AgentPublic/cnil huggingface dataset:
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Durées de conservation en base active et en archivage
Les adresses complètes des personnes concernées seront détruites après le calcul de l’IRIS, qui interviendra dans un délai maximal d’un an.
 
Autres données :
Base active : un an.
Archivage : deux ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile-de-France I du 10 septembre 2024 
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
 
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
 
L’ensemble de ces notes d’information devra comporter les mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Base active : cinq ans
Archivage : quinze ans.
AUTORISE les 
hospices civils de Lyon à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Les données de l’échantillon démographique permanent Santé EDP-Santé (demande d’autorisation n° 918335) collectées entre 2008 et 2022 et mis en œuvre par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES) seront réutilisées dans le cadre de cette étude. Elles seront mises à disposition par le Centre d’accès sécurisé aux données (CASD). 
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement de l’étude et sur celui de la DREES. Elle devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Les données seront accessibles pendant cinq ans.
 
AUTORISE l’AGENCE DE LA BIOMEDECINE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Nord-Ouest I du 4 septembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Durées de conservation en base active et en archivage
Les échantillons biologiques seront conservés pendant dix ans après la fin de la recherche.
 
Autres données :
Base active : quatre ans
Archivage : quinze ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest III du 7 septembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
La collecte des nom, prénom ainsi que des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. 
 
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées seront détruites à la fin du suivi.
 
Autres données :
Base active : trois ans
Archivage : quinze ans.
 
AUTORISE le 
Centre hospitalier universitaire de grenoble à mettre en œuvre le traitement décrit ci-dessus.
 
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Est II du 15 juillet 2024
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes.
La collecte des nom, prénom ainsi que des coordonnées (téléphoniques et électroniques) est nécessaire pour assurer le suivi centralisé des participants par un psychologique agissant en qualité de sous-traitant du promoteur. Les participants sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom) ainsi que les coordonnées téléphoniques et électroniques seront détruites à la fin du suivi des participants.
 
Autres données :
Base active : cinq ans.
Archivage : quinze ans.
 
AUTORISE le
centre hospitalier universitaire de tours à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
Date de l'avis : 14 décembre 2023.
			N° de la délibération : n° 2023-150.
			N° de demande d'avis : DA 1726052.V9.
			Organisme(s) à l'origine de la saisine : ministère de l'économie, des finances et de la souveraineté industrielle et numérique.
			Textes concernés : projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes .
			Thématiques : recouvrement de l'impôt, lutte contre la fraude, collecte de données sur les plateformes et les réseaux sociaux.
			Fondement de la saisine : article 31, I, 2°, de la loi du 6 janvier 1978 modifiée.
L'essentiel :
La CNIL a été saisie par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique pour avis d'un projet d'arrêté visant, en particulier, à préciser les finalités du traitement ciblage de la fraude et valorisation des requêtes (CFVR), à modifier les destinataires des données et, enfin, à prévoir l'alimentation par les résultats du traitement de plusieurs outils métiers de la Direction générale des finances publiques (DGFiP).
La CNIL considère que les modifications envisagées sont légitimes. A la lumière des récentes jurisprudences française et européenne s'agissant du régime juridique applicable aux traitements de l'administration fiscale, elle estime que le traitement CFVR relève du RGPD.
Elle rappelle la nécessité de respecter les principes de protection des données par conception et par défaut dans le développement des outils métiers à destination des agents de son administration. En particulier, les destinataires des résultats du traitement devront être limités à ceux qui ont besoin d'en connaître, eu égard à leurs missions respectives.
Il revient au ministère de faire preuve d'une grande prudence dans la conception et l'utilisation de ce type de traitements algorithmiques, compte tenu des risques qu'ils présentent et des biais dont ils peuvent souffrir. La CNIL recommande en particulier la mise en place de formations spécifiques permettant aux agents en charge de la programmation et des contrôles de maîtriser les principes des algorithmes utilisés.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment ses articles 4, 31, 47 et 52 ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La lutte contre la fraude fiscale est un objectif de valeur constitutionnelle qui légitime certaines actions du Gouvernement et de l'administration en faveur d'une détection efficiente des manquements et des infractions prévus au code des impôts. Ces actions s'inscrivent dans la feuille de route gouvernementale de lutte contre toutes les fraudes aux finances publiques, présentée en juin 2023.
Dans le but d'améliorer la programmation des contrôles fiscaux, le ministère de l'économie, des finances et de la souveraineté industrielle et numérique met en œuvre depuis 2014 le dispositif de ciblage de la fraude et de valorisation des requêtes (CFVR) faisant appel à des techniques de fouille de données ( datamining ). Ce traitement, qui n'a pas pour but de remplacer l'analyse des agents, vise un meilleur ciblage du contrôle des particuliers et des professionnels qui pourraient se trouver en situation de manquement ou de fraude. Pour ce faire, le traitement CFVR fait appel, d'une part, à l'agrégation de plusieurs bases de données internes à la direction générale des finances publiques (DGFiP), comme les fichiers des comptes bancaires (traitement FICOBA ) et des contrats de capitalisation et d'assurance-vie (traitement FICOVIE ), et externes, telles que certaines données des unions de recouvrement des cotisations de sécurité sociale et d'allocations familiales (URSSAF), et, d'autre part, à des modèles statistiques probabilistes reposant sur la recherche d'atypies ou d'incohérences, sur l'expérience acquise par la DGFiP ainsi que sur l'analyse de réseaux afin de faire apparaître de possibles liens entre des personnes physiques ou morales. Le bureau en charge de la programmation des contrôles et de l'analyse des données au sein de la DGFiP (SJCF-1D) mène ces travaux visant à mieux caractériser une personne ou une entreprise potentiellement frauduleuse.
Initialement mis en œuvre en 2014 à titre expérimental, dans le cadre de la recherche de fraudes commises par les contribuables professionnels, le traitement CFVR a été pérennisé en 2015 pour ces contribuables et étendu concomitamment, à titre d'expérimentation, aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a elle-même été pérennisée en 2016, puis ce traitement a été élargi une nouvelle fois en 2017 aux particuliers à titre expérimental jusqu'en août 2019. Parallèlement, les finalités de ce traitement ont été étendues afin de permettre la détection anticipée des entreprises en difficulté ainsi que l'envoi automatique de demandes de compléments d'informations aux contribuables. Enfin, à titre expérimental, la loi a autorisé l'administration fiscale, à des fins de recherche d'infractions limitativement énumérées, à collecter et à exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les plateformes et les réseaux sociaux (article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020). Chacune de ces modifications a fait l'objet d'un avis de la CNIL.
B. - L'objet de la saisine
La CNIL a été saisie pour avis, sur le fondement du 2° du I de l'article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d'un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes .
Le projet d'arrêté :
- précise les finalités du traitement et modifie le régime juridique qui lui est applicable ;
- complète la liste des données à caractère personnel traitées ;
- reformule la présentation des destinataires des données à caractère personnel et précise les applications métiers qui seront alimentées par les résultats du traitement ;
- modifie les bases légales sur lesquelles reposent les droits des personnes concernées en cohérence avec le régime juridique choisi ;
- écarte l'objectif de mise en œuvre d'un dispositif de journalisation pour ce traitement, dont la date butoir était le 6 mai 2023.
Dans la mesure où le traitement CFVR est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère a réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD) qui a été adressée à la CNIL avec la demande d'avis.
II. - L'avis de la CNIL
A titre liminaire :
- la CNIL rappelle l'engagement du ministère, tel que formalisé par la délibération du 12 septembre 2019 portant sur ce même traitement, de lui communiquer régulièrement des bilans sur les conditions d'utilisation et d'exploitation [du] traitement [CFVR] et sur les coûts afférents (CNIL, SP, 12 septembre 2019, traitement CFVR , n° 2019-115, publié). Il était précisé qu'une telle transmission pouvait être annuelle. Bien que le ministère se soit engagé au cours de l'instruction à adresser ce bilan au plus tard au deuxième trimestre 2023, la CNIL constate l'absence de transmission des rapports de fonctionnement réguliers de ce traitement, et ce, d'autant plus que celui-ci est d'une complexité et d'une ampleur significatives ;
- dans la délibération n° 2018-346 du 8 novembre 2018, le ministère s'était engagé à édicter un acte réglementaire dédié au traitement relatif à la détection anticipée des entreprises en difficulté (CNIL, SP, 8 novembre 2018, traitement CFVR , n° 2018-346). La CNIL constate, là encore, l'absence d'un tel acte. Compte tenu de la multiplicité des finalités du traitement CFVR, ce texte apparait nécessaire afin, d'une part, de rendre intelligibles les objectifs des traitements respectifs de CFVR et, d'autre part, de distinguer clairement les régimes juridiques applicables.
A. - Sur les finalités du traitement et le régime juridique applicable