AgentPublic/cnil huggingface dataset:
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de la DREES d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. 
Durée d’accès
Six ans et six mois à compter de la mise à disposition des données par le CASD.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE l’INSTITUT NATIONAL D’ETUDES DEMOGRAPHIQUES à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
De nombreux acteurs ont fait part, à la Commission nationale de l’informatique et des libertés (CNIL), de questionnements concernant l’application du règlement général sur la protection des données (RGPD) à l’intelligence artificielle (IA), en particulier depuis l’émergence de systèmes d’IA génératives.
La CNIL adopte une troisième recommandation sur l’application du RGPD au développement des systèmes d’intelligence artificielle. 
Cette troisième recommandation est composée de deux fiches pratiques : 
Mobiliser la base légale de l’intérêt légitime pour développer un système d’IA
La base légale de l’intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping)
D’autres fiches pratiques seront prochainement adoptées dans le cadre de cette série de recommandations. 
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée. 
 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française. 
La présidente,
M.-L. Denis
Annexe 
 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : https://www.cnil.fr/fr/les-fiches-pratiques-ia
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
des finalités poursuivies (enseignement) ;
des modalités d’information des personnes concernées ;
de certaines mesures de sécurité.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé ayant pour finalités :
la réalisation de recherches, études ou évaluations dans le domaine de la santé ;
la réalisation de recherche interne ;
la réalisation d’études de faisabilité ;
la réalisation d’études médico-économiques ;
l’enseignement (constitution de cas clinique et de simulations) ;
la réalisation de modèles prédictifs pour l’intervention pharmaceutique (utilisation d’un algorithme permettant de mieux cibler les prescriptions devant faire l’objet d’une validation ciblée par un pharmacien) et de modèles prédictifs pour la veille sanitaire.
Les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur les données traitées 
Les données à caractère personnel des patients sont issues de différentes bases des applications métiers du système d’information de l’établissement.
Seules des données pseudonymisées seront traitées à des fins d’enseignement.
Conformément au référentiel, le NIR des patients sera, d’une part, conservé chiffré et, d’autre part, pseudonymisé de façon irréversible pour alimenter l’entrepôt. 
La profondeur historique des données intégrées dans l’entrepôt ne pourra excéder 20 ans.
Sur l’information des personnes
S’agissant des patients ayant effectués un séjour d’hospitalisation complète aux HUS dans le secteur médecine, chirurgie et obstétrique, finalisé dans les douze mois qui précèdent la date de début de mise en production de l’entrepôt et n’étant plus suivis :
la note d’information sera envoyée sur la messagerie sécurisée de santé disponible sur l’espace numérique de santé "mon espace santé" ;
pour les personnes ne disposant pas d’une telle messagerie ou ne relevant pas le message dans les 15 jours suivant l’envoi, un courriel leur sera envoyé comportant un lien vers la notice d’information. Ce lien sera sécurisé par l’envoi d’un code via SMS nécessaire à l’ouverture du message ; 
à défaut, une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD sera adressée aux patients par voie postale.
S’agissant des autres participants pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis :
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment :
la publication de communiqués de presse via les médias régionaux, associations de patients, acteurs institutionnels (Caisse primaire d’assurance maladie du Bas Rhin, région Grand-Est, Eurométropole de Strasbourg, communauté européenne d’Alsace (hors conseil départemental de la Moselle) ;
la diffusion d’une note d’information sur le site web du responsable de traitement ;
la diffusion d’une note d’information par voie d’affichage au sein de l’établissement. 
 
Un portail de transparence sera mis en place par le responsable de traitement :
il comportera une note d’information relative à la constitution de l’entrepôt ;
il devra comporter une note d’information spécifique à chaque traitement mis en œuvre à partir des données de l’entrepôt, publiée préalablement à sa mise en œuvre.
S’agissant des patients toujours suivis et des patients pris en charge postérieurement à la constitution de l’entrepôt :
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD sera remise aux patients et le cas échéant, à leurs représentants légaux, au moment de leur prise en charge (hospitalisation ou consultation). Une note d’information sera diffusée sur la chaine de télévision de l’établissement et via des écrans installés dans les salles d’attente.
S’agissant des professionnels de santé dont les données ont été collectées antérieurement à la constitution de l’entrepôt :
Les professionnels dont les données sont versées dans l’entrepôt recevront un courriel sur leur messagerie professionnelle, comportant une note d’information individuelle. 
S’agissant des professionnels de santé dont les données ont été collectées postérieurement à la constitution de l’entrepôt :
Les professionnels dont les données sont versées dans l’entrepôt recevront, lors des procédures de recrutement, une note d’information individuelle. 
Ces notes seront également publiées sur l’intranet de l’établissement.
S’agissant des utilisateurs de l’entrepôt :
Une information détaillée devra être annexée au contrat conclu avec les responsables de traitement. Une information renvoyant vers une notice complète devra également être fournie avec le formulaire de demande d’accès.
Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
Sur la sécurité des données et la traçabilité des actions
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel "entrepôts de données dans le domaine de la santé". 
Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants :
la présence de documents non-structurés contenant des données directement identifiantes ;
le chiffrement des données génétiques ;
l’exportation de données hors de l'entrepôt et hors des espaces de travail dont les modalités sont décrites ci-après.
Conformément à l’exigence SEC-PSE-4 du référentiel "entrepôt de données dans le domaine de la santé", les documents non structurés ajoutés à l’entrepôt doivent faire l’objet d’une étape de suppression ou de masquage avant leur intégration dans l’entrepôt. Cette étape consiste à supprimer les données identifiantes des patients et des professionnels de santé ou à les remplacer par des termes génériques ou des données fictives. Les documents originaux devront être supprimés après la réalisation de cette étape.
Les données génétiques collectées au sein de l’entrepôt seront des informations relatives à la caractérisation de la mutation du gène lié à la maladie, recueillies dans le cadre de la prise en charge. Ces informations ne présentant pas de sensibilité supplémentaire comparée aux autres données versées dans l’entrepôt, un cloisonnement spécifique n’est pas nécessaire.
 
L’exigence SEC-EXP-1 du référentiel "entrepôts de données de santé" prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale.
 
Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagée dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin.
 
Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur un espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation.
Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque et permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet des formalités requises auprès de la CNIL.
 
La CNIL rappelle que le plan d’actions communiqué dans le dossier de demande devra être mis en œuvre avant que l’accès à l’entrepôt ne soit ouvert à des partenaires extérieurs.
 
Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
AUTORISE, dans ces conditions, LES HOPITAUX UNIVERSITAIRES DE STRASBOURG à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Décide :
Article 1
Les agents de la direction des contrôles et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Fabienne AMIARD.
Mme Madeleine CAZETTES DE SAINT LEGER.
Mme Virginie CLAUDE-LOONIS.
Mme Audrey DANEL.
Mme Ludivine DELELIS.
Mme Caroline DEROUET.
Mme Marie GAILLARDON.
Mme Sophie GEISTEL.
M. Rodolphe GÉNISSEL.
Mme Sarah GUILLOU.
Mme Marion JABOT.
Mme Morgane LE HIR.
Mme Alexandrine MANDRON.
Mme Isabelle MANTZ.
Mme Clothilde MAULIN.
Mme Oriane MAURICE.
Mme Nina MCEVOY.
Mme Rébecca PRADEL.
Mme Aude RICHARD.
Mme Lauren SERAN.
Article 2
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 3
La délibération n° HABS-2025-002 du 3 avril 2025 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g, 10, 11 et 19  ;
Après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 :
M. Belaïd Aït Hamouda, auditeur des systèmes d'information au service des contrôles à la direction des contrôles et des sanctions  ;
Mme Fabienne Amiard, adjointe à la cheffe du service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions ;
M. Thibaud Antignac, adjoint au chef du service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Tess d'Armagnac, juriste au service des contrôles à la direction des contrôles et des sanctions  ;
M. Mehdi Arfaoui, sociologue du numérique au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Martin Biéri, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Nathalie Bohbot, auditrice des systèmes d'information au service des contrôles à la direction des contrôles et des sanctions  ;
Mme Stéphanie Boisseau, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Sandrine Bontrond, juriste au service d'information du public à la direction des relations avec les publics  ;
Mme Cécile Bosser, juriste conseil au service d'information du public à la direction des relations avec les publics  ;
M. Tanguy Boucher, juriste au service des contrôles à la direction des contrôles et des sanctions  ;
M. Érik Boucher de Crèvecoeur, ingénieur référent santé au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Taïna Bouganim, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Justine Braive, juriste au service des contrôles à la direction des contrôles et des sanctions  ;
Mme Véronique Bremond, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
Mme Céline Brézillon, cheffe du service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
M. Vincent Bringer, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
Mme Solenn Brunet, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle  ;
M. Clément Bunel, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Thierry Cardona, ingénieur au service des contrôles à la direction des contrôles et des sanctions  ;
Mme Madeleine Cazettes de Saint Léger, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Lucie Chartrain, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Régis Chatellier, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle  ;
Mme Tiphaine Chellabi, juriste au service des affaires européennes et internationales ;
Mme Virginie Claude-Loonis, cheffe du service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Audrey Danel, juriste au service des sanctions et du contentieux1 à la direction des contrôles et des sanctions  ;
Mme Justine Deboté, chargée de greffe au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
M. Guillaume Delafosse, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Ludivine Delelis, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Isabelle Delerue, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Grégoire Delette, adjoint au chef du service des contrôles à la direction des contrôles et des sanctions  ;
M. Florent Della Valle, chef du service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Tess Delmas, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
M. Xavier Delporte, directeur des relations avec les publics  ;
Mme Caroline Derouet, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Sadio Dioumassy, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Julien Drochon, auditeur des systèmes d'information référent à la direction des contrôles et des sanctions  ;
M. Hugo Dussert, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Viktorija Elenski, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Adèle Fargues, auditrice des systèmes d'information au service des contrôles à la direction des contrôles et des sanctions ;
Mme Louise Fauvel, adjointe à la cheffe du service des affaires européennes et internationales ;
Mme Alicia Filipiak, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Anne Fontanille, juriste au service des affaires européennes et internationales  ;
Mme Florence Fourets, directrice chargée de projets régaliens - PRADA auprès du secrétaire général  ;
Mme Marie Gaillardon, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Linda Gamiette, juriste au service d'information du public à la direction des relations avec les publics ;
M. Gaston Gautreneau, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;