AgentPublic/cnil huggingface dataset:
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité SNDS . 
Information et droits des personnes
S’agissant des personnes incluses dans le programme d’accès précoce :
Elles recevront une note d’information individuelle.
 
S’agissant des autres personnes concernées :
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement relative à la présente étude.
Transferts hors Union européenne
S’agissant de l’accès ponctuel aux données par des personnes situées en dehors de l'Union européenne :
Le sous-traitant accèdera à certaines données pseudonymisées des participants à l’étude depuis le Canada, conformément aux dispositions de l’article R. 1461-1 du CSP.
 
Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. 
Conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, le responsable de traitement s ne peut transférer des données à caractère personnel vers un pays tiers que s’ils ont prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
Le responsable de traitement envisage d’encadrer le transfert de données au Canada par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. Il incombe au responsable de traitement d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Canada afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Durée d’accès aux données du SNDS
Trois ans à compter de la dernière extraction des données.
 
AUTORISE la société BRISTOL-MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées (profondeur historique sollicitée).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI
Années concernées : 2011 à 2025, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
 
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Durée d’accès
Trois ans à compter de la mise à disposition des données.
 
AUTORISE la société BRISTOL MYERS SQUIBB FRANCE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est IV du 11 mars 2025.
Modification substantielle du traitement de données
La modification envisagée concerne la durée de conservation des données en base active. Initialement prévue pour une durée de cinq ans, celle-ci est prolongée de dix années supplémentaires. Cet allongement a été scientifiquement justifié dans le dossier de demande.
Les autres conditions de mise en œuvre de l’étude demeurent inchangées.
 
AUTORISE le CENTRE HOSPITALIER DE NANCY à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitants 
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est I du 26 mars 2025.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Destinataires des données directement identifiantes 
La collecte des nom, prénom, ainsi que des coordonnées (téléphoniques, électroniques) est nécessaire pour assurer le suivi au moyen de questionnaire en ligne et d’entretiens semi-structurés, ainsi que la dispense des sessions de méditation de pleine conscience en distanciel nécessaires aux finalités du traitement. 
Les instructeurs certifiés qui assurent les sessions de méditation seront destinataires des données directement identifiantes afin de dispenser ces sessions.
Les participants en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Durée d’accès/ Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et électroniques) seront détruites dès le dernier recueil de données au moyen des questionnaires en ligne, soit dix mois après le début du suivi.
 
Autres données :
Base active : trois ans et dix mois.
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du comité de protection des personnes Sud-Est VI du 23 mai 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Des enregistrements vidéo permettant l’identification des mineurs se prêtant à la recherche seront réalisés dans le cadre de cette étude.
Le consentement des titulaires de l’exercice de l’autorité parentale devra être recueilli pour la réalisation des enregistrements vidéo conformément aux dispositions applicables en matière de droit à l’image et de droit à la voix.
Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle. 
Durées de conservation en base active et en archivage
Les enregistrements vidéo seront conservés pendant deux ans puis détruits.
Autres données :
Base active : deux ans
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
N° de demande d'avis : 25006925.
			N° d'acte réglementaire unique : RU-83.
			Thématiques : drones, sécurité, installations militaires.
			Organisme à l'origine de la saisine : ministère des armées, ministère de l'intérieur.
			Fondement de la saisine : article 31.
L'essentiel :
1. Ce projet d'acte réglementaire unique a pour objet de fixer un cadre juridique unique pouvant couvrir l'ensemble des traitements de données à caractère personnel provenant de caméras installées sur des aéronefs et mis en œuvre afin de garantir la protection des installations militaires, ainsi que la sécurité des équipements et des personnels qui y travaillent.
2. La CNIL estime que ces traitements sont proportionnés et légitimes au regard de la finalité poursuivie. Elle prend acte de ce que le survol assorti d'une captation vidéo ne sera mis en œuvre qu'au-dessus des installations militaires et des bordures intérieures et extérieures de leurs enceintes, et accueille favorablement la diffusion d'une doctrine d'emploi auprès des militaires chargés de la protection des installations afin que la captation vidéo puisse être réalisée de façon uniforme.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 31 ;
Sur la proposition de Mme Isabelle Latournarie-Willems, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La sensibilité des installations militaires et des activités qui s'y exercent, ainsi que leur superficie, nécessitent un niveau de protection et de sécurité élevé, à la fois au sein de ces installations et à leurs abords.
Plusieurs modalités organisationnelles et techniques permettent d'assurer la sécurité de ces installations, notamment des dispositifs de caméras pour protéger leurs périmètres et des dispositifs biométriques pour en protéger les accès.
En complément des mesures existantes et pour pallier d'éventuels points de vulnérabilité, le projet d'arrêté autorise la mise en œuvre de traitements automatisés de données à caractère personnel captées par des caméras installées sur des aéronefs, tels que des drones.
B. - L'objet de la saisine
La CNIL est saisie d'un acte réglementaire unique (ARU) au sens du IV de l'article 31 de la loi informatique et libertés . Cet arrêté-cadre a pour objet de fixer un cadre juridique unique pouvant couvrir l'ensemble des traitements de données à caractère personnel provenant de caméras installées sur des aéronefs et mis en œuvre afin de garantir la protection des installations militaires, ainsi que la sécurité des équipements et des personnels qui y travaillent.
Les services du ministère des armées et de la direction générale de la gendarmerie nationale (DGGN), dans le cadre de ses missions de défense des installations militaires utilisées pour ses propres besoins, pourront se rattacher à ce dispositif par le biais d'un engagement de conformité à l'ARU auprès de la CNIL.
II. - L'avis de la CNIL
A titre liminaire, la CNIL prend acte de l'engagement des ministères de diffuser des informations à destination de l'ensemble des personnels afin que les dispositifs soient déployés partout de façon uniforme et garantissent ainsi un même niveau de protection au regard, notamment, de l'appréciation des finalités du traitement de données à caractère personnel, du mode de collecte de ces données, de leur durée de conservation et de l'information du public. D'une part, s'agissant de la DGGN, une doctrine interne sera établie ; d'autre part, s'agissant du ministère des armées, une note d'information interne et une directive d'application seront diffusées à l'attention des directions et services concernés.
A. - Sur les finalités et le périmètre des traitements
Le projet d'arrêté a pour seule finalité d'assurer la protection des installations militaires, conformément aux dispositions de l'article L. 2364-1 du code de la défense.
La notion d' installations militaires recouvre les zones militaires, les zones protégées et les zones de défense hautement sensibles (telles qu'elles sont définies par le code de la défense), mais également des zones temporaires déterminées, le cas échéant, par arrêté préfectoral. Ainsi, il peut s'agir tant d'emprises au sol (terrains et bâtiments), que d'engins en mouvement affectés à l'autorité militaire ou placés sous son contrôle (navires ou convois militaires, par exemple).
La CNIL relève que le survol assorti d'une captation vidéo ne sera mis en œuvre qu'au-dessus des installations militaires et des bordures intérieures et extérieures de leurs enceintes, le cas échéant, tant pour les emprises que pour les installations mobiles, et ce, dans le but d'en assurer la protection optimale.
B. - Sur les données collectées
L'article 2 du projet d'arrêté prévoit que seront enregistrés dans les traitements :
- les images, à l'exclusion des sons, captées par les caméras installées sur des aéronefs ;
- le jour et la plage horaire d'enregistrement ;
- le nom et prénom ou le numéro d'identification administrative du pilote, du télé-pilote ou de l'opérateur ainsi que, le cas échéant, le numéro d'enregistrement de l'aéronef ;
- le lieu ou la zone géographique où ont été collectées les données.
La CNIL relève que la plupart des vols seront réalisés sans enregistrement, celui-ci ne devant être enclenché que pour un intérêt opérationnel, dans l'hypothèse de la détection d'un évènement suspect. La durée d'intervention sera adaptée et proportionnée aux caractéristiques de la menace identifiée.
La CNIL souligne que, conformément aux dispositions de l'article L. 2364-2 du code de la défense, les opérations de captation d'images devront être réalisées de telle sorte qu'elles ne permettent pas de visualiser les images de l'intérieur des domiciles, ni leurs entrées. Ces modalités seront rappelées expressément par la doctrine d'emploi et la directive précitées. Ces dernières rappelleront également que les opérations de captation aéroportée d'images porteront sur les bordures intérieures et extérieures des enceintes militaires, en sorte de ne pas permettre de visualiser la voie publique en champ large.
La CNIL observe que, s'il est prévu de ne capter des images qu'à proximité immédiate des installations militaires, il ne peut être exclu que, de manière incidente, des données sensibles, au sens de la loi informatique et libertés , puissent être collectées. A cet égard, elle appelle les ministères à une vigilance particulière et prend acte du fait qu'en tout état de cause, les données seront supprimées dans les conditions prévues à l'article 3 du projet d'arrêté.
C. - Sur la durée de conservation
L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées lors d'une captation vidéo seront conservées pour une durée maximale de trente jours à compter de la fin du déploiement du dispositif, à l'exception de celles conservées dans le cadre d'une procédure judiciaire, administrative ou disciplinaire.
La CNIL rappelle que la durée de conservation de trente jours est une durée maximale, qui doit être appréciée au regard des finalités. En outre, elle recommande la mise en œuvre par les responsables de traitement de solutions automatisées d'effacement des enregistrements vidéo au terme du délai de conservation de trente jours.
D. - Sur les accédants aux données
Le I de l'article 4 du projet dispose que peuvent accéder aux données à caractère personnel et informations, d'une part, les militaires en charge de la sécurité déployés pour les besoins de la protection de l'installation militaire (1°) et, d'autre part (2°) les responsables des militaires de ces services ou unités. La CNIL estime que le projet de décret devrait définir plus précisément cette dernière catégorie d'accédants, en désignant les personnes mentionnées au 2° comme les responsables hiérarchiques des militaires de ces services ou unités.
E. - Sur l'information du public et les droits de la personne concernée
L'article 6 du projet prévoit les modalités selon lesquelles l'information du public est assurée. La CNIL précise que celle-ci pourra être rendue effective par une série de mesures, notamment : une information générale via le site web du ministère des armées, des affichages publics autour du périmètre des zones militaires, des relais par les services de gendarmerie pour les convois militaires, ou encore, concernant les zones militaires temporaires, l'arrêté préfectoral précisant le périmètre d'intervention, ainsi que la durée pour laquelle celle-ci est instaurée.
Par ailleurs, la CNIL accueille favorablement les modalités prévues par l'article 7 du projet pour l'exercice des droits. Celui-ci précise que les droits d'accès, de rectification et d'effacement s'exercent de manière directe auprès du responsable de traitement, conformément aux dispositions de l'article 119 de la loi informatique et libertés .
F. - Sur les mesures de sécurité
S'agissant de la sécurité des traitements projetés, la CNIL relève que des mesures matérielles, logiques et organisationnelles adaptées sont mises en œuvre.
La présidente,
M.-L. Denis