AgentPublic/cnil huggingface dataset:
Années concernées : 2006 à 2025 sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. 
Une note d’information devra également être rendue publique sur le site web du responsable de traitement.
L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Trois ans à compter de la dernière mise à disposition des données.
 
AUTORISE la SOCIETE THERAKOS FRANCE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité de protection des personnes Ile de France VI du 8 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
Catégories particulières de données traitées (autres que données de santé)
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. 
Durées de conservation en base active et en archivage 
 
Les échantillons biologiques seront conservés pendant vingt ans puis détruits.
 
Les enregistrements vidéo seront conservés pendant deux ans et un mois.
 
Autres données :
Base active : deux ans et un mois.
Archivage : quinze ans. 
Réutilisation des données et échantillons biologiques
 
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France II du 24 juin 2024.
Point de non-conformité à la méthodologie de référence concernée 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche.
Durée de conservation en base active et en archivage
Base active : cinq ans.
Archivage : quinze ans.
Réutilisation des données 
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du Règlement général sur la protection des données (RGPD).
Avis du comité
Avis favorable du Comité de protection des personnes Est IV du 30 mai 2023.
Points de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. 
Catégories particulières de données traitées (autres que données de santé)
S’agissant des enregistrements vocaux :
Des enregistrements vocaux indirectement identifiants des participants seront réalisés dans le cadre d’un entretien qualitatif. Les participants seront informés de ce traitement et leur consentement sera recueilli, en vue de la réalisation de ces enregistrements. 
 
S’agissant des enregistrements vidéo :
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. 
 
S’agissant de la réalisation d’un examen des caractéristiques génétiques :
Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés .
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI 
Années concernées : 2022 à 2032
Modalités de consultation : portail de la CNAM
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
Tous les participants (patients et professionnels de santé) recevront une note d’information comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). 
Mesures de sécurité 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’étude Glucogen ainsi qu’un plan d’action associé. 
Au fur et à mesure de leur réception, les questionnaires papier devront être stockés séparément du reste du dossier investigateur. Les questionnaires seront archivés dès la fin des opérations de saisie et de validation des données qu’ils contiennent.
Au sein du cahier d’observation électronique, les données identifiantes seront cloisonnées des données de santé.
Les mesures de pseudonymisation permettront de s’assurer que l’identifiant d’inclusion ne sera pas visible lors de la réutilisation secondaire des données. Les transferts de données vers les différents acteurs disposeront d’identifiants techniques dédiés.
Les flux de données intervenant dans les différents circuits de données seront chiffrés et authentifiés. Les IRM seront transmises par le biais d’une plateforme sécurisée qui assurera l’accès aux données d’imagerie aux seules personnes habilitées. De même, le transfert des archives devra se faire par un moyen assurant la confidentialité des données. 
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants.
Les mesures de sécurité décrites par le responsable de traitement, qui devront être opérationnelles lors de la mise en œuvre du traitement, semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La CNIL rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
Durées de conservation en base active et en archivage
Durée d’accès aux données du SNDS : sept ans à compter de leur mise à disposition. 
 
Les NIR et les dates de naissance complètes des participants seront détruits après l’appariement. 
 
Les enregistrements seront conservés pendant douze ans.
Les échantillons biologiques seront conservés pendant quinze ans après la fin de la recherche.
 
Les données nominatives et les coordonnées électroniques seront détruites à la fin du suivi.
 
Autres données :
Base active : treize ans
Archivage : quinze ans.
Réutilisation des données et des échantillons biologiques
La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé.
Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse.
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. 
 
AUTORISE
l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2020 à 2027 sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. 
Une note d’information devra également être rendue publique sur le site web du responsable de traitement.
L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Deux ans à compter de la dernière mise à disposition des données.
 
AUTORISE la SOCIETE BAYER AG à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. 
Le traitement porte désormais sur les années 2012 à 2023. Elles seront accessibles pendant cinq ans à compter de leur dernière mise à disposition.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société SANOFI à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
Les deux responsables de traitement, l’Institut national du cancer (INCa) et l’Université Aix-Marseille déterminent conjointement les finalités et les moyens du traitement. 
Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives.
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024.
Points de non-conformité à la méthodologie de référence concernée 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
Réutilisation des données d’une base existante 
Les données issues du SNDS (SNIIRAM, PMSI et CépiDc, des années 2010 à 2021) conservées par l’INCa dans la Plateforme des données en cancérologie autorisée par la CNIL (délibération n°2023-040) seront réutilisées dans le cadre de la présente étude.
Utilisation de données issues du SNDS historique
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes