AgentPublic/cnil huggingface dataset:
mettre en cohérence l’article R. 114-2 du code de la sécurité intérieure (CSI) avec l’article R. 1241-66-3 du même code afin d’ajouter les agents d’Ile-de-France Mobilités exerçant des missions relatives à la sûreté des transports à la liste des personnes pouvant faire l’objet d’une enquête administrative préalable en application de l’article L. 114-1 du CSI ;
 
modifier le décret n° 2022-1405 du 4 novembre 2022 portant autorisation d'un traitement de données à caractère personnel assurant le suivi des missions de coordination du centre d'information, de commandement et de coordination opérationnelle chargé de la sécurité du réseau de transport collectif de voyageurs de la zone de défense et de sécurité de Paris afin d’autoriser les agents d’Ile-de-France Mobilités exerçant des missions relatives à la sûreté des transports à être destinataires des données relatives à des événements de sûreté traitées dans le cadre du Centre de coordination opérationnelle de sécurité (CCOS).
 
II. L’avis de la CNIL
 
A titre liminaire, la CNIL relève que le projet de décret ne crée pas de nouveau traitement de données à caractère personnel dans la mesure où la consultation des images par les agents d’Ile-de-France Mobilités et le partage automatisée d’informations sont des opérations qui s’inscrivent dans des traitements de vidéoprotection déjà existants.
A. Sur les conditions dans lesquelles les images provenant d’un système de vidéoprotection peuvent être renvoyées dans les salles de commandement
 
Le projet de décret permet aux agents d’Ile-de-France Mobilités de visionner des images de vidéoprotection, transmise en temps réel depuis les véhicules et emprises immobilières des transports publics de voyageurs ou leurs abords immédiats, aux seules fins de concourir aux actions de prévention de la délinquance et de sécurisation des personnels et des usagers.
 
Le projet de décret n’apporte pas de précision sur les cas dans lesquels la transmission est possible. A cet égard, le ministère indique que les situations nécessitant une transmission en temps réel pouvant être extrêmement différentes et évolutives (menace terroriste, prévention et lutte contre les délits commis dans les secteurs couverts par les caméras de vidéoprotection, perturbations fortes du trafic induisant des risques pour la sécurité des biens ou des personnes comme un accident grave de voyageurs, etc.), il n’est pas envisageable de déterminer des critères objectifs.
Si la CNIL prend acte de ce que le règlement intérieur de chaque salle de commandement précisera cette notion en l’illustrant au moyen d’exemples concrets, elle estime que des typologies de situations et de menaces, ainsi que des critères objectifs pour caractériser le risque, devraient être déterminés dans une doctrine d’emploi applicable à l’ensemble des salles d’information et de commandement relevant de l'Etat. Elle recommande que cette doctrine d’emploi soit définie au niveau ministériel et non au niveau de chaque responsable de traitement.
 
Par ailleurs, le projet d’article R. 1241-66-4 du code des transports prévoit que lorsque les images proviennent d’un système de vidéoprotection appartenant à un tiers installé dans les emprises immobilières des transports publics de voyageurs ou leurs abords immédiats, elles sont envoyées vers ces agents sur décision du chef de salle, dès lors qu’un évènement susceptible de porter atteinte à la sécurité des personnes et des biens se produit ou est susceptible de se produire.
 
Les "tiers" visés par ce projet d’article sont les commerces ou galeries commerciales installés dans les gares ou leurs abords et qui disposent de systèmes de vidéoprotection.
Le ministère précise qu’il n’est pas possible d’établir à l’avance une typologie précise des circonstances permettant d’apprécier le terme "évènement susceptible de porter atteinte à la sécurité des personnes et des biens" au risque de ne pas être exhaustif. Il indique que l’appréciation des évènements conditionnant le renvoi d’images vers ces agents sera faite par le chef de salle au titre de ses attributions.
 
La CNIL considère toutefois que des critères objectifs devraient être déterminés dans une doctrine d’emploi définie au niveau ministériel, à des fins d’harmonisation.
 
 
B. Sur les mesures de sécurité
 
Sur la base des éléments transmis par le ministère, la CNIL comprend qu’une partie du mur d’images de la salle CCOS sera réservée aux partenaires. Les agents ne pourront ainsi visionner les images que lorsque celles-ci seront effectivement "renvoyées" vers le mur par le chef de salle. La Commission prend acte des précisions apportées par le ministère selon lesquelles il n’y pas d’enregistrement des images en centre de commandement, les seuls enregistrements concernant les traces mentionnées au projet d’article R. 1241-66-5 du code des transports.
 
 
 
 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Après avoir entendu le rapport M. Fabien Tarissan, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement
Formule les observations suivantes :
Conformément à l’article 73 de la loi "informatique et libertés", la CNIL peut homologuer des référentiels dédiés à la mise en œuvre de traitements de données à caractère personnel ayant pour finalité la recherche, les études et les évaluations dans le domaine de la santé.
Afin de faciliter la conformité pour les responsables de traitement, les mesures de sécurité à l’état de l’art pour la recherche en santé ont été regroupées dans un document commun ayant vocation à être annexé aux méthodologies de référence.
La CNIL homologue l’annexe "sécurité" des méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
 
M.-L. Denis
Annexe : vous pouvez consulter l'intégralité du texte au JORF n°0120 du 23 mai 2026 :  https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054125917
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code civil ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés" ) ;
Vu la délibération n° 2018-153 du 3 mai 2018 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé avec recueil du consentement de la personne concernée (MR-001) et abrogeant la délibération n° 2016-262 du 21 juillet 2016 ;
Vu la délibération n° 2026-049 du 19 mars 2026 portant homologation de l’annexe sécurité pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe sécurité) ;
Vu la délibération n°2026-052 du 19 mars 2026 portant homologation de l’annexe contrôle qualité pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe contrôle qualité) ;
Après avoir entendu le rapport de Mme Marie Zins et M. Fabien Tarissan, commissaires, et les observations de M. Damien Milic, commissaire du Gouvernement ;
Formule les observations suivantes :
 
Certains traitements de données à caractère personnel dans le domaine de la santé sont soumis à un régime de formalités préalables auprès de la CNIL. Ces formalités prennent la forme, par principe, d’une déclaration de conformité à un référentiel homologué par la CNIL ou, par exception, d’une demande d’autorisation dès lors que le traitement ne répond pas à l’ensemble des exigences du référentiel applicable.
Depuis l’entrée en vigueur du RGPD, et afin de simplifier les démarches des acteurs concernés, la CNIL a adopté treize référentiels, dont huit méthodologies de référence dédiées aux recherches, études et évaluations dans le domaine de la santé.
A l’été 2024, la CNIL a mené une consultation publique sur l’ensemble des référentiels applicables aux formalités préalables dans le domaine de la santé. Cette consultation a permis d’identifier les besoins prioritaires des acteurs.
Compte tenu des réponses reçues, dont les conclusions ont fait l’objet d’une restitution publique, des modifications de la MR-001, adoptée en 2018, se sont avérées nécessaires afin de tenir compte de l’évolution :
du cadre légal et règlementaire ;
des pratiques dans le cadre de la recherche clinique, notamment leur importante numérisation ;
de la menace pesant sur la sécurité des systèmes d’information en recherche ;
de l’état de l’art en matière de sécurité informatique.
Le responsable de traitement d’une recherche, relevant du champ d’application de la MR-001, pourra la mettre en œuvre dans le cadre d’une déclaration de conformité dès lors que le traitement de données à caractère personnel est conforme aux dispositions de la MR-001, y compris les mesures prévues par l’annexe "sécurité" et l’annexe "contrôle qualité" .
Dans ces conditions, la CNIL :
abroge la délibération n° 2018-153 du 3 mai 2018 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé avec recueil du consentement de la personne concernée (MR-001) ;
adopte la méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé avec recueil du consentement de la personne concernée (MR-001) annexée à la présente délibération.
La présente délibération sera publiée au Journal officiel de la République française.
La méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française, à l’exception de la mesure MR-SEC-12 concernant l’authentification multifacteur qui entre en vigueur à compter du :
1er janvier 2027 pour les services numériques, les systèmes d’information ou les outils numériques utilisés dans le cadre de la recherche et accessibles via internet ;
1er janvier 2028 pour l’ensemble des services numériques, systèmes d’information ou outils numériques utilisés dans le cadre de la recherche accessibles ou non via internet.
La présidente,
 
M.-L. Denis
Annexe : vous pouvez consulter l'intégralité du texte au JORF n°0120 du 23 mai 2026 :  https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054125924
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code civil ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi " informatique et libertés") ;
Vu la délibération n° 2018-154 du 3 mai 2018 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) et abrogeant la délibération n° 2016-263 du 21 juillet 2016 ;
Vu la délibération n° 2026-049 du 19 mars 2026 portant homologation de l’annexe " sécurité" pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe sécurité) ;
Vu la délibération n°2026-052 du 19 mars 2026 portant homologation de l’annexe " contrôle qualité" pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe contrôle qualité) ;
Après avoir entendu le rapport de Mme Marie Zins et M. Fabien Tarissan, commissaires, et les observations de M. Damien Milic, commissaire du Gouvernement ;
Formule les observations suivantes :
 
Certains traitements de données à caractère personnel dans le domaine de la santé sont soumis à un régime de formalités préalables auprès de la CNIL. Ces formalités prennent la forme, par principe, d’une déclaration de conformité à un référentiel homologué par la CNIL ou, par exception, d’une demande d’autorisation dès lors que le traitement ne répond pas à l’ensemble des exigences du référentiel applicable.
Depuis l’entrée en vigueur du RGPD, et afin de simplifier les démarches des acteurs concernés, la CNIL a adopté treize référentiels, dont huit méthodologies de référence dédiées aux recherches, études et évaluations dans le domaine de la santé.
A l’été 2024, la CNIL a mené une consultation publique sur l’ensemble des référentiels applicables aux formalités préalables dans le domaine de la santé. Cette consultation a permis d’identifier les besoins prioritaires des acteurs.
Compte tenu des réponses reçues, dont les conclusions ont fait l’objet d’une restitution publique, des modifications de la MR-003, adoptée en 2018, se sont avérées nécessaires afin de tenir compte de l’évolution :
du cadre légal et règlementaire ;
des pratiques dans le cadre de la recherche clinique, notamment leur importante numérisation ;
de la menace pesant sur la sécurité des systèmes d’information en recherche ;
de l’état de l’art en matière de sécurité informatique.
Le responsable de traitement d’une recherche, relevant du champ d’application de la MR-003, pourra la mettre en œuvre dans le cadre d’une déclaration de conformité dès lors que le traitement de données à caractère personnel est conforme aux dispositions de la MR-003, y compris les mesures prévues par l’annexe " sécurité" et l’annexe " contrôle qualité".
Dans ces conditions, la CNIL :
abroge la délibération n° 2018-154 du 3 mai 2018 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) ;
adopte la méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée en vue de la participation à la recherche, annexée à la présente délibération.
La présente délibération sera publiée au Journal officiel de la République française.
La méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française, à l’exception de la mesure MR-SEC-12 concernant l’authentification multifacteur qui entre en vigueur à compter du :
1er janvier 2027 pour les services numériques, les systèmes d’information ou les outils numériques utilisés dans le cadre de la recherche et accessibles via internet ;
1er janvier 2028 pour l’ensemble des services numériques, systèmes d’information ou outils numériques utilisés dans le cadre de la recherche accessibles ou non via internet.
La présidente,
M.-L. Denis
Annexe : vous pouvez consulter l'intégralité du texte au JORF n°0120 du 23 mai 2026 :  https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054125946
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés" ) ;
 
Vu la délibération n° 2026-049 du 19 mars 2026 portant homologation de l’annexe sécurité pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe sécurité) ;
Après avoir entendu le rapport de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement ;
Formule les observations suivantes :
La mission de contrôle qualité consiste à vérifier l’exhaustivité et l’exactitude des données collectées dans le cadre d’une recherche, une étude ou évaluation dans le domaine de la santé (ci-après, recherche en santé ). Elle est réalisée par comparaison entre les données à caractère personnel collectées dans le cadre d’une recherche en santé et celles issues de documents dits sources (par exemple le dossier médical de la personne se prêtant à la recherche).
La réalisation sur site de cette mission, c’est-à-dire au sein du lieu où se déroule la recherche, peut d’ores et déjà intervenir dans le cadre d’une déclaration de conformité aux méthodologies de référence (MR) 001, 002, 003 et 004.
 
La crise sanitaire liée à la COVID-19 a fortement développé le recours au contrôle qualité à distance , conduisant la CNIL à adopter des recommandations provisoires, applicables jusqu’au 31 décembre 2021. Ces recommandations ont été mises à jour et mises en consultation publique entre mai et juillet 2024.
 
Au regard de la sensibilité des données à caractère personnel traitées dans le cadre d’une mission de contrôle qualité, il est nécessaire de préciser les mesures juridiques, techniques et organisationnelles à mettre en œuvre pour garantir la protection des droits et libertés des personnes concernées. Ces mesures étant communes à l’ensemble des recherches en santé, il est apparu utile de les rassembler au sein d’un document unique auquel les MR pourront faire référence.
 
Un responsable de traitement d’une recherche en santé pourra mettre en œuvre une mission de contrôle qualité dans le cadre d’une déclaration de conformité à une MR dès lors que :
la MR concernée prévoit la réalisation de cette mission ;
cette mission est réalisée dans des conditions conformes à la présente annexe ;
les autres conditions de mise en œuvre de la recherche en santé sont conformes à la MR applicable.
Dans ces conditions, la CNIL homologue l’annexe contrôle qualité des méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé.
 
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
 
M.-L. Denis
Annexe : vous pouvez consulter l'intégralité du texte au JORF n°0120 du 23 mai 2026 :  https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054125963
La Commission nationale de l'informatique et des libertés,
Saisie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés) ;
Vu l’avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) du 6 novembre 2025 ;
Après avoir entendu le rapport de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
 
La société Withings commercialise plusieurs objets connectés dédiés à la santé et au bien-être, dont certains sont qualifiés de dispositifs médicaux (ci-après, "les produits Withings"). Dans ce cadre, elle propose notamment une offre "grand public" correspondant à l’acquisition par des particuliers de produits Withings pour leur usage personnel, se distinguant de l’offre destinée aux professionnels.
 
Le dossier de demande précise que :
l’utilisation des produits Withings nécessite la création d’un compte individuel via l’application mobile associée ;
deux catégories d’utilisateurs des produits Withings sont à distinguer : les utilisateurs principaux disposant d’un compte individuel et les utilisateurs secondaires qui ne disposent pas d’un compte individuel mais sont susceptibles d’utiliser les produits Withings.
 
Cette société commercialise des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) et la mise en œuvre de l’étude "DEEP" implique un traitement de données du Système national des données de santé (SNDS). Ainsi, les dispositions des articles L. 1461-1 et L. 1461-3 du CSP sont applicables en l’espèce.
Sur la conformité au référentiel concerné :
 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception :
 
de la nature des données traitées (appariement déterministe des données de santé avec celles du SNDS et traitement de la date de naissance complète ainsi que de la commune de résidence) ;
des destinataires des données directement identifiantes (traitement des données administratives d’identification en vue de la reconstitution du numéro d’inscription au répertoire des personnes physiques (NIR)).
 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la finalité du traitement et son caractère d’intérêt public :
 
Le traitement envisagé a pour finalité la mise en œuvre d’une étude visant le développement et la validation d’algorithmes de détection précoce de maladies chroniques notamment à partir des données collectées lors de l’utilisation des produits Withings rassemblés au sein d’un traitement dénommé "base Withings".
 
Selon le dossier de demande :
 
l’étude conduira au développement et à la validation de quatre algorithmes pour quatre pathologies distinctes (le diabète, l’insuffisance cardiaque, l’artérite oblitérante des membres inférieurs, l’hypertension artérielle) ;
la phase de développement correspondra à l’entraînement et l’optimisation des modèles d’intelligence artificielle ;
la phase de validation correspondra à l’évaluation des performances techniques et cliniques des modèles développés ;
la version des modèles validée dans le cadre de cette étude a vocation à être qualifiée de dispositif médical. Ces dispositifs seront réputés validés dès l’obtention des autorisations et/ou des certificats nécessaires à la mise sur le marché du produit au sein de l’Union européenne ou aux Etats-Unis.