AgentPublic/cnil huggingface dataset:
(Demande d'autorisation n°921292v1)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande de modification d'une autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés) ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les é valuations dans le domaine de la santé du 12 février 2026 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
La modification envisagée porte sur la profondeur historique des données du SNDS : sous réserve qu'elles soient diffusables par la CNAM, seront désormais traitées les données du SNIIRAM et du PMSI recueillies entre 2015 et 2027.
Les autres conditions de mise en œuvre de l'étude demeurent inchangées.
Autorise la société Physidia à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ; 
Saisie d'une demande d'autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 6 novembre 2025
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception :
de la nature des données traitées (données du SNDS) ;
des modalités d'information des personnes concernées.
En dehors de ces points, qui font l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d'une base existante
Les données issues de l'essai clinique "LAVENDER" mis en œuvre par la société Acadia US seront réutilisées dans le cadre de la présente étude.
Le dossier de demande mentionne que cet essai été réalisé dans le respect de la règlementation locale applicable.
Utilisation de données issues du SNDS historique
Sous réserve qu'elles soient diffusables par la CNAM, seront également traitées dans le cadre de cette étude certaines données du SNIIRAM, PMSI et CépiDc recueillies entre 2006 à 2024.
Seul le bureau d'études aura accès aux données individuelles du SNDS sur le portail de la CNAM.
Les données traitées étant issues de bases composant le SNDS, l'ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l'espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes
Conformément aux dispositions du b) du 5 l'article 14 du RGPD, dans l'hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l'information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d'information devra également sera rendue publique sur le site web du responsable de traitement.
Transferts hors de l'Union européenne
Des salariés du bureau d'études accèderont à distance aux données mises à disposition sur le portail de la CNAM depuis le Canada et la Tunisie. Ces transferts de données seront réalisés dans les conditions prévues au chapitre V du RGPD.
Durée d'accès
Trois ans à compter de la mise à disposition des données.
Autorise la société Acadia Pharmaceuticals (France) à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
(Demande d'autorisation n°923164v1)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande de modification d'une autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés) ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité d'éthique du Vietnam en date du 12 mars 2026 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Les modifications envisagées portent sur :
l'ajout d'un objectif (évaluer la performance d'un test diagnostic de la tuberculose à base de crachat enrichi) ;
l'allongement de la durée de conservation des données en base active pour vingt-quatre mois supplémentaires.
Les autres conditions de mise en œuvre de l'étude demeurent inchangées.
Autorise l'Institut national de la santé et de la recherche médicale – ANRS – maladies infectieuses émergentes à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
(Demande d'autorisation n°9-113) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur le sous-traitant :
L'Institut National du Cancer (INCa) interviendra comme sous-traitant dans la mise en œuvre de cette étude.
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l'article 28 du RGPD.
Sur la conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d'information des personnes concernées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la nature des données traitées :
Seront réutilisées dans le cadre de cette étude les données à caractère personnel de l'entrepôt "Plateforme des données en cancérologie" mis en œuvre par l'Institut National du Cancer (INCa) autorisé par la CNIL (délibération n°2023-040).
Sur l'information et les droits des personnes :
Conformément aux dispositions du b) du 5 l'article 14 du RGPD, dans l'hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre notamment par la diffusion sur les sites web du responsable de traitement de l'étude et du site web de l'INCa d'une note d'information relative à l'étude. Cette note d'information devra être mise à jour avant le début de l'étude afin de comporter l'ensemble des mentions prévues par le RGPD.
Sur la sécurité des données et la traçabilité des actions :
Les données du SNDS seront hébergées au sein de la Plateforme des données en cancérologie ayant fait l'objet d'une homologation par l'INCa pour une durée de trois ans, sous réserve de la mise en œuvre du plan d'actions qu'il a défini. Cette décision est valable jusqu'au 3 avril 2026. Conformément aux dispositions de l'arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au responsable de traitement de s'assurer que le système d'information hébergeant les données des études mises en œuvre dans le cadre de la présente autorisation respecte ce référentiel pendant toute la durée des traitements.
Elle devra être renouvelée avant l'expiration de ce délai, si le traitement devait se poursuivre au-delà de cette date.
Sur la durée de conservation des données :
Les données seront accessibles pendant cinq ans au sein de l'environnement homologué du sous-traitant.
Autorise l'Université de Zurich (l'Institut d'épidémiologie, de biostatistiques et de prévention) à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Saisie d'une demande d'autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du comité de protection des personnes Sud-Ouest et Outre-Mer II du 15 avril 2025
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Destinataires des données directement identifiantes
Le sous-traitant mettant à disposition la solution sera destinataire du contenu de la note d'information et du formulaire de consentement contenant des informations sur l'état de santé des participants, ainsi que des données administratives d'identification suivantes :
nom et prénom ;
date de naissance complète ;
coordonnées électroniques et téléphoniques.
Il appartient au responsable de traitement de s'assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique.
Les données seront conservées par le sous-traitant pendant une durée qui n'excède pas celle nécessaire à la réalisation de ses missions.
AUTORISE l'ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
(Demande d'autorisation n°9-652) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité de protection des personnes Sud-Méditerranée I du 16 février 2026 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur la conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d'information des personnes concernées (inclusion de personnes se trouvant en situation d'urgence ou d'urgence vitale immédiate.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur l'information et les droits des personnes :
Dans l'hypothèse où les personnes ne seraient pas en état de recevoir l'information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l'article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l'étude et de leurs droits.
Dans l'hypothèse où un patient décéderait avant que l'information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d'information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l'article L. 1122-1-3 du code de la santé publique.
Autorise l'Assistance publique – Hôpitaux de Paris à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
(Demande d'autorisation n°9-288)
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable avec recommandations du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur la conformité au référentiel concerné : 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la profondeur historique des données traitées.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Sur la nature des données traitées et leur profondeur historique : 
Seront traitées dans le cadre de cette étude certaines données du SNIIRAM et du PMSI recueillies entre 2020 et 2028.
Seul le laboratoire de recherche/bureau d'études aura accès aux données individuelles du SNDS sur le portail de la Caisse nationale de l'assurance maladie (CNAM).
Sur la durée de conservation des données : 
Les données seront accessibles pendant trois ans à compter de leur dernière mise à disposition.
Autorise la société Roche à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
Thomas DAUTIEU
(Demande d'autorisation n°9-219) 
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés) ;
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
Vu l'avis favorable du comité de protection des personnes Ile de France VIII du 19 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur la conformité au référentiel concerné :
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les accédants et les destinataires des données :
Le responsable de traitement envisage de recueillir le consentement des personnes se prêtant à la recherche par voie dématérialisée.
Le sous-traitant mettant à disposition la solution sera destinataire du contenu de la note d'information et du formulaire de consentement contenant des informations sur l'état de santé des participants, ainsi que des données administratives d'identification suivantes :
nom et prénom ;
date de naissance complète ;
coordonnées électroniques et téléphoniques.
Il appartient au responsable de traitement de s'assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique.
Les données seront conservées par le sous-traitant pendant une durée qui n'excède pas celle nécessaire à la réalisation de ses missions.
Autorise le Centre hospitalier d'Avignon à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique
(Demande d'autorisation n°924097v2)
La Commission nationale de l'informatique et des libertés, 
Saisie d'une demande de modification d'une autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;  
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés) ; 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ;
 
Vu l'avis du Comité national d'éthique pour la recherche en santé de Guinée du 22 avril 2025 ; 
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : 
Les modifications envisagées portent sur :
l'inclusion de participants à l'étude en Guinée ;
l'ajout d'un responsable conjoint de traitement : l'Institut de recherche en biologie médicale de Guinée (IRBAG) ;
le transfert de données pseudonymisées des participants à l'étude en Guinée conformément au chapitre V du RGPD.
Les autres conditions de mise en œuvre de l'étude demeurent inchangées.
Autorise l'Institut de recherche pour le développement, l'Institut de recherche clinique du Bénin, le Laboratoire de biochimie des substances naturelles bioactives et l'Institut de recherche en biologie médicale de Guinée à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l'accompagnement juridique