AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la société LIFEN Research SAS d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé LIFEN RESEARCH ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants (loi "informatique et libertés") ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Formule les observations suivantes : 
Sur le responsable de traitement 
La société LIFEN Research SAS (ci-après "LIFEN Research") développe et commercialise des logiciels d’analyse et de structuration de documents médicaux : 
dans le cadre de la recherche dans le domaine de la santé ;
destinés à améliorer la prise en charge des patients dans le cadre du soin.
 
Sur les formalités applicables et les points de non-conformité au référentiel concerné :
Le dossier de demande d’autorisation mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception de la base légale du traitement.
 
En dehors de ce point, le traitement devra respecter le cadre prévu par le référentiel.
 
Sur la base légale et de l’exception permettant de traiter des données concernant la santé :
Le traitement que la société LIFEN Research entend mettre en œuvre est nécessaire aux fins des intérêts légitimes qu’elle poursuit. Il est licite au regard du f) du 1 de l’article 6 du RGPD et remplit les conditions permettant le traitement des données concernant la santé au regard des dispositions du j) du 2 de l’article 9 du RGPD et du 3° de l’article 44 de la loi "informatique et libertés".
 
Sur la finalité du traitement et son caractère d’intérêt public 
Le traitement envisagé a pour finalité la constitution d’un entrepôt de donnés de santé à caractère personnel comprenant notamment des données de santé.
Les traitements qui seront réalisés à partir des données de cet entrepôt viseront : 
le développement et l’amélioration en routine d’algorithmes, d’outils logiciels et de produits de santé numérique, d’aides au diagnostic médical ou à la prise en charge ;
la réalisation de projets de recherches, d’études ou d’évaluations dans le domaine de la santé ;
la mise en œuvre d’études internes destinées à améliorer et optimiser la prise en charge des patients ;
la réalisation d’études de faisabilité.
 
Ces traitements pourront être mis en œuvre par les sociétés LIFEN Research ou LIFEN Care SAS, ainsi que par d’autres organismes tiers publics ou privés.
La société LIFEN Research s’est engagée à ce que les traitements réalisés à partir des données de l’entrepôt s’inscrivent en conformité avec les dispositions des articles L. 1461-1 et suivants du CSP, notamment le référentiel de sécurité visé au 3° du IV de l’article L. 1461-1 du CSP.
Dans l’optique de prévenir la poursuite des finalités interdites, la société LIFEN Research mettra en place une gouvernance globale, afin de garantir que les projets poursuivront une finalité d’intérêt public. Elle comportera en particulier :
une politique interne dédiée ;
une gouvernance interne, comprenant l’organisation et la documentation adéquates ;
une formation et une sensibilisation de tous les acteurs ;
une séparation des tâches en lien avec le traitement des données de santé, appuyée sur des critères d’exclusion a priori de certains personnels, services ou fonctions (en particulier les services réalisant des activités marketing ou promotionnelles) pour l’accès à un espace projet ou au rapport détaillé d’une étude ;
une liste tenue à jour des personnes ayant un lien à caractère promotionnel avec des acteurs de santé ou un conflit d’intérêt par rapport à une étude ;
une gestion des risques de violation liés au détournement de finalité, notamment sous l’angle de la minimisation/granularité des données et des risques de réidentification ;
une surveillance des incidents et gestion des violations avec détournement de finalité ;
des contrôles réguliers, comités annuels et mesures d’amélioration.
 
Ces mesures devront être opérationnelles avant la mise en œuvre du traitement.
Les utilisations futures des données contenues dans l’entrepôt s’inscriront dans le cadre des dispositions des articles 66, 72 et suivants de la loi "informatique et libertés" qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fasse l’objet de formalités propres.
 
Sur les données traitées 
L’entrepôt regroupera exclusivement les données d’études remplissant les conditions cumulatives suivantes : 
ces études devront avoir été mises en œuvre sous la responsabilité des clients de la société LIFEN Research ou de la société LIFEN Care SAS, dans le cadre d’une déclaration de conformité à une méthodologie de référence ou d’une autorisation de la CNIL ;
la société LIFEN Research ou la société LIFEN Care SAS devra être intervenue en qualité de sous-traitant dans le cadre de ces études, sur instruction de leurs clients, pour procéder à la préparation et la structuration de données de santé, notamment via leur solution "Lifen DataLab" ;
seules pourront être réutilisées les données pour lesquelles les responsables de traitement initiaux (les clients de la société LIFEN Research ou de la société LIFEN Care SAS) ont donné leur autorisation à cette fin ;
les personnes concernées inclues dans chacune des études devront bénéficier d’une information individuelle s’agissant du versement de leurs données au sein de l’entrepôt ;
la société LIFEN Research devra publier sur son site web la liste des études qui alimenteront l’entrepôt.
 
Ainsi, seront versées dans l’entrepôt, dans le respect des conditions exposées ci-avant, les données issues des études : 
de l’Institut Gustave Roussy : 
"LUCC – Poumon" (déclaration de conformité n° 2207313) ;
"LUCC – Pédiatrie" (déclaration de conformité n° 2207313) ;
"Prosta – LUCC" (déclaration de conformité n° 2207313).
 
de l’Hôpital Foch : 
"CUB – Trajectory" (déclaration de conformité n° 2204268).
 
Sur les mesures de sécurité :
La société LIFEN Research a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données (AIPD), spécifique à la constitution de l’entrepôt.
 
Pour les accès internes et externes à l’entrepôt, une authentification multifacteur, reposant sur un mot de passe ainsi qu’une application mobile TOTP déverrouillée par code PIN ou un jeton matériel, sera mise en place.
La société LIFEN Research s’est engagé à respecter l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. En particulier, seuls des exports de données avec des agrégats d’au moins dix personnes identiques sont prévus. Des exports-types, sur des périmètres limités, devront être définis afin d’assurer leur anonymisation par conception. Le responsable de traitement devra également tenir compte des évolutions de l’état de l’art et des futures lignes directrices du CEPD en la matière.
 
Observations complémentaires :
Dans l’hypothèse où la société LIFEN Research souhaiterait soumettre une demande de modification ou de renouvellement, le dossier de demande devra notamment comporter les éléments suivants :
la démonstration de la mise en œuvre effective d’une politique d’entreprise liée à la prévention des finalités interdites ;
la liste des projets réalisés ou en cours de réalisation ainsi que la démonstration de l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt ;
les modalités de réalisation du plan d’actions détaillé dans le dossier de demande et la résolution d’incidents éventuels.
 
AUTORISE, conformément à la présente délibération, la société LIFEN RESEARCH SAS à mettre en œuvre le traitement décrit ci-dessus pour une durée de dix ans, à compter de la présente autorisation.
 
 La présidente,
 
 
M.-L. Denis
(Demande d’approbation n° COC25019247)
 
La Commission nationale de l'informatique et des libertés,
 
Saisie par l’Alliance du Commerce d’une demande d’approbation de son projet de code de conduite national destiné aux magasins et enseignes dans le secteur du commerce de détail de l’équipement de la personne,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("Règlement" ou "Règlement général sur la protection des données" ou "RGPD"), notamment son article 40 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Madame Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
L’article 40.5 du RGPD prévoit que les associations et autres organismes représentatifs d’un secteur d’activité qui ont l'intention d'élaborer un code de conduite soumettent leur projet à l'autorité de contrôle compétente en vertu de l'article 55 du RGPD. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code respecte le Règlement et approuve ce projet de code si elle estime qu'il offre des garanties appropriées suffisantes.
Le 1er décembre 2025, la CNIL a été saisie par l’Alliance du Commerce d’une demande d’approbation portant sur un projet de code de conduite national et ce conformément aux dispositions de l’article 40.5 du RGPD.
 
Le code de conduite répond d’abord aux exigences formelles telles que prévues par l’article 40.2 du RGPD quant à la représentativité du porteur du code de conduite, au champ d’application matériel conforme au droit national ainsi qu’au champ d’application géographique de celui-ci. Il identifie ensuite la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. Enfin, il détaille les modalités de consultations des professionnels du secteur et développe une procédure de contrôle de la bonne application du code de conduite par les adhérents.
 
Le code de conduite vient préciser les modalités d’application du Règlement et prend en compte les besoins des professionnels du secteur du commerce de détail de l’équipement de la personne conformément aux dispositions de l’article 40.1 du RGPD. Par ailleurs, il illustre et apporte des exemples concrets permettant l’application effective du RGPD par les adhérents. Enfin, il affirme de manière claire et précise l’obligation pour les professionnels adhérents de se conformer aux exigences du code de conduite qui est juridiquement contraignant.
Le code de conduite comprend un mécanisme permettant à l’organisme de contrôle de mettre en œuvre ses missions de contrôle de la bonne application du code de conduite par les professionnels adhérents, conformément aux dispositions de l’article 40.4 du RGPD. L’organisme de contrôle désigné par le code de conduite fera l’objet d’un agrément par la CNIL conformément aux dispositions de l’article 41.1 du RGPD.
Le code de conduite comprend une procédure permettant sa mise à jour selon les évolutions juridiques et techniques conformément aux dispositions de l’article 40.2 du RGPD.
 
Conformément aux dispositions de l’article 40.1 du RGPD, le code de conduite contribue à la bonne application du Règlement, compte tenu de la spécificité du secteur concerné.
Décide :
L’approbation du code de conduite national pour les magasins et enseignes du commerce de détail de l’équipement de la personne porté par l’Alliance du Commerce et annexé à la présente délibération.
 
Qu’en cas de modification du code, la CNIL, après en avoir été informée par le porteur du code, décidera si une nouvelle procédure d’approbation est nécessaire conformément aux dispositions de l’article 40.2 du RGPD.
Cette décision sera publiée sur le site Légifrance.
 
 
La présidente,
 
M.-L. Denis
Annexe : code de conduite de l'Alliance du Commerce
N° de demande d’avis : 25018419
Thématiques : enquêtes administratives, défense, mises en relation
Organisme(s) à l’origine de la saisine : ministère des armées et des anciens combattants
Fondement de la saisine :
article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. Le traitement projeté vise à faciliter et à améliorer l’efficacité d’enquêtes administratives diligentées par la direction du renseignement et de la sécurité de la défense (DRSD) du ministère des armées ou pour son compte. 
Son fonctionnement repose sur une mise en relation avec plusieurs traitements afin de vérifier si la personne concernée par une enquête figure ou non dans l’un d’eux.
2. La CNIL estime que les finalités du traitement sont légitimes et que les données collectées sont pertinentes et nécessaires pour y répondre. 
3. Il conviendrait néanmoins de modifier le projet de décret pour davantage expliciter les finalités et préciser certaines catégories de destinataires.
4. Au regard de la diversité des données susceptibles d’être traitées, de la sensibilité de certaines d’entre elles et de l’impact de leur traitement pour les personnes faisant l’objet d’une enquête, la CNIL considère que des mesures devront être mises en place pour garantir la minimisation et l’exactitude des données.
___________________
 
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son titre IV et son article 31 ;
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
 
1. La saisine
 
A. Le contexte
La direction du renseignement et de la sécurité de la défense (DRSD) est le service de renseignement dont dispose le ministère des armées pour assumer ses responsabilités en matière de sécurité du personnel, des informations, du matériel et des installations sensibles. Parmi ses missions figure la réalisation des enquêtes administratives prévues à l'article L. 114-1 du code de la sécurité intérieure (CSI) et à l'article L. 4123-9-1 du code de la défense (art. D. 3126-5 et s. du même code).
Au regard de l’augmentation du nombre de demandes, et de la diversité des motifs qui fondent les enquêtes administratives, la DRSD a identifié le besoin de recourir à un traitement analogue au dispositif "automatisation de la consultation centralisée de renseignements et de données" (ACCReD) mis en œuvre par le ministère de l’intérieur (v. décret n° 2017-1224 du 3 août 2017). En effet, le ministère des armées ne dispose pas d’outils lui permettant d’interroger directement et simultanément les traitements nécessaires à la réalisation des enquêtes administratives relevant de sa compétence afin de rationaliser ces dernières et d’en réduire la durée.
 
La CNIL a été consultée à plusieurs reprises sur le dispositif ACCReD du ministère de l’intérieur. A chaque occasion, elle a rappelé que la réalisation d’enquêtes administratives, lesquelles impliquent le traitement de données à caractère personnel sur un nombre de plus en plus important de personnes, doivent s’accompagner de garanties fortes pour assurer que l’atteinte portée aux droits des personnes n’est pas excessive (CNIL, SP, 18 mai 2017, avis sur projet de décret, ACCReD, n° 2017-152, publié ; CNIL, SP, 11 juillet 2019, avis sur projet de décret, ACCReD, n° 2019-096 ; publié ; CNIL, SP, 23 novembre 2023, avis sur projet de décret, ACCReD, n° 2023-122 ; publié).
 
 
B. L’objet de la saisine
La CNIL est saisie par le ministère des armées d’une demande d’avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé "Automatisation de la consultation centralisée de renseignements et de données du ministère de la défense" (ACCReD MINDEF). Il en fixe le périmètre et les modalités de mise en œuvre.
 
Ce traitement a pour objet de rationaliser et d’accélérer le travail d’enquête de la DRSD et, pour le compte de cette dernière, des formations spécialisées de la gendarmerie nationale, en permettant des mises en relation avec les traitements qui apparaissent pertinents au regard des besoins de l’enquête.
Au regard de ses caractéristiques, et dans la mesure où il facilite la réalisation d’enquêtes administratives en vue d’assurer la sûreté de l’Etat et la défense, le traitement "ACCReD MINDEF" relève des dispositions du titre IV de la loi "informatique et libertés".
 
En outre, la CNIL a été saisie d’un projet de décret modifiant l’article R. 841-2 du CSI pour soumettre le traitement à la formation spécialisée du Conseil d'Etat qui traite le contentieux des fichiers intéressant la sûreté de l'Etat – ce qui n’appelle pas d’observation particulière.
 
2. L’avis de la CNIL
 
A. Sur les finalités du traitement
Le projet de décret prévoit que le traitement a pour finalité de faciliter la réalisation d’enquêtes administratives en application de l’article L. 114-1 du CSI et de l’article L. 4123-9-1 du code de la défense et d’exploiter les informations recueillies dans ce cadre.
 
D’une part, s’agissant des enquêtes administratives visées à l’article L. 114-1 du CSI, le ministère précise que le traitement sera mis en œuvre dans le cadre des enquêtes par et pour le compte de la DRSD, notamment celles :
- ayant pour finalité de donner accès à un lieu, tel qu’une zone protégée (2° de l’art. R. 114-4 du CSI), un point d’importance vitale (3° de l’art. R. 114-4 du CSI), ou encore une zone militaire placée sous le contrôle de l’autorité militaire (1° de l’art. R. 114-4 du CSI) ;
- ayant pour finalité de délivrer une autorisation ou une habilitation ou de recruter une personne. A titre d’illustration, il pourrait s’agir du recrutement de militaires ou agents civils du ministère des armées (j) et o) du 3° de l’art. R. 114-2 du CSI), ou encore d’une habilitation à accéder aux informations et supports protégés au titre du secret de la défense nationale (a) du 1° de l’art. R. 114-2 du CSI).
D’autre part, les enquêtes relevant de l’article L. 4123-9-1 du code de la défense concernent les personnes accédant aux données à caractère personnel de militaires, aux fins d’identifier si elles constituent une menace pour la sécurité des militaires concernés.
La CNIL estime que ces finalités sont légitimes, au regard tant des missions de la DRSD que du besoin croissant de disposer d’outils permettant d’assurer l’efficacité des enquêtes, du fait de l’augmentation de leur nombre.
 
Elle invite néanmoins le ministère à mentionner plus précisément, dans le décret, les enquêtes administratives concernées.
 
 
B. Sur les mises en relation projetées 
Le projet de décret énumère les traitements pouvant être mis en relation avec ACCReD MINDEF, en distinguant :
- les traitements pouvant faire l’objet d’une consultation automatique et, le cas échéant, simultanée ;
- ceux pouvant faire l’objet d’une interrogation non automatisée ;
- et, enfin, le traitement "SOPHIA" faisant l’objet d’une interconnexion avec ACCReD MINDEF.
En premier lieu, la CNIL observe qu’ACCRED MINDEF pourra procéder à l’interrogation automatique de cinq fichiers : le traitement d’antécédents judiciaires, le fichier des personnes recherchées, le traitement "FSPRT", le traitement automatisé des données relatives aux objets et véhicules volés (FOVeS), et le casier judiciaire national automatisé. La CNIL estime que ces mises en relation sont légitimes au regard des missions de la DRSD et du périmètre des enquêtes administratives concernées.
En deuxième lieu, les mises en relation sous la forme d’interrogation non automatisée concernent quatre fichiers intéressant la sûreté de l’Etat ou la défense et pouvant être interrogés par les seuls agents de la DRSD.
La CNIL prend acte de ce que la nécessité de consulter chacun de ces fichiers sera appréciée au cas par cas, selon les besoins de l’enquête.
 
En troisième lieu, ACCReD MINDEF fera l’objet d’une interconnexion avec le traitement "SOPHIA", lequel permet de transmettre et de suivre les dossiers relatifs aux enquêtes dont la DRSD a la charge, enquêtes qui sont ensuite réalisées grâce à d’autres traitements. SOPHIA a vocation à être alimenté par des données figurant dans ACCReD MINDEF.
 
La CNIL rappelle que lorsque des traitements sont encadrés par des actes réglementaires, leur mise en relation doit respecter les dispositions régissant chacun des traitements concernés. En particulier, l’opération de mise en relation doit être conforme aux finalités, aux catégories de données et aux accédants ou destinataires fixés par les actes réglementaires concernés (v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
Enfin, elle attire l’attention du ministère sur la nécessité de veiller à ce que les données issues d’ACCReD MINDEF qui seraient, le cas échéant, versées dans d’autres fichiers, notamment ceux présentant une sensibilité particulière, y soient conservées pour la seule durée pertinente et nécessaire à la finalité ayant justifié leur transmission.
 
 
C. Sur les données collectées 
 
Le projet de décret énumère les catégories de données pouvant être enregistrées dans le traitement.
De manière générale, la CNIL estime que ces données sont adéquates et pertinentes au regard des finalités pour lesquelles elles sont traitées.
Elle relève néanmoins la diversité des catégories de données susceptibles d’être traitées, la sensibilité de certaines d’entre elles, et observe que leur traitement, réalisé dans le cadre d’enquêtes administratives préalables à une décision, peut avoir un fort impact sur les droits et libertés des personnes concernées.
D’une part, des mesures devront être mises en place pour garantir que seules les données nécessaires à la réalisation d’une enquête sont enregistrées, conformément au principe de minimisation. Ainsi :
il conviendra d’assurer une collecte sélective des données eu égard à la nature de l’enquête réalisée ;
s’agissant en particulier de la catégorie relative aux "éléments issus des vérifications complémentaires opérées dans le cadre de l'enquête administrative […]", il conviendra de s’assurer, par exemple via une sensibilisation spécifique des agents, que ces informations se limiteront aux seules données strictement nécessaires pour apprécier que le comportement de la personne concernée n'est ni incompatible avec l'accès ou les fonctions envisagés, ni de nature à porter atteinte à la sécurité des personnes, à la sécurité publique ou à la sûreté de l'Etat.