AgentPublic/cnil huggingface dataset:
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Le tiers de confiance devra avoir été désigné avant le début de la collecte du NIR. Ce tiers de confiance devra être indépendant juridiquement et économiquement du responsable de traitement et des sous-traitants (centres investigateurs, etc.). Enfin, le tiers de confiance ne devra pas se trouver en situation de conflit d’intérêts vis-à-vis du responsable de traitement.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI
Années concernées : 2022 à 2025, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM.
Information et droits des personnes
Tous les participants seront individuellement de l’appariement de leurs données. Cette note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
Durée d’accès et de conservation des données en base active et en archivage
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement.
 
Données du SNDS : quatre ans à compter de la mise à disposition des données.
 
Autres données :
Base active : deux ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la mise à jour de la liste des sociétés composant les membres du consortium VALPORATE.
 
Le consortium est désormais composé des sociétés suivantes :
ARISTO PHARMA GMBH ;
ARROW GENERIQUES ;
BETAPHARM ARZNEIMITTEL GMBH ;
CONSILIENT HEALTH LTD ;
CRESCENT PHARMA LTD ;
DESITIN ARZNEIMITTEL GMBH ;
GENERIS FARMACEUTICA S.A. ;
G.L. PHARMA GMBH ;
SANOZ/HEXAL AG ;
LUPIN HEALTHCARE (UK) LTD ;
NEURAXPHARM ARZNEIMITTEL GMBH ;
ORION CORPORATION ;
SANOFI WINTHROP INDUSTRIE;
STADA ARZNEIMITTEL AG ;
TECNIFAR S.A ;
TEVA PHARMACEUTICALS EUROPE B.V. ;
VIATRIS HEALTHCARE ;
WOCKHARDT UK LIMITED
La note d’information collective, diffusée sur le site internet de chacun des membres du consortium sera mise à jour en conséquence.
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE les sociétés susmentionnées à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitant
Des sous-traitants, dont la société F. Hoffman-La Roche Ltd interviendront dans la mise en œuvre de cette étude.
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
Réutilisation des données d’une base existante
Les données d’une base mise en œuvre par la société Flatiron Health seront réutilisées dans le cadre de la présente étude.
Cette base de données concerne exclusivement des personnes ayant été prises en charge par un établissement de santé établi aux Etats-Unis. La CNIL relève que le dossier de demande mentionne que cette base de données a été constituée conformément au droit étatsunien.
Information et droits des personnes
En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Cette note d’information sera rédigée en français et en anglais.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durée de conservation en base active
Base active : un an et demi.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE la 
société Roche à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Sur les sous-traitants
Le projet fait partie des lauréats de l’appel à manifestation d’intérêt UNIBASE ouvert en 2021 par la Plateforme des données de santé (PDS).
Une convention conforme à l’article 28 du Règlement général sur la protection des données (RGPD), répartissant les rôles et responsabilités de chacune des parties sera conclue entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes.
 
Par ailleurs, la répartition des rôles et responsabilités entre le responsable de traitement et UNICANCER, concernant le contrôle qualité des données cliniques, sera formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD.
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023.
Points de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et données du Système national des données de santé (SNDS) et des modalités d’information des personnes.
Réutilisation des données d’une base existante
Sous réserve de l’exercice du droit d’opposition, les données issues des dossiers médicaux de patients pris en charge par quatre centres de lutte contre le cancer (CLCC) seront réutilisées dans le cadre de la présente étude. Ces données seront rapprochées des données du SNDS au moyen d’un appariement déterministe.
 
Les données des personnes atteintes d’un cancer survenu entre 2010 et 2018 dans l’un des quatre CLCC et identifié via la base de données en cancérologie CONSORE, utilisée par les quatre établissements, seront traitées dans le cadre de cette étude.
 
Les données des enfants des patientes incluses nés après le diagnostic de cancer du sein seront également traitées dans le cadre de cette étude.
 
Enfin, les données d’une population issue du SNDS seront également traitées dans le cadre de cette étude (cohorte témoin).
Catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique
Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du SNIIRAM, du PMSI et du CépiDc des années 2010 à 2022.
 
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM.
Les données issues des dossiers médicaux feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants.
Les centres participants à l’étude devront transférer les NIR exclusivement à la CNAM.
Information et droits des personnes
S’agissant des patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : 
Les patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers un portail de transparence pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude nécessitant la réutilisation de leurs données. Une note d’information relative à la présente étude sera diffusée sur ces sites web dédiés.
Pour les patients de la cohorte témoin ou n’ayant pas reçu de note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : 
En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web de chacun des centres participant, d’UNICANCER, ainsi que de la Plateforme des données de santé d’une information relative au projet de recherche.
Sur la population associée (enfants) :
Conformément aux dispositions de l’article 70 de la loi informatique et libertés , les deux titulaires de l’exercice de l’autorité parentale devront être informés individuellement de la participation de leur enfant mineur.
 
Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
Sur la sécurité des données et leurs modalités d’hébergement
A titre liminaire, la CNIL prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude.
La sécurité des données de l’espace projet dédié au projet ISIS dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet ISIS .
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet ISIS et intégrant les éléments fournis par la PDS pour sa solution technique.
Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 2 février 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini.
Cette décision d’homologation est valable jusqu’au 2 février 2027 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Lors du transfert des données vers UNICANCER, les serveurs SFTP procèderont, dès réception des données, à leur copie sur un serveur interne du destinataire, et ce, afin de les supprimer sans délais sur les serveurs exposés.
UNICANCER conservera les données cliniques en base active uniquement pour le contrôle qualité et jusqu’à leur versement dans la solution technique de la PDS. Les données seront alors archivées pendant deux ans maximum. Ces archives devront faire l'objet de mesures spécifiques impliquant un cloisonnement dans un espace de stockage dédié, des habilitations limitées à un nombre restreint de personnes et des accès exceptionnels strictement justifiés.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durée d’accès aux données appariées de l’étude
Les NIR, les dates de naissance complètes et le sexe seront détruits après l’appariement.
Données du SNDS : quatre ans à compter de la mise à disposition des données.
 
AUTORISE l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en œuvre le traitement décrit ci-dessus.
 
 
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Utilisation de données issues du SNDS historique
Composantes et profondeurs historiques concernées : SNIIRAM et PMSI pour les années 2008 à 2023
Modalités de consultation : portail de la CNAM.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
 
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Information et droits des personnes
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera également rendue publique sur le site web du responsable de traitement et sur celui du bureau d’études. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès aux données
Trois ans à compter de la mise à disposition des données.
AUTORISE la société GILEAD à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
Information et droits des personnes
S’agissant des patients dont le dernier suivi est antérieur au 1er janvier 2022 : 
En application de l'article 14 du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des autres patients :
Les patients majeurs ne faisant pas l’objet d’une mesure de protection recevront une note d’information individuelle. S’ils sont mineurs, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle. Dans l’hypothèse où le patient ferait l’objet d’une mesure de tutelle, son représentant légal sera également informé. Les notes d’information seront transmises par voie postale.
Durée de conservation en base active et en archivage
Base active : douze ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD