Les enregistrements vidéo des entretiens réalisés avec les participants seront conservés pendant trente jours maximum puis détruits.
 
Autres données :
Base active : deux ans
Archivage : quinze ans.
 
AUTORISE LE CENTRE HOSPITALIER DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 novembre 2023.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (collecte du code postal de résidence et de l’"Ilot Regroupé pour l'Information Statistique" (IRIS)) ainsi que des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Dans le cadre de cette étude, seront réutilisées :
les données du fichier national d’assistance médicale à la procréation, mis en œuvre par l’Agence de biomédecine (demande d’autorisation n° 916514 ; décision DR-2017-050) ;
les données issues des bases de données des laboratoires de biologie médicale participants.
Catégories particulières de données traitées (autres que données de santé)
La collecte du code IRIS, du code postal de résidence, ainsi que d’informations relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes
Sur les modalités d’information des personnes concernées par l’étude :
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement.
Des actions de communication seront également réalisées par des associations de patients afin de relayer la note d’information collective. 
 
Sur l’exercice des droits des personnes concernées par l’étude :
Les droits des personnes concernées ne pourront être exercés que pendant vingt-quatre mois. Conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail "Article 29" le 29 novembre 2017, les responsables de traitement doivent informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées.
Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible, conformément à l’article 11 du RGPD.
Durées de conservation en base active et en archivage
Les données seront conservées cinq ans en base active, puis détruites.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Observations complémentaires
Le responsable de traitement souhaite mettre à la disposition d’autres chercheurs un ensemble de données "anonymisées" collectées dans le cadre de cette étude. 
Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Seuls des jeux de données répondant à ces conditions pourront être mis à disposition.
Dans l’hypothèse où une nouvelle étude serait réalisée à partir de jeux de données à caractère personnel, celle-ci devra faire l’objet de formalités préalables. En dehors de cette hypothèse, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition.
 
AUTORISE l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Méditerranée IV du 25 octobre 2023.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie.
Les personnes concernées en seront préalablement informées.
Information des personnes
Tous les participants recevront une note d’information individuelle.
Mesures de sécurité
Les consentements des participants à la recherche seront recueillis au format papier et feront l’objet d’un contrôle qualité réalisé à distance. La solution technique permettant ce contrôle des consentements consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur.
Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’ envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée . La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé.
Le dépôt des documents de consentement numérisés sur la plateforme est réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur le règlement eIDAS.
Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés.
Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement sont uniquement consultables en ligne, la solution met en œuvre une visualisation web en propre afin d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché d’étude clinique. 
Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation. 
Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment.