AgentPublic/cnil huggingface dataset:
Conformément à l'article 26 du RGPD, ils doivent définir de manière transparente leurs obligations respectives.
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France VI du 7 octobre 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées. L’analyse du dossier permet d’identifier que le traitement envisagé n’est également pas conforme à la MR-003 s’agissant des destinataires des données indirectement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
S’agissant de la collecte des coordonnées téléphoniques : 
Elle est nécessaire pour contacter les participants aux fins d’administration du questionnaire. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
 
S’agissant des autres catégories de données traitées :
La collecte des données suivantes a été scientifiquement justifiée dans le dossier de demande : 
- l’IRIS ("Ilots Regroupés pour l'Information Statistique"); 
- la commune de résidence ; 
- la nationalité ; 
- la situation administrative (titre de séjour) ; 
- les revenus totaux générés par l’activité de livraison le mois précédent l’enquête ; 
- le niveau socio-économique perçu ; 
- le pays de naissance des père et mère des participants. 
 
S’agissant du recueil des données de géolocalisation des participants :
Les participants seront invités à utiliser un traceur de données de géolocalisation (GPS) lors de leurs déplacements à vélo. Cette collecte interviendra toutes les trente secondes, pendant une durée de quarante-huit heures, uniquement durant l’activité de livraison à vélo. Les participants pourront en interrompre ou en suspendre la collecte.
 
La granularité spatiale de ces données sera fine, avec une précision de trois mètres. La précision et la fréquence de la collecte ont été scientifiquement justifiées dans le dossier de demande. 
 
Les données de géolocalisation redondantes, correspondant à des lieux d’attente statique, seront supprimées. Elles permettront uniquement de générer les indicateurs suivants : 
• la distance parcourue par trajet ;
• la durée des trajets ; 
• la vitesse moyenne du trajet ; 
• le type de voie empruntée ; 
• le moment de la journée au cours duquel le trajet a été effectué.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Mesures de sécurité
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, les responsables conjoints de traitement restent pleinement responsables du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables leur imposent d’être en mesure de justifier de leur conformité à tout moment.
 
L’analyse d’impact relative à la protection des données devra être mise à jour afin de refléter les mesures de protection mises en œuvre pour réduire les risques identifiés.
Durées de conservation en base active et en archivage
Les coordonnées téléphoniques seront détruites après la réalisation de l’entretien. Les enregistrements audios seront détruits après leur retranscription. Les données de géolocalisation seront conservées deux mois aux fins de calcul des indicateurs nécessaires à la réalisation des objectifs de l’étude puis supprimés.
 
Autres données : Base active : cinq ans
Archivage : quinze ans.
AUTORISE l’INSTITUT DE RECHERCHE POUR LE DÉVELOPPEMENT, l’INSTITUT NATIONAL D’ETUDES DEMOGRAPHIQUES et l’association COOPCYCLE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des destinataires des données directement identifiantes En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégories particulières de données traitées (autres que données de santé) 
La collecte des nom, prénom, date de naissance est nécessaire pour assurer le suivi des patients qui en sont informés. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle. 
Durées de conservation en base active et en archivage 
Les données nominatives seront conservées pendant sept mois maximum puis supprimées à la fin du suivi. 
Autres données :
Base active : deux ans
Archivage : quinze ans
 
AUTORISE l’UNIVERSITÉ DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitant 
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du Règlement général sur la protection des données. 
Avis du comité
Avis favorable du Comité de protection des personnes Sud Méditerranée I du 13 mars 2024. 
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Les données de l’étude "E3N-Générations 2" (demande d’autorisation n°916200) seront réutilisées afin de leur proposer de participer à l’étude "BROUHAHA". 
Catégories particulières de données traitées (autres que données de santé)
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
 
La collecte de ces données est nécessaire pour :
sélectionner les participants selon le critère du lieu de résidence ;
préparer les kits de mesures en fonction du lieu de résidence des participants ;
proposer aux participants de participer à l’étude ;
contacter les participants pour le retour des kits de mesure (par mail et courrier, puis par appel téléphonique en cas de relance infructueuses) ;
permettre au sous-traitant de créer des comptes personnels sur les applications utilisées dan le cadre de la recherche.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
S’agissant du recueil des données de géolocalisation des participants :
 
Les participants seront invités à télécharger une application dédiée sur les mobiles multifonctions (smartphones) des participants du qui permettra la collecte des données de géolocalisation (GPS) suivantes :
position comprise entre 10 et 15 mètres ;
toutes les quinze secondes ;
pendant une durée de sept jours. 
 
L’application mobile ne disposant pas de la permission système d’accès au réseau, les données GPS seront exportées depuis l’application et transmises manuellement par les personnes concernées aux équipes en charge de leur analyse.
 
Les participants pourront interrompre ou suspendre la collecte des données de géolocalisation pendant la fenêtre des sept jours et en seront expressément informés.
 
Cette collecte a été justifiée scientifiquement dans le dossier de demande. 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle. 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant auquel il est proposé de participer à l’étude.
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’étude ne devront pas être contactées à nouveau.
Mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données.
 
Afin de limiter les risques liés au traitement des données de géolocalisation collectées par l’application mobile, le responsable de traitement met en œuvre les mesures suivantes :
aucune donnée de localisation n’est hébergée sur le serveur de l’éditeur de l’application ;
les données sont enregistrées sur le mobile multifonctions (smartphones) du participant ;
les données de géolocalisation seront dégradées afin d’obtenir une précision approximative de dix à quinze mètres.
 
Au regard des dispositions de l’article 32 du RGPD, la CNIL considère que la transmission des données de géolocalisation à l’INSERM devrait être chiffrée, de sorte à garantir la confidentialité des données traitées. À cet égard, elle recommande de mettre à disposition des participants une plate-forme sécurisée de dépôt de fichier.
Les mesures de sécurité devront être opérationnelles lors de la mise en œuvre du traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Transferts hors Union européenne 
Des transferts de données directement identifiantes vers la Suisse, pays disposant d’un niveau de protection adéquat, seront réalisés.
Durées de conservation en base active et en archivage
Les données de géolocalisation prétraitées des participants seront conservées en base active pendant quatre ans au maximum et détruites à l’issue des analyses et de la publication des résultats. 
 
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) conservées par le responsable de traitement seront détruites. 
 
Les échantillons biologiques seront conservés six mois puis détruits. 
 
Autres données :
Base active : quatre ans
Archivage : quinze ans.
 
AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du comité d’éthique de la recherche de l’Institut des sciences biomédicales appliquées de République du Bénin du 13 janvier 2025. 
Point de non-conformité à la méthodologie de référence
Les participants à la présente étude sont inclus au Bénin.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR001 à l’exception, d’une part, des modalités d’information des personnes concernées et d’autre part, de l’application des dispositions de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
En dehors de ces points qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Par ailleurs, il est pris acte de l’engagement des responsables de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
S’agissant de l’inclusion de mineurs, dans la mesure du possible, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur. Toutefois, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. 
Transferts hors Union européenne
Les responsables de traitement prévoient de transférer certaines données pseudonymisées des participants à l’étude au Bénin.
Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD.
Conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, les responsables de traitement ou les sous-traitants ne peuvent transférer des données à caractère personnel vers un pays tiers que s’ils ont prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
Les responsables de traitement envisagent d’encadrer le transfert de données au Bénin par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021.
 
Il incombe aux responsables de traitement d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Bénin afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Les responsables de traitement sont également tenus de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Durées de conservation en base active et en archivage
Base active : quatre ans
Archivage : quinze ans
Réutilisation des données
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. 
 
AUTORISE l’INSTITUT DE RECHERCHE POUR LE DEVELOPPEMENT, l'UNIVERSITE ABOMEY-CALAVI et l’INSTITUT DE RECHECHE CLINIQUE DU BENIN à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les sous-traitants
Le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) interviendra dans le cadre du ciblage et de l’extraction des données du SNDS depuis le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS.
Seules les données strictement nécessaires et pertinentes au regard des objectifs décrits dans le protocole de recherche seront ciblées puis extraites depuis le portail de la CNAM par la PDS. Tous les filtrages de données seront réalisés en amont de la transmission des données vers la solution technique de la PDS. La vérification de la concordance entre les données nécessaires à la mise en œuvre des traitements décrits dans le dossier et les données extraites sera effectuée en lien avec la CNAM.
S’agissant des autres opérations de traitement dont l’hébergement pour analyse, la CNIL estime que la PDS interviendra en qualité de sous-traitant.
La répartition des rôles et responsabilités entre l’association ICTAL GROUP et le GIP PDS, concernant ces aspects notamment la conservation des données, la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD.
Réutilisation des données d’une base existante 
Les données du registre "ICTAL" (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) seront réutilisées dans le cadre de la présente étude et chainées de façon probabiliste avec celles du SNDS.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2013 à 2027.
Modalités de consultation : plateforme technologique du GIP PDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes
S’agissant des patients inclus dans le registre ICTAL :
Ils recevront une note d’information individuelle.
 
S’agissant des patients inclus dans les populations contrôles et dont les données proviendront exclusivement du SNDS :