AgentPublic/cnil huggingface dataset:
la bulle sécurisée devra être homologuée au plus tard le 3 février 2026 conformément à la nouvelle version du référentiel.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes 
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement. Le traitement sera également enregistré au sein du portail de transparence de la Plateforme des données de santé. 
Durée d’accès
Trois ans à compter de la dernière extraction des données
 
AUTORISE la société PFIZER, INC et 
L’UNIVERSITE D’UTRECHT à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Modification du traitement de données
La modification envisagée concerne l’ajout d’un objectif secondaire. Les autres conditions de mise en œuvre de l’étude restent inchangées. 
 
 
AUTORISE l’UNIVERSITE DE BORDEAUX
et la société ABBOTT DIABETES CARE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Nature des données traitées
Les données issues des volets "patient" et "structure" de l’enquête "Urgences 2023" mise en œuvre par la Direction de la recherche, des études, de l'évaluation et des statistiques (Drees) seront réutilisées dans le cadre de l’étude. Ces données seront consultées sur la plateforme sécurisée du Centre d’accès sécurisé aux données (CASD).
Le responsable de traitement sollicite également un accès aux données du recueil d’information médicalisé en psychiatrie du PMSI ainsi qu’aux données des résumés de passages aux urgences des années 2020 à 2026, sous réserve qu’elles soient diffusables par l’Agence technique de l’information sur l’hospitalisation (ATIH). Ces données seront consultées sur la plateforme sécurisée de l’ATIH.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche. Cette dernière devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès / Durées de conservation en base active et en archivage
Les données seront accessibles pour une durée de deux ans à compter de la mise à disposition des données par l’ATIH et le CASD. Les données issues de l’enquête "Urgence 2023" seront ensuite archivées pour une durée de quatre ans au sein de l’espace sécurisé sur CASD puis détruites.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE l’INSTITUT DE RECHERCHE ET DOCUMENTATION EN ECONOMIE DE LA SANTE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité 
Avis favorable du Comité de protection des personnes Sud Méditerranée. IV
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
Des enregistrements vidéo et audio permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
S’agissant de l’examen des caractéristiques génétiques des participants :
Le consentement éclairé et exprès des personnes concernées ou, le cas échéant, de leurs représentants légaux sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi "informatique et libertés".
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Les mineurs participant à l’étude recevront une note d’information individuelle.
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
Transferts hors de l’Union européenne
Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ("data privacy framework", ci-après "DPF").
En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Durées de conservation en base active et en archivage
Les échantillons biologiques seront conservés pendant quatre ans puis détruits.
 
Autres données
 :
Base active : quatre ans
Archivage : vingt-cinq ans
 
AUTORISE les LABORATOIRES THEA à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Remarques liminaires
La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement du 2 avril 2024 établissant un cadre de prescription compassionnelle de la spécialité BEVACIZUMAB 25 mg/ml, solution à diluer pour perfusion dans les indications " Traitement de la maladie de Rendu-Osler dans les cas de : 
formes hépatiques sévères avec retentissement cardiaque à type d’hyperdébit cardiaque, associé à une dyspnée ;
formes hémorragiques sévères ORL et/ou digestives liées à la maladie et justifiant des transfusions sanguines et/ou perfusions de fer itératives".
Sur la responsabilité conjointe de traitement
Plusieurs organismes interviennent en qualité de responsables conjoints de traitement pour la gestion du cadre de prescription compassionnel : 
la société ROCHE SAS, 
la société PFIZER,
la société CELLTRION HEALTHCARE France,
la société AMGEN,
la société BIOCON BIOLOGICS FRANCE SAS,
la société ORGANON,
la société ZENTIVA FRANCE,
les HOSPICES CIVILS DE LYON.
Ces organismes définissent conjointement la finalité et les moyens du traitement mis en œuvre dans le cadre, en qualité de responsables conjoints, au sens de l’article 26 du RGPD. A ce titre, ils devront définir de manière transparente leurs obligations respectives dans le cadre du contrat qui les lie.
Point de non-conformité au référentiel concerné
Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception : 
du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle,
de certaines mesures de sécurité. 
En dehors de ces exceptions, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel RS-004.
Finalité du traitement, 
Le traitement est mis en œuvre à des fins de : 
collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; 
gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. 
Information des personnes concernées 
Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. 
Les personnes concernées pourront exercer leurs droits auprès : 
des Hospices civiles de Lyon,
du professionnel de santé ayant prescrit la spécialité.
Mesures de sécurité 
Le responsable de traitement a réalisé et transmis une analyse d’impact relative à la protection des données qui identifie deux écarts au référentiel RS-004 :
l’absence d’authentification multifacteur (SEC-AUT-2)
l’absence d’analyse automatique des journaux (SEC-JOU-4). 
La CNIL prend acte de ce que des mesures techniques et organisationnelles à l’état de l’art sont envisagées pour compenser ces écarts. Ces mesures devront être opérationnelles préalablement à la mise en œuvre du traitement.
 
Les mesures de sécurité devront répondre aux exigences prévues par le f) du 1 de l’article 5 et de l’article 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE LES SOCIETES ROCHE SAS,
 PFIZER, CELLTRION HEALTHCARE 
FRANCE,
 AMGEN, BIOCON 
BIOLOGICS FRANCE SAS
, ORGANON, ZENTIVA 
FRANCE
 et les HOSPICES CIVILES DE LYON à mettre en œuvre le traitement décrit ci-dessus 
La cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, 
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; 
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Modification substantielle du traitement de données
La modification envisagée porte sur les catégories de données traitées et les destinataires des données.
S’agissant des catégories de 
données :
Les données suivantes seront collectées, en plus de celles dont la collecte était initialement prévue dans le cadre de l’EDS "Canopée" : 
données de santé : CIM 10, indice de masse corporelle, carnet de contacts de santé (liste des métiers des professionnels soignant la personne et de leurs codes postaux) ;
données sur l’accès aux droits et prestations liées au handicap (PCH, APA, AAH, AEEH, ASH) ;
données sur l’entourage proche : existence ou non dans l’entourage de la personne accompagnée d’autres membres de la famille que les parents, d’un aidant (collecte de l’année de naissance) ;
données pseudonymisées issues du Projet Personnalisé d’Accompagnement (mis à jour annuellement) : besoins, souhaits et objectifs sur les thématiques de l’habitat, des loisirs, de l’accompagnement aux actes quotidiens, du travail, de la vie sociale, de la vie intime et sexuelle.
 
S’agissant des destinataires des 
données :
Les établissements partenaires pourront accéder aux indicateurs calculés au sein de l’EDS les concernant. 
L’exigence SEC-EXP-1 du référentiel "entrepôts de données de santé" prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale.
Si un jeu de données ne peut pas être anonymisé, au sens de l’avis 05/2014 sur les techniques d’anonymisation du groupe de travail "Article 29" sur la protection des données, les données devront être mises à disposition des utilisateurs dans un espace de travail de l’entrepôt.
Information des personnes
Une note d’information mise à jour sera transmise aux personnes concernées afin de les informer des modifications du traitement.
Le cas échéant, les proches de la personne concernée sont informés du versement de données les concernant au sein de l’EDS.
Observations complémentaires
L’entrepôt "Canopée" demeure conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception de la base légale et de la nature des données traitées.
Les autres conditions de mise en œuvre de l’entrepôt restent inchangées.
 
 
AUTORISE l’ASSOCIATION OBSERVEUR à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception de la durée de conservation des données.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité du traitement 
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "BANCCO+".
 
Ce dernier a pour finalités :
l’aide au diagnostic des maladies rares d’origine génétique ; 
contribuer à la réduction de l’errance diagnostique ; 
la réalisation de projets de recherche.
Sur la conservation des données
Les données versées dans l’entrepôt sont conservées trente ans à compter de leur collecte initiale puis supprimées ou anonymisées. 
 
Cette durée a été justifiée scientifiquement dans le dossier de demande au regard des finalités liées au diagnostic de maladies rares d’origine génétique, qui requièrent une durée de conservation plus longue que celle prévue par le référentiel.
 
AUTORISE LES HOSPICES CIVILS DE LYON, LE CENTRE HOSPITALIER UNIVERSITAIRE DE POITIERS, L’UNIVERSITE D’AIX MARSEILLE ET L’INSERM à mettre en œuvre le traitement décrit ci-dessus
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU