AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du comité de protection des personnes Sud-Est VI du 23 mai 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Des enregistrements vidéo permettant l’identification des mineurs se prêtant à la recherche seront réalisés dans le cadre de cette étude.
Le consentement des titulaires de l’exercice de l’autorité parentale devra être recueilli pour la réalisation des enregistrements vidéo conformément aux dispositions applicables en matière de droit à l’image et de droit à la voix.
Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle.
Durées de conservation en base active et en archivage
Les enregistrements vidéo seront conservés pendant deux ans puis détruits.
Autres données :
Base active : deux ans
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Les participants seront inclus en Autriche, en Allemagne, en Grèce, au Canada, au Royaume-Uni et aux États-Unis.
Le responsable de traitement a transmis les avis des comités d’éthique locaux. Il lui appartient de veiller au respect des dispositions locales applicables aux recherches impliquant la personne humaine avant et pendant toute la durée de l’étude.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes (suivi dématérialisé) et de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Un sous-traitant du responsable de traitement aura accès aux coordonnées électroniques des participants, pouvant inclure des données nominatives (prénoms et noms), ainsi qu’aux données de santé dans le cadre de leur suivi. Ces derniers en seront informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Les coordonnées électroniques seront détruites à la fin du suivi des participants.
Autres données :
Base active : dix ans
Archivage : dix ans.
 
AUTORISE la société IPSEN PHARMA à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 12 mars 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement probabiliste des données de l’étude avec celles du SNDS) et des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
La collecte des nom, prénom ainsi que des coordonnées (téléphoniques et électroniques) est nécessaire pour assurer le suivi centralisé des participants ainsi que pour la réalisation du volet qualitatif de l’étude par un chargé d’études en sciences humaines et sociales. Les participants en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM
Années concernées : 2026 et 2027, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique).
Information des personnes
Tous les participants recevront une note d’information individuelle.
Durée de conservation en base active et en archivage
Les données nominatives et les coordonnées du patient seront détruites à la fin du suivi.
Les données du SNIIRAM seront accessibles pendant trois ans.
Autres données 
: 
- Base active : cinq ans
- Archivage : quinze ans.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 22 mai 2025
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
Dans l’hypothèse où le patient ne serait pas en état de recevoir l’information avant son inclusion, celle-ci sera délivrée, dès que possible, à son représentant désigné légalement.
Dès lors que son état de santé le permettra, le patient sera informé de son inclusion dans l’étude et de ses droits.
Le patient ou, le cas échéant, son représentant désigné légalement sera informé de son droit de s'opposer à l'utilisation des données recueillies dans le cadre de l'essai clinique.
Durée de conservation en base active et en archivage
Base active : quatre ans et six mois.
Archivage : vingt-cinq ans.
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est I du 10 février 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (enregistrements vidéo directement identifiants). En dehors de ce point, qui fait l’objet d’un examen spécifique dans le cadre de la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégorie particulière de données traitées (autres que données de santé)
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
A l’exception de la réalisation de ces enregistrements vidéo, seules les données dont la collecte et le traitement sont autorisés dans la MR-001 pourront être collectées et traitées
, sous réserve qu’elles soient strictement nécessaires et pertinentes au regard des objectifs de la recherche
.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude.
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( "data privacy framework" , ci-après "DPF" ).
En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées.
A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Durées de conservation
Les enregistrements vidéo supprimés à bref délai, lorsque les images auront été converties en score.
 
AUTORISE la société EMOBOT à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est II du 2 août 2023
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
Dans l’hypothèse où le patient ne serait pas en état de recevoir l’information avant son inclusion, celle-ci sera délivrée, dès que possible, à son représentant désigné légalement.
Dès lors que son état de santé le permettra, le patient sera informé de son inclusion dans l’étude et de ses droits.
Le patient ou, le cas échéant, son représentant désigné légalement sera informé de son droit de s'opposer à l'utilisation des données recueillies dans le cadre de l’investigation clinique.
Durée de conservation en base active et en archivage
Base active : trois ans.
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 mars 2025
Modifications substantielles du traitement de données
La modification envisagée porte sur les bases de données réutilisées pour la mise en œuvre de cette étude ainsi que la profondeur historique des données du SNDS traitées :
des données issues des comptes-rendus de génétique moléculaire pour la recherche de mutations somatiques composant le dossier communicant en cancérologie conformément aux critères d’inclusion décrits dans le protocole seront traitées dans le cadre de cette étude. Les données issues du dossier communicant en cancérologie devront être pseudonymisées préalablement à leur traitement ;
les données du SNDS (SNIIRAM, PMSI et CépiDc) collectées entre 2014 et 2024.
Ces données seront issues de la Plateforme des données en cancérologie (PDC) autorisée par la CNIL (délibération n°2023-040).
Information et droits des personnes
Les bases de données réutilisées étant conservées dans la PDC, les modalités d’information des personnes devront être conformes aux termes de l’autorisation de la CNIL.
 
S’agissant des personnes dont les données sont exclusivement issues du SNDS et celles dont le suivi médical n’est plus en cours :
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des personnes dont le suivi médical est en cours :
 
Les personnes concernées ont reçu ou recevront un premier niveau d’information individuelle les renvoyant vers un dispositif spécifique d’information auquel elles peuvent se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données (portail de transparence) dans le cadre de la PDC. Une note d’information relative à la présente étude sera diffusée sur le portail de transparence accessible via le site web du responsable de traitement.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé demeure conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. En dehors de ces points, qui ont fait l’objet d’un examen spécifique dans la précédente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
AUTORISE l’institut national du cancer et la société novartis à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT