AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec celles du SNDS) et des modalités d’information. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Les données de l’étude "AVENANCE" (déclaration de conformité à la méthodologie de référence MR-004) seront réutilisées dans le cadre de la présente étude.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2015 à 2026.
Modalités de consultation : Centre d’accès sécurisé aux données.
Recours à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017. Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche sur les sites web du responsable de traitement, de la Filière Intelligence Artificielle et Cancers et de CEMKA. 
Elle devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD.
Durée de conservation 
Trois ans à compter de la mise à disposition des données.
 
AUTORISE la société MERCK SERONO SAS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Les participants à la présente étude seront inclus en France, aux Pays-Bas, en Allemagne, en Italie et en Espagne.
S’agissant des participants inclus en France, le Comité de protection des personnes Ile-de-France III a rendu un avis favorable le 26 septembre 2023.
S’agissant des participants inclus dans les autres pays, le responsable de traitement a transmis les avis des comités d’éthique locaux. La CNIL rappelle qu’il lui appartient de veiller au respect des dispositions locales applicables à cette étude avant et pendant toute la durée de l’étude.
Responsables de traitement
Les deux responsables de traitement, le Commissariat à l’énergie atomique et aux énergies alternatives (CEA Saclay) ainsi que l’Universitair Medisch Centrum Utrecht (UMC Utrecht) déterminent conjointement les finalités et les moyens du traitement. 
Conformément à l'article 26 du RGPD, ils doivent définir de manière transparente leurs obligations respectives.
Sous-traitants 
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article28 du RGPD.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (enregistrement vidéo permettant l’identification directe des personnes).
Il ressort de l’analyse du dossier que le traitement envisagé n’est également pas conforme à la méthodologie de référence MR-001 s’agissant de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
 
Catégories particulières de données traitées (autres que données de santé)
La collecte de l’origine ethnique des titulaires de l’autorité parentale a été scientifiquement justifiée dans le dossier de demande.
 
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des représentants légaux des participants pour la réalisation des enregistrements devra être recueilli conformément à l’article 372-1 du code civil.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront préalablement à l’inclusion dans l’étude une note d’information individuelle relative à la participation de leur enfant mineur et relative à la collecte des informations les concernant. 
Durée de conservation en base active 
Les enregistrements vidéo seront conservés pendant six ans.
 
 
AUTORISE le 
commissariat à l’énergie atomique et aux énergies alternatives ainsi que 
l’Universitair Medisch Centrum Utrecht à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Responsables de traitement 
Le réseau de prévention et de prise en charge de l'obésité pédiatrique (REPOP), le département de médecine générale de l’Université de la Sorbonne et la société Openhealth company déterminent conjointement les finalités et les moyens du traitement.
Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives.
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, en date du 17 juillet 2025.
Point de non-conformité à la méthodologie de référence 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes 
S’agissant des patients qui étaient mineurs durant la période de suivi réalisée entre 2004 et 2011 : 
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la publication de la note d’information collective, comportant l’ensemble des mentions prévues par le RGPD, sur le site web du REPOP IDF et ses réseaux sociaux. Cette note d’information sera également adressée aux associations de patients (Ligue Contre l’Obésité et Collectif National des Associations d’Obèses).
 
S’agissant des autres patients : 
Ils recevront une note d’information individuelle.
Durées de conservation en base active et en archivage 
Base active : un an.
Archivage : quinze ans.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE, le RESEAU DE PREVENTION ET DE PRISE EN CHARGE DE L'OBESITE PEDIATRIQUE (REPOP), le DEPARTEMENT DE MEDECINE GENERALE DE l’UNIVERSITE DE LA SORBONNE et la société OPENHEALTH COMPANY à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Saisie d'une demande d'autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024
Sous-traitant
Le groupement d'intérêt public "Plateforme de données de santé" (GIP PDS) assurera l'hébergement pour l'analyse des données de l'étude et facilitera leur appariement avec les données du SNDS via son service "concentrateur". La CNIL estime que le GIP PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre l'Institut Curie et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée entre les parties.
Plusieurs sous-traitants interviendront dans la mise en œuvre de l'étude. Le traitement des données par chacun d'entre eux devra être régi par un contrat ou un acte juridique, conformément à l'article 28 du RGPD.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement déterministe des données cliniques avec celles du SNDS).
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d'une base existante
Seront réutilisées dans le cadre de cette étude :
la base "cancer séreux de bas grade" mis en œuvre par l'Institut Curie (dont le traitement a été réalisé dans le cadre d'une déclaration de conformité à la méthodologie de référence MR-004) ;
la base "ESME ovaire" rassemblée au sein de l'entrepôt ESME mis en œuvre par Unicancer (demande d'autorisation n°2212924) ;
les données issues des systèmes de gestion électronique des images médicales (PACS) des centres participants concernant les personnes participant à l'étude conformément aux critères d'inclusion décrits dans le protocole.
Catégorie particulière de données traitées (autres que données de santé)
Les données cliniques feront l'objet d'un rapprochement avec les données issues du SNDS par l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants.
Le dossier de demande mentionne que le circuit d'appariement sera conforme à la fiche pratique "circuit multi-centres" publiée par la CNIL.
Les différents centres transmettront les données administratives (NIR, sexe et date de naissance complète des participants) au service "Concentrateur", proposé par la PDS et opéré par un de ses sous-traitants, qui les transmettra à la CNAM pour extraction des données du SNDS correspondantes.
Ces données devront être chiffrées au sein des centres et être transmises sous forme de fichiers chiffrés. Les algorithmes utilisés et les procédures de gestion de clés associées devront être conformes au référentiel général de sécurité (annexes B1 et B2) et aux recommandations correspondantes de l'ANSSI.
Des mesures de sécurité renforcées devront être mises en place pour protéger les tables de correspondance. Les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2006 à 2024, sous réserve qu'elles soient diffusables par la CNAM.
Modalités de consultation : solution technique de la Plateforme des données de santé
Mesures de sécurité
La sécurité des données de l'espace projet dédié au projet "CASEBA" dépend essentiellement de la solution technique de la PDS, qui a fait l'objet d'une analyse globale des risques et de l'impact sur la vie privée, suivie d'une homologation selon le référentiel de sécurité du SNDS.
Une homologation de la solution technique, conforme au référentiel de sécurité applicable au SNDS, et incluant l'espace projet mis à disposition du responsable de traitement, a été réalisée par la PDS le 22 juillet 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d'actions qu'elle a défini. L'Institut Curie devra s'assurer que le système d'information hébergeant les données de l'étude respecte ce référentiel pendant toute la durée du traitement.
Transferts hors Union européenne
Les dispositions de l'article R. 1461-1 du CSP prévoient qu'aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP.
En l'espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l'Union européenne, aucun transfert en dehors de l'Union européenne de données individuelles du SNDS n'est prévu, aucun membre de l'équipe de recherche n'étant situé en dehors de l'Union européenne.
Durée d'accès/ Durées de conservation en base active et en archivage
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l'appariement.
Données du SNDS : cinq ans à compter de la mise à disposition des données.
Observations particulières
Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou, en cas de non-conformité au référentiel, autorisation de la CNIL).
AUTORISE l'INSTITUT CURIE  à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Saisie d'une demande d'autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 2 octobre 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d'information des personnes concernées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes
S'agissant des participants à la recherche qui ne font plus l'objet d'un suivi actif par la Mission Migrants
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l'article du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l'étude et par voie d'affichage au sein des centres participants.
S'agissant des participants à la recherche qui font encore l'objet d'un suivi actif par la Mission Migrants
Tous les participants recevront une note d'information individuelle.
Durées de conservation en base active
Base active : jusqu'au 31 décembre 2028.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE le SAMU-SOCIAL DE PARIS  à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Saisie d'une demande de modification d'une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 juillet 2025.
Modification substantielles
La modification envisagée porte sur la prolongation de l'accès aux données pour deux années supplémentaires.
Les autres conditions de mise en œuvre de l'étude demeurent inchangées.
AUTORISE, la société NP MEDICAL  à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT