AgentPublic/cnil huggingface dataset:
(Demande d'autorisation n°9-319)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable avec recommandations du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 janvier 2026 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur le point de non-conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées et de leur profondeur historique.
En dehors de ces points, qui font l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur la nature des données traitées et leur profondeur historique : 
Seront traitées dans le cadre de cette étude :
- certaines données du SNIIRAM et du PMSI recueillies entre 2014 et 2024 s'agissant des personnes diagnostiquées ;
- aux fins de constitution de la population témoin (composée des personnes dépistées), certaines données de l'échantillon du système national des données (ESND) recueillies entre 2014 et 2023.
Seules les données du SNDS strictement nécessaires et pertinentes au regard des objectifs de l'étude seront traitées.
Seul le laboratoire de recherche/bureau d'études aura accès aux données individuelles du SNDS sur le portail de la Caisse nationale de l'assurance maladie (CNAM).
Sur la durée de conservation des données :
Les données seront accessibles pendant cinq ans à compter de leur mise à disposition.
Autorise la société Abbvie à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
(Demande d'autorisation n°9-460)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur le point de non-conformité au référentiel concerné : 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la profondeur historique des données traitées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur la nature des données traitées et leur profondeur historique : 
Seront traitées dans le cadre de cette étude certaines données du SNIIRAM et du PMSI recueillies entre 2006 et 2025.
Seul le laboratoire de recherche/bureau d'études aura accès aux données individuelles du SNDS.
Sur la sécurité des données et la traçabilité des actions :
L'homologation de la bulle sécurisée d'HEVA a été renouvelée par l'autorité d'homologation le 4 novembre 2024, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Cette décision d'homologation est valable jusqu'au 5 mai 2026 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
De plus, conformément à l'arrêté du 6 mai 2024 fixant la nouvelle version du référentiel de sécurité applicable au SNDS :
un plan d'action a été établi en vue de la mise en conformité du système d'information vis-à-vis de ce nouveau référentiel, indiquant les mesures à prendre dans l'immédiat puis à court et moyen terme ;
l'analyse de risques a été mise à jour et les actions nécessaires ont été mises en place pour garantir la sécurité des données et le respect de la vie privée des personnes concernées ;
la bulle sécurisée devra être homologuée au plus tard le 6 mai 2026 conformément à la nouvelle version du référentiel.
Sur la durée de conservation des données :
Les données seront conservées pendant trois ans à compter de leur mise à disposition par la CNAM.
Autorise la société GlaxoSmithKline à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
(Demande d'autorisation n°9-465)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur le point de non-conformité au référentiel concerné : 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la profondeur historique des données traitées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur la profondeur historique des données traitées :
Seront traitées dans le cadre de cette étude certaines données du SNIIRAM et du PMSI recueillies entre 2015 et 2025.
Seul le laboratoire de recherche/bureau d'études aura accès aux données individuelles du SNDS sur le portail de la Caisse nationale de l'assurance maladie (CNAM).
Sur l'information et les droits des personnes : 
La CNIL rappelle que les personnes concernées pourront exercer leurs droits d'accès, de rectification, d'effacement, de limitation du traitement et d'opposition concernant le traitement mis en oeuvre dans le cadre de la présente autorisation directement auprès du délégué à la protection des données de l'organisme responsable du traitement.
Sur la durée de conservation des données : 
Les données seront accessibles pendant trois ans à compter de la dernière mise à disposition des données.
Autorise les sociétés L&P Santé, Livramedom, référence santé, Diadom, Lilial, FSK et Bastide le confort médical à mettre en oeuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
(Demande d'autorisation n°9-81)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d'information des participants, certains d'entre eux pouvant ne pas être destinataires de la note d'information. En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la nature des données traitées : 
Les données de l'étude "EPICOVID-POP" (dont le traitement a été réalisé dans le cadre d'une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude.
Sur l'information et les droits des personnes : 
Les participants à l'étude "EPICOVID-POP" recevront par voie postale une note d'information individuelle relative à l'étude "BRUCeGUY" à l'exception de ceux qui n'ont pas été destinataires des informations relatives aux résultats globaux de l'étude "EPICOVID-POP" en raison d'un changement d'adresse postale (mention "NPAI" et dont les coordonnées n'ont pu être mises à jour depuis).
Pour ces derniers, ainsi que ceux qui ne pourraient pas être destinataires de la note d'information relative à l'étude "BRUCeGUY" en raison d'un changement d'adresse survenu depuis la fin de l'étude "EPICOVID-POP", en application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l'article 14 du RGPD, le responsable de traitement prendra des mesures appropriées pour protéger leurs droits et libertés, ainsi que leurs intérêts légitimes, y compris en rendant les informations publiquement disponibles. A ce titre, une information relative au projet de recherche sera publiée sur le site web du responsable de traitement de l'étude ainsi que celui de l'Institut Pasteur. Elle devra être complétée avant le début de l'étude afin de comporter l'ensemble des mentions prévues par le RGPD.
Autorise le Centre hospitalier universitaire de Nîmes à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
(Demande d'autorisation n°9-201) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis du comité de protection des personnes Sud-Est I du 3 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d'information des personnes concernées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur l'information et les droits des personnes :
Dans l'hypothèse où les personnes ne seraient pas en état de recevoir l'information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l'étude et de leurs droits.
Dans l'hypothèse où un patient décéderait avant que l'information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d'information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche.
Autorise l'Assistance publique – Hôpitaux de Paris à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
(Demande d'autorisation n°9-131) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis du comité de protection des personnes Sud Méditerranée III du 11 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d'information des personnes concernées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur l'information et les droits des personnes :
Dans l'hypothèse où les personnes ne seraient pas en état de recevoir l'information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l'étude et de leurs droits.
Dans l'hypothèse où un patient décéderait avant que l'information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d'information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche.
Autorise le Centre hospitalier universitaire de Tours à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
(Demande d'autorisation n°925305) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis du comité de protection des personnes Sud-Ouest et Outre-Mer IV du 04 novembre 2021 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d'une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l'étude demeure conforme à ce référentiel, à l'exception de la nature des données traitées (appariement probabiliste/indirect des données cliniques avec celles du SNDS).En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la nature des données traitées et leur profondeur historique :
Sous réserve qu'elles soient diffusables par la Caisse nationale de l'assurance maladie (CNAM), certaines données du SNIIRAM, du PMSI et du CépiDc recueillies entre 2019 et 2027 seront traitées sur le portail de la CNAM. 
Sur l'information et les droits des personnes :
La note d'information devra être adaptée aux caractéristiques de l'étude et être complétée afin de comporter l'ensemble des mentions prévues par le RGPD.  Par ailleurs, le terme "anonymat" qui est inapproprié, devra être remplacé par les termes données "codées" ou "pseudonymisées", en précisant que les noms et prénoms des personnes ne seront pas recueillis.
Sur la durée de conservation des données :
Les données du SNDS seront accessibles pendant trois ans à compter de leur dernière mise à disposition par la CNAM.
Autorise le Centre hospitalier universitaire de Nantes à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
N° de demande d’avis : 25020980
Thématiques : rédaction, procédures administratives et judiciaires
Organisme à l’origine de la saisine : ministère de l’intérieur
Fondement de la saisine :
article 31 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Le projet de décret dont est saisie la CNIL modifie les dispositions encadrant le logiciel de rédaction des procédures de la police nationale (LRPPN). Selon le ministère de l’intérieur, ce traitement est mis en œuvre à des fins de clarification et d’homogénéisation de la rédaction des procédures administratives et judiciaires et permet, à travers les mises en relation effectuées, la fiabilisation des données qui y sont contenues.
 
La CNIL accueille favorablement la précision du périmètre des finalités du traitement ainsi que la suppression de la possibilité de recourir à un dispositif de reconnaissance faciale. 
 
Elle émet toutefois des observations concernant :
certaines catégories de données qu’il conviendrait de préciser ;
le traitement de données sensibles qui devrait être davantage encadré ;
les modalités d’exercice des droits qui, au regard de l’applicabilité de l’article 111 de la loi "informatique et libertés", sont à clarifier.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 et son titre III ;
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Encadré par le décret n° 2011-110 du 27 janvier 2011, le traitement dénommé "logiciel de rédaction des procédures de la police nationale" (LRPPN) est destiné aux services de police et a pour objet d’assurer la clarté et l’homogénéité de la rédaction des procès-verbaux en matière judiciaire et administrative. Il constitue le socle d’un écosystème appelé "Nouveau système d’information dédié à l’investigation" (NS2i) et permet de fiabiliser les données enregistrées dans les différentes applications de documentation criminelle avec lesquelles il est mis en relation.
 
B. L’objet de la saisine
La CNIL a été saisie pour avis, par le ministère de l’intérieur, d’un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 autorisant la création du traitement automatisé de données à caractère personnel dénommé "LRPPN" et portant diverses dispositions relatives aux traitements automatisés de données à caractère personnel du ministère de l’intérieur.
Ce projet de décret modifie plusieurs caractéristiques du traitement "LRPPN". Il prévoit, notamment, la suppression de la finalité relative à la mise en relation du logiciel avec d’autres traitements, une réorganisation et un élargissement des catégories de données traitées, ou encore une mise à jour des dispositions relatives aux droits des personnes concernées.
 
Ce traitement, poursuivant des finalités relatives à la prévention et la détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, relève des dispositions du titre III de la loi "informatique et libertés".
II. L’avis de la CNIL
 
A. Sur les finalités du traitement
 
L’article 1er du décret 27 janvier 2011 en vigueur prévoit que le traitement "LRPPN" a pour finalités :
de permettre aux services de police d’assurer la clarté et l’homogénéité de la rédaction des procédures judiciaires et administratives qu’ils ont compétence pour mettre en œuvre en vertu des lois et règlements ;
de réaliser l’archivage de ces procédures ;
de permettre la collecte des informations issues de ces procédures, en vue de leur diffusion et de leur exploitation ;
de permettre, en vue de leur alimentation, la mise en relation avec des traitements de données relatives aux procédures judiciaires.