AgentPublic/cnil huggingface dataset:
La société IQVIA sollicite un renouvellement de son autorisation, lui permettant d’utiliser les données pour des études de faisabilité permettant de cibler les centres susceptibles de participer à des recherches (essais cliniques ou études observationnelles).
Ces traitements répondent à une même finalité, portent sur des catégories de données identiques – les seules données du PMSI – et concernent des catégories de destinataires identiques – les personnes habilitées par le responsable de traitement.
Dans ce cadre, elle envisage de mettre en œuvre 150 à 200 traitements annuellement.
Ces traitements relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions du IV de l’article 66, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé
Les traitements mis en œuvre par la société IQVIA s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins de la poursuite des intérêts légitimes de la société, compte tenu du caractère indirectement identifiant des données ainsi que des garanties prévues par les textes encadrant la mise à disposition des données du SNDS, notamment en termes de droits des personnes.
Ces traitements sont, à ce titre, licites au regard du f) du 1 de l’article 6 du règlement général sur la protection des données (ci-après "RGPD").
Ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue au point j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé.
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études de faisabilité, afin d’estimer le potentiel des établissements de santé français à accueillir un ou plusieurs essais cliniques ou études observationnelles initiés, déployés et coordonnés par IQVIA, à la demande d’un promoteur.
La finalité des traitements est déterminée, explicite et légitime, conformément au point b) du 1 de l’article 5 du RGPD, et présente un intérêt public, conformément au I de l’article 66 de la loi "nformatique et libertés".
Sur le traitement des données issues du SNDS
Le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les données du PMSI concernant les activités suivantes sont nécessaires à la réalisation de ces études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
soins de suite et de réadaptation (SSR) ;
recueil d'information médicalisée en psychiatrie (RIM-P) ;
hospitalisation à domicile (HAD).
La Commission relève que :
pour la mise en œuvre de la plupart des traitements, une profondeur historique d’un an (correspondant aux données du PMSI recueillies durant l’année précédente) sera suffisante ;
par exception, notamment lorsque les études portent sur une maladie rare, l’identification de cas incidents ou l’évaluation de la prescription moyenne sur plusieurs années, les données portant sur une profondeur historique maximale de cinq ans pourront être traitées.
La présente décision unique étant délivrée pour une durée de trois ans, seules les données nationales du PMSI des années 2020 à 2026 pourront être mises à disposition de la société IQVIA en fenêtre roulante. A ce titre, seules les données strictement nécessaires et pertinentes devront être mises à disposition annuellement auprès du responsable de traitement.
Conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions du point c) du 1 de l’article 5 du RGPD.
Sur la durée d’accès aux données 
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de la plateforme du Centre d’accès sécurisé aux données (CASD), leur exportation étant interdite.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans à compter de la date d’accès effectif aux données.
Sur le principe de transparence et la publication des résultats
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à permettre de rendre compte de leur utilisation au public.
A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Lorsque le résultat des traitements de données sera rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi "informatique et libertés".
La CNIL rappelle également qu’à l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique, ainsi que la méthodologie suivie dans le cadre des analyses, devra être lui être adressé.
Sur les catégories de destinataires des données 
Seul le responsable du traitement et les personnes habilitées par celui-ci ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à celles-ci, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre publiquement disponible l’information concernant la mise en œuvre de ces traitements.
La CNIL relève qu’une rubrique dédiée aux traitements mis en œuvre dans le cadre de cette décision unique est publiée sur le site web de la société IQVIA, au sein de laquelle figurent :
 une note d’information générale relative à ces traitements comportant l’ensemble des mentions prévues par l’article 14 du RGPD ;
une note d’information pour chaque traitement mis en œuvre dans le cadre de la décision unique.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et de ses mises à jour ultérieures.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. La CNIL rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Autorise, conformément à la présente délibération, la société IQVIA OPERATIONS FRANCE à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation de remise d’un bilan à la Commission à l’issue de ce délai.
 
 
La Présidente
 
Marie-Laure DENIS
N° de demande d'avis : 25012735.
Thématiques : signalement, violences dans les établissements scolaires, établissements publics, établissements privés.
Organisme(s) à l'origine de la saisine : ministère de l'éducation nationale.
Fondement de la saisine : 
article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
Le projet de décret autorise la mise en œuvre d'un traitement visant à recueillir et à transmettre des signalements d'incidents en milieu scolaire.
La CNIL estime que les évolutions projetées sont légitimes.
Il conviendra néanmoins de préciser les finalités du traitement dans le décret, afin d'expliciter davantage l'objectif d'amélioration de la connaissance et de la prise en charge des situations signalées.
Au regard du caractère subjectif des qualifications d'incident (par exemple, "suspicion de radicalisation", "autres atteintes aux valeurs de la République" ou "autres faits perturbant la vie de l'établissement") et de la sensibilité de certaines données traitées, des mesures devront être prises pour assurer la minimisation des données et limiter les risques pour les droits et libertés des personnes concernées.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 ;
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La loi n° 2013-595 du 8 juillet 2013 d'orientation et de programmation pour la refondation de l'école de la République place au cœur de la stratégie du ministère de l'éducation nationale l'amélioration du climat scolaire. Dans cette perspective, le ministère de l'éducation nationale a généralisé, en 2018, la mise à disposition de l'application "Faits établissement" auprès des établissements publics comme outil national de transmission de signalements d'incidents en milieu scolaire. Le traitement mis en œuvre dans ce cadre a fait l'objet d'une autorisation de la CNIL (V. CNIL, 21 juillet 2016, autorisation sur un traitement automatisé de données à caractère personnel, Faits établissement, n° 2016-246, publiée), en application de l'article 25 de la "loi informatique et libertés", dans sa version applicable à cette date.
En 2024, 124 462 signalements (contre 30 306 en 2018 au moment de son déploiement) avaient été effectués via l'application, alors que son utilisation par les établissements scolaires publics et privés n'était pas obligatoire.
Plusieurs évolutions ont ensuite rendu nécessaire une modification de ce traitement :
- d'une part, l'obligation de transmission des signalements d'incidents a été étendue aux établissements privés sous contrat et hors contrat (v. décret du 16 juin 2025 relatif au recueil et au traitement de signalements des faits de violences dans les établissements privés) ;
- d'autre part, la ministre de l'éducation nationale a, au printemps 2025, présenté les mesures du plan "Brisons le silence, agissons ensemble", visant notamment au renforcement des procédures de signalement.
B. - L'objet de la saisine
La CNIL a été saisie pour avis, par le ministère de l'éducation nationale, d'un projet de décret en Conseil d'Etat autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé "Faits établissement".
Ce projet créé une obligation pour les directeurs d'école et les chefs d'établissement publics de transmettre "à l'autorité compétente de l'Etat en matière d'éducation les faits de violence impliquant les élèves ou les personnels de l'établissement, ainsi que tout fait grave impliquant une mise en danger de la sécurité ou de l'intégrité physique ou morale des élèves ou des personnels et les atteintes aux valeurs de la République et à la sécurité des établissements". Il prévoit, dans ce contexte, la mise en œuvre d'un traitement visant à recueillir et à transmettre les signalements aux services départementaux, académiques ou ministériels selon le degré de gravité et à assurer un suivi des mesures prises.
Par ailleurs, pour prendre en compte le décret du 16 juin 2025 susmentionné, le projet de décret étend aux établissements privés sous contrat et hors contrat le recueil et le suivi des signalements de faits graves et de violences.
Enfin, il actualise la liste des données collectées, des destinataires et allonge la durée de conservation des données afin de permettre aux services de l'éducation nationale, notamment aux services centraux du ministère, de disposer d'un historique de données suffisant pour assurer le suivi des mesures et concevoir des actions de pilotage.
II. - L'avis de la CNIL
A. - Sur les finalités du traitement
Le projet de décret prévoit que le traitement "Faits établissement" a pour finalités de :
- recueillir les signalements des faits préoccupants et graves survenus dans les établissements d'enseignement scolaire publics et privés ;
- transmettre les signalements aux services départementaux, académiques ou ministériels en fonction du degré de gravité ;
- assurer le suivi des mesures prises.
Il a également une finalité de pilotage.
Par ailleurs, il ressort des précisions apportées que cette transmission d'informations permettra d'améliorer la connaissance et la prise en charge des situations signalées et de coordonner les actions entre les différents niveaux d'autorités compétentes de l'Etat en matière d'éducation. Ainsi, par exemple, si cela n'a pas déjà été effectué par le chef d'établissement ou le directeur d'école, le responsable du service de défense et de sécurité académique informé d'un incident au moyen de "Faits établissements" pourra être amené à saisir les services académiques concernés (mobilisation de l'équipe mobile de sécurité, du service médical de prévention, du service académique juridique, du service académique des ressources humaines), le préfet et/ou le procureur de la République selon la nature et la gravité de l'incident.
Au regard de ces éléments, la CNIL observe que le recueil et la transmission de signalements constituent moins des finalités du traitement de données qu'un moyen ou encore une fonctionnalité permettant d'atteindre l'objectif d'amélioration de la connaissance et de la prise en charge des situations signalées.
Dès lors, afin de répondre aux exigences de l'article 5-1-b du RGPD selon lequel des données à caractère personnel ne peuvent être collectées que "pour des finalités déterminées, explicites et légitimes", les finalités du traitement devraient être reformulées en ces termes :
- améliorer la connaissance et la prise en charge des faits graves et de violence survenus dans les établissements d'enseignement scolaire par les différents niveaux d'autorités compétentes de l'Etat en matière d'éducation dans leur périmètre de compétences ;
- coordonner les actions entre les différents niveaux d'autorités compétentes de l'Etat en matière d'éducation ; et
- assurer le suivi des mesures prises.
La CNIL prend acte de l'engagement du ministère de modifier le décret pour préciser les finalités en ce sens.
B. - Sur les catégories de données traitées
Le projet de décret fixe la liste des données pouvant être traitées dans "Faits établissement". Ces données, relatives aux faits préoccupants et graves survenus dans les établissements (gravité du fait ; type de fait ; date, lieu et détails du fait ; mesures prises ; etc.), concerneront notamment les auteurs présumés des faits et les victimes.
S'agissant en premier lieu des types de faits susceptibles d'être traités, les directeurs d'école et chefs d'établissement pourront saisir dans l'application des informations concernant des atteintes aux personnes ou aux biens, à la sécurité ou au climat de l'établissement, ou encore aux valeurs de la République. Le niveau de gravité du fait ("préoccupant", "grave", "très grave") sera rattaché à ces informations.
Selon les précisions apportées, il est par exemple prévu que les faits qui entrent dans la catégorie "atteinte aux valeurs de la République" comprennent tout type de fait en lien avec le "principe de laïcité", les "actes racistes et antisémites", les "suspicions de radicalisation" ou les "autres atteintes aux valeurs de la République".
La CNIL considère que les catégories de données prévues par le projet de décret sont pertinentes au regard de l'objectif poursuivi. Elle s'interroge toutefois sur l'existence d'un régime distinct concernant les victimes décédées et leurs responsables légaux nécessitant la collecte de leur nom et prénom.
Il apparait par ailleurs que la qualification des faits peut reposer sur des appréciations très subjectives (v. CNIL, 21 juillet 2016, précité). Tel est le cas, par exemple, des incidents liés à une "suspicion de radicalisation" ou aux "autres atteintes aux valeurs de la République", aux "autres faits perturbant la vie de l'établissement" ou encore aux "autres atteintes à la sécurité, au climat de l'établissement".
Au regard de ces éléments, il conviendra de prendre les mesures nécessaires en vue :
- d'assurer l'exactitude des données, conformément à l'article 5-1-d du RGPD ;
- et, par là même, de limiter l'impact que pourraient avoir des signalements de faits inexacts sur les droits et libertés des personnes concernées, y compris des personnes mineures - en particulier au regard de la sensibilité de ces informations au sens de l'article 9 du RGPD.
La CNIL recommande, dès lors, de préciser les critères en fonction desquels les utilisateurs pourront qualifier les faits susceptibles d'entrer dans les catégories susmentionnées. S'agissant en particulier de la qualification relative aux "autres atteintes à la sécurité, au climat de l'établissement", il apparait nécessaire que les faits soient qualifiés en se référant à ce qui est inscrit dans l'analyse d'impact relative à la protection des données (AIPD).
Par ailleurs, il peut être déduit de certaines de ces qualifications, des informations dites "sensibles" au sens de l'article 9 du RGPD. Dès lors, le projet de décret devra prévoir que les données enregistrées dans le traitement peuvent faire apparaître, directement ou indirectement, des données sensibles - ce à quoi le ministère s'est engagé.
S'agissant en second lieu des modalités de collecte des données, la saisie des informations relatives à la gravité et au type de fait est encadrée par une arborescence à destination de l'utilisateur (cases à cocher).
Des zones de texte libre permettront par ailleurs de saisir les détails du fait connus par le chef d'établissement lors du signalement initial. Ces zones pourront être également complétées par les autres accédants au traitement.
La CNIL considère que cette possibilité est légitime, en raison notamment de la très grande diversité des faits susceptibles d'être signalés. Elle prend acte des mesures mises en œuvre pour limiter toute collecte excessive de données (notamment la limitation du nombre de caractères, le guide utilisateur, la sensibilisation des chefs d'établissement aux procédures de signalement).
Au regard des risques précédemment mentionnés, elle attire l'attention du ministère sur la nécessité :
- d'ajouter des consignes claires et spécifiques sur la saisie d'informations dans ces zones de texte au regard de la réglementation en matière de protection des données, par exemple dans le guide utilisateur ; et
- de prendre les mesures propres à garantir la suppression de toute information qui ne serait pas strictement adéquate, pertinente et limitée à ce qui est nécessaire au regard des finalités du traitement, conformément à l'article 5.1.c du RGPD.
La CNIL prend acte de l'engagement du ministère de sensibiliser les utilisateurs sur ces points lors de formations et via le guide utilisateur. Sera également créé un message d'alerte, qui apparaitra à la fin de la saisie dans la zone de texte pour rappeler que le message doit correspondre aux évènements constatés et qu'en cas d'erreur, le rédacteur a la possibilité de le modifier. Elle invite le ministère à indiquer qu'aucun nom et prénom ne devra figurer dans ces zones de texte.
C. - Sur les durées de conservation
Le projet de décret prévoit que "l'ensemble des données à caractère personnel sont conservées pendant une durée de cinq ans à compter de la date de signalement du fait au niveau de l'établissement, du département, de l'académie et de l'administration centrale".
Si la conservation durant cinq ans de certaines de ces données apparait pertinente pour en tirer une analyse à des fins de pilotage, la CNIL s'interroge sur la nécessité d'une telle durée pour satisfaire les autres finalités du traitement et, plus globalement, l'objectif de prise en charge des signalements.
Elle prend acte de l'engagement du ministère de modifier le décret pour préciser qu'il s'agit d'une durée de conservation maximale.
Enfin, l'AIPD pourrait préciser les besoins de conserver les données durant cinq ans au regard des missions de chaque accédant au traitement, en particulier des accédants qui assurent des actions de pilotage de la politique éducative et de prévention.