AgentPublic/cnil huggingface dataset:
Vu la demande complémentaire de Madame Valérie PEUGEOT, commissaire rapporteure, notifiée aux conseils des sociétés X et Y le 25 janvier 2023 ;
 
Vu le courrier du 28 avril 2023, en réponse à la demande complémentaire, transmis par les sociétés X et Y ;
 
Vu les autres pièces du dossier ;
 
Après en avoir délibéré lors de la séance du 13 juillet 2023, a adopté la décision suivante :
 
 
FAITS ET PROCÉDURE
 
La décision no SAN-2021-023 du 31 décembre 2021, notifiée à la société X le 14 janvier 2022 et le 17 janvier 2022 à la société Y, a enjoint aux sociétés X et Y (ci-après … ) de :
 
de modifier, sur les sites web
 […].fr et […].com ,
 les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moyen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement .
 
Cette injonction était assortie d’une astreinte de cent mille euros (100 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 4 avril 2022, dans le délai fixé par la délibération, […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant les mesures qu’elle comptait mettre en œuvre à partir de mi-avril 2022 sur […] et à la fin du mois d’avril ou dans les premières semaines de mai 2022 s’agissant de […]. Les modifications consistaient en l’adaptation du parcours utilisateur de façon à ce que les fenêtres surgissantes relatives aux cookies, qui apparaissent lorsque l’utilisateur se rend sur les sites web des sociétés, comprennent désormais un bouton de refus intitulé Tout refuser .
 
Les 19 avril, 25 mai et 15 juin 2022, […] a adressé au président de la formation restreinte les justificatifs attestant du déploiement sur les sites web […].fr et […].com de ces nouvelles fenêtres surgissantes relatives aux cookies.
 
Par courrier du 5 août 2022, le président de la formation restreinte a demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, pour s’assurer de l’effectivité du mécanisme de refus mis en œuvre par la société.
 
Dans ce but, après une analyse notifiée à […] le 25 janvier 2023, la rapporteure a demandé à […] de lui indiquer, dans un délai de 2 mois, des éléments d’informations complémentaires.
 
Par courrier du 28 avril 2023, […] a apporté les précisions demandées.
 
 
 
MOTIFS DE LA DECISION
La formation restreinte relève qu’il ressort des éléments fournis par la société dans ses différents courriers que les personnes se rendant sur les sites web […].fr et […].com se voient désormais proposer un moyen de refuser les opérations de lecture et/ou écriture d’informations dans leur terminal présentant une simplicité équivalente au mécanisme prévu pour leur acceptation.
 
Les modalités proposées permettant de garantir la liberté du consentement des utilisateurs, la formation restreinte considère que les sociétés X et Y ont satisfait à l’injonction dans le délai imparti.
 
 
 
 
 
PAR CES MOTIFS
 
La formation restreinte de la CNIL, après en avoir délibéré, décide :
 
de dire n’y avoir lieu à liquidation de l’astreinte ;
 
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2021-023 du 31 décembre 2021.
 
 
Le vice-président
 
 
 
Philippe-Pierre CABOURDIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société AI-STROKE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement de l’application AI-Stroke Paramedics "neurologue numérique" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ;
Vu la délibération n° 2023-054 du 8 juin 2023 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NIMES et la SOCIETE AI-STROKE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement clinique d’un outil d’aide à l’auto-diagnostic et l’hétéro-diagnostic optimisé d’un accident vasculaire cérébral par l’intelligence artificielle, intitulée "PREDISTROKE" ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 15 décembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est la société AI-STROKE.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité et le caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur le développement de l’application AI-Stroke Paramedics "neurologue numérique".
Deux cohortes seront constituées dans le cadre de cette étude :
une première cohorte comprenant les données de personnes majeures prises en charge, aux urgences ou dans le cadre d’une hospitalisation, au sein du Centre hospitalier universitaire de Nîmes pour une suspicion d’accident vasculaire cérébral (AVC) ou d’accident ischémique transitoire (AIT) ;
une seconde cohorte comprenant les données de volontaires sains.
Les enregistrements vidéo, ainsi que certaines données de santé 
pseudonymisées
 (âge, sexe, type d’AVC, décision thérapeutique) collectés dans le cadre de l’étude "PREDISTROKE" (demande d’autorisation n°922223v1), seront réutilisés dans le cadre de la présente étude afin de constituer la première cohorte.
Le consentement des personnes concernées sera recueilli en vue de leur participation à l’étude.
Les données des personnes concernées par cette étude permettront d’entraîner un algorithme d’intelligence artificielle qui calculera un score de probabilité que le patient soit victime d’un AVC. La société AI-STROKE envisage que l'application mobile développée soit à terme qualifiée de dispositif médical.
Deux approches différentes pour entraîner l’algorithme d’intelligence artificielle seront explorées de façon théorique, puis mises en œuvre dans le cadre de l’étude.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi "informatique et libertés".
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par la société AI-STROKE est nécessaire aux fins des intérêts légitimes qu’elle poursuit.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.f du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé. Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", dont il résulte qu’en l’absence de conformité à une méthodologie de référence, les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur le point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de cette exception, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur les catégories particulières de données traitées 
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réutilisés dans le cadre de cette étude. Ce traitement est nécessaire pour le développement de l’algorithme d’intelligence artificielle. Les vidéos sont référencées via un numéro pseudonyme, spécifique à ce projet de recherche.
Les enregistrements vidéo doivent être traitée et transmis de façon séparée des autres données de santé et être enregistrées dans une base de données distincte.
Sur l’information et les droits des personnes 
S’agissant de l’information des personnes :
Les personnes concernées recevront une note d’information individuelle spécifique à cette étude qui devra comporter l’ensemble des mentions prévues par le RGPD. Elle leur sera transmise à l’occasion d’une visite de suivi, pour les personnes participant à l’étude "PREDISTROKE" ou lors de la collecte de leurs données pour les autres personnes concernées.
 
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
 
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société AI-STROKE pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et les destinataires
Seul le personnel désigné et habilité de la société AI-STROKE a accès aux enregistrements vidéo ainsi qu’aux autres données collectées dans le cadre de cette recherche.
En tout état de cause, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux enregistrements vidéo.
Sur les mesures de sécurité
La société AI-STROKE prévoit des profils d'habilitation afin de gérer les accès aux données. Ils doivent être adaptés aux besoins d’accès spécifiques des différents accédants (ingénieurs, administrateurs, délégué à la protection des données). Ces profils doivent être limités aux seules données nécessaires et pertinentes pour une tâche spécifique (annotation des images, transformation des vidéos, etc.). Une revue globale des habilitations devra être opérée régulièrement.
 
Pour le référencement des vidéos, un numéro dédié non signifiant devra être généré aléatoirement. S’agissant des vidéos concernant les patients provenant de l’étude PREDISTROKE, la table de correspondance entre l’identité du patient et le pseudonyme AI-STROKE (différent de celui utilisé pour PREDISTROKE) sera conservée de manière sécurisée par le centre investigateur de l’étude. Concernant les volontaires sains, la société AI-STROKE prévoit également l’attribution d’un numéro de pseudonymisation.
Les autres mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD. À cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Sur les transferts de données en dehors de l’Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne (UE) vers un pays ne présentant pas un niveau de protection adéquat.
 
Le recours à un sous-traitant étatsunien par la société AI-STROKE permet le stockage de données uniquement à des fins de sauvegarde, ne nécessitant pas un accès par le sous-traitant aux données en clair, sur des serveurs du sous-traitant localisés au sein de l’UE. Ces données sont chiffrées avant leur stockage sur les serveurs du sous-traitant, sans lui transmettre la clé de déchiffrement, conformément aux conditions identifiées dans le cas d’usage n°1 dans les recommandations 01/2020 du Comité européen de la protection des données (CEPD) sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l’UE.
Sur les durées de conservation
Les données traitées dans le cadre de la présente étude seront conservées pendant trois ans en base active puis quinze ans en archivage.
 
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la réutilisation des données de l’étude
Toute nouvelle étude qui serait mise en œuvre à partir des données traitées dans le cadre de la présente étude devra faire l’objet de formalités préalables auprès de la Commission (déclaration de conformité à une méthodologie de référence ou dépôt d’une demande d’autorisation).
 
Il est pris acte du fait que la société AI-STROKE prévoit de recueillir le consentement spécifique des personnes afin de constituer une base de données pérenne à des fins de recherche. Le recueil du consentement devra être conforme aux dispositions au RGPD, éclairée par les lignes directrices 5/2020 sur le consentement du CEPD. En application de ces dispositions, ce consentement devra notamment être explicite, libre et éclairé par une note d’information. Il pourra également être retiré à tout moment.
Dans l’hypothèse où le consentement ne serait pas recueilli pour l’ensemble des personnes concernées par cette base, sa constitution sera soumise au régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou dépôt d’une demande d’autorisation). 
Observations complémentaires
Les modèles développés à partir des données de cette étude ont vocation à être utilisés par les établissements ou les professionnels de santé, en qualité de responsables de traitement, dans le cadre de la prise en charge sanitaire des personnes aux fins d’aide au diagnostic médical.
La société AI-STROKE devra donc porter une attention particulière à ce que les modèles développés ne contiennent pas de biais algorithmiques comportant un risque de discrimination directe ou indirecte.
Autorise, conformément à la présente délibération, la société AI-STROKE à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Nîmes et la société AI-STROKE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement clinique d’un outil d’aide à l’auto-diagnostic et l’hétéro-diagnostic optimisé d’un accident vasculaire cérébral par l’intelligence artificielle, intitulée "PREDISTROKE";
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ;
Vu les avis favorables du Comité de protection des personnes Nord-Ouest IV du 15 septembre 2022 et du 17 février 2023 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables de traitement
Le Centre hospitalier universitaire de Nîmes (CHU de Nîmes) et la société AI-STROKE déterminent conjointement les finalités et les moyens du traitement. Ils doivent définir de manière transparente leurs obligations respectives, conformément à l'article 26 du RGPD.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur le développement clinique d’un outil d’aide à l’auto-diagnostic et l’hétéro-diagnostic optimisé d’un accident vasculaire cérébral par l’intelligence artificielle intitulée "PREDISTROKE".
Des données, comprenant des enregistrements vidéo, seront collectées en conditions de vie réelles de patients pris en charge pour une suspicion d’accident vasculaire cérébral (AVC) ou d’accident ischémique transitoire (AIT) afin :
de permettre l’apprentissage d’un outil d’intelligence artificielle (IA) pour la détection de signes cliniques de ces pathologies ;
d’évaluer la faisabilité de la réalisation d’un autotest filmé par un patient en phase aiguë d’AVC ;
d’évaluer l’acceptabilité de l’autotest auprès des patients hospitalisés pour un AVC en phase aiguë et à trois mois ;
de décrire la population de l’étude et l’évaluation de l’évolution des scores diagnostiques et de gravité des AVC.
Cette étude portera sur des personnes majeures prises en charge par les services du CHU de Nîmes, aux urgences ou dans le cadre d’une hospitalisation, pour une suspicion d’AVC ou d’AIT.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi "informatique et libertés".
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public dont est investi le CHU de Nîmes et aux fins des intérêts légitimes poursuivis par la société AI-STROKE.
Ce traitement est, à ce titre, licite au regard des articles 6.1.e et 6.1.f du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", dont il résulte qu’en l’absence de conformité à une méthodologie de référence, les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur le point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données.
En dehors de cette exception, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Sur les catégories particulières de données traitées 
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ce traitement est notamment nécessaire afin de constituer la collection de données nécessaires à l’apprentissage de l’outil d’IA. Les participants en sont informés et consentent à la captation et à l’utilisation de leurs images et de leur voix.
 
Tant que les personnes concernées ne seront pas en état de donner leur consentement, les enregistrements (dont la réalisation ne peut être différée) ne seront accessibles qu’à l’équipe de soins. Dans l’hypothèse où le consentement ne pourrait recueilli par la suite, les enregistrements seront détruits.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte.
Sur l’information et les droits des personnes 
S’agissant des participants en état d’exprimer leur consentement :
 
Les participants en état d’exprimer leur consentement recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. Elle leur sera transmise à l’occasion de la visite d’inclusion.
 
S’agissant des autres participants
 :
Ils recevront une note d’information individuelle adaptée à leur capacité de compréhension. 
 
Une information sera délivrée avant l’inclusion dans la recherche à la personne de confiance au sens de l’article L. 1111-6 du CSP ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. 
 
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
 
S’agissant des modalités d’exercice des droits :
 
Tous les participants pourront exercer leurs droits, par voie postale ou électronique, auprès du délégué à la protection des données du CHU de Nîmes ou de celui de la société AI-STROKE pendant toute la durée de la recherche.
 
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et les destinataires
Les personnels habilités du CHU de Nîmes et de la société AI-STROKE ont accès aux enregistrements vidéo des personnes se prêtant à l’étude dans les conditions mentionnées ci-dessus.
 
Seul le personnel désigné et habilité du CHU de Nîmes a accès aux autres données collectées dans le cadre de cette étude.
 
En tout état de cause, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Sur les mesures de sécurité
Les données cliniques collectées seront référencées par un numéro de pseudonymisation identifiant le patient. Ce pseudonyme est généré spécifiquement pour l’étude PREDISTROKE (numéro d'inclusion).
 
Un autre pseudonyme sera également généré automatiquement par l’outil de capture vidéo (tablette et application fournies par AI-STROKE) et attribué à chaque patient lors de l’acquisition de la vidéo. Un numéro dédié non signifiant devra être généré aléatoirement. Lors de la transmission des vidéos à la société AI-STROKE, celle-ci n’aura accès qu’à ce deuxième pseudonyme. La table de correspondance entre l’identité du patient et ses pseudonymes est conservée de manière sécurisée sous format papier au sein du CHU de Nîmes.