AgentPublic/cnil huggingface dataset:
Ainsi, si l’article 3 du décret du 13 juillet 2021 est bien complété afin de mentionner la mission de recherche et développement du service, la CNIL recommande de préciser quelles sont les personnes susceptibles d’avoir accès aux données pour cette finalité. Elle prend acte de l’engagement du SGDSN en ce sens.
 
Elle rappelle, en tout état de cause, qu’une telle réutilisation devra respecter l’ensemble des obligations prévues par les dispositions applicables de la loi "informatique et libertés", et notamment le principe de minimisation qui doit conduire le service à ne traiter que les données strictement nécessaires au développement d’outils, d’algorithmes et de modèles. La CNIL a d’ailleurs publié, sur son site, de nombreuses recommandations sur le développement de systèmes d’intelligence artificielle : elle invite le service Viginum à en prendre connaissance pour assurer la conformité des traitements de données qu’implique une telle réutilisation.
En troisième lieu, dans la mesure où certains des modèles produits ont vocation à être mis à disposition du public, la CNIL insiste sur l’importance :
 
de mener systématiquement une étude avant cette diffusion pour analyser la possibilité d’extraire des données à caractère personnel des modèles (en étudiant par exemple la mise en œuvre de techniques d’inversion ou d’inférences d’appartenance) ;
d’analyser la possibilité de la présence de biais dans ces modèles, notamment dans la mesure où ils pourraient être mis en œuvre par des acteurs ne possédant ni l’encadrement légal ni l’expertise opérationnelle de Viginum.
 
B. Sur la suppression du seuil de collecte de cinq millions de visiteurs uniques par mois et l’élargissement de la collecte des données aux moteurs de recherche et aux interfaces en ligne
L’article 2 du projet de décret propose d’élargir le périmètre des sources des données collectées en incluant toute plateforme en ligne, quel que soit le nombre de visiteurs uniques par mois, les moteurs de recherche en ligne et les interfaces en ligne, au sens de l’article 3 du règlement européen 2022/2065 du 19 octobre 2022 (le règlement sur les services numériques).
 
Sur la suppression du seuil de collecte, le SGDSN expose que le calcul du nombre de visiteurs uniques par mois repose sur un système peu fiable (système déclaratif, absence de prise en compte de l’utilisation de réseaux privés virtuels, etc.). Il souligne également que la première période d’exercice du service a permis de constater, à de multiples reprises, que des plateformes dont l’activité est inférieure au seuil de cinq millions de visiteurs étaient régulièrement utilisées dans le cadre de manœuvres informationnelles. L’une des explications possibles de cette tendance tiendrait au fait que les politiques de modération sur ces plateformes sont plus souples qu’ailleurs.
La suppression du seuil de cinq millions de visiteurs uniques par mois est d’ailleurs préconisée par la commission d’enquête du Sénat pour ces mêmes raisons.
 
Sur l’élargissement de la collecte des données aux moteurs de recherche et aux interfaces en ligne, le SGDSN indique que, dans le cadre de ses investigations, le service Viginum peut être amené à évaluer les résultats fournis par les moteurs de recherche et collecter des données issues de registres de publicité mis à disposition par les plateformes en ligne et les moteurs de recherche, au titre de l’article 39 du DSA.
 
De plus, dans le cadre de ses investigations portant sur l’exploitation des outils d’IA générative par les acteurs de la menace, le service peut être amené à interroger des agents conversationnels (tels que chatGPT) pour évaluer la pénétration de narratifs étrangers dans les réponses de ces outils. Ce type de recherche pourrait permettre à Viginum d’évaluer dans quelle mesure les stratégies de création et de propagation de contenus inexacts ou trompeurs par des acteurs étrangers malveillants parviennent à être référencés sur les moteurs de recherche et les outils d’IA conversationnels.
 
La CNIL prend acte de ces justifications et relève que les informations sont régulièrement transmises au CES (nouvel article 7 terdecies) qui est ainsi mis en mesure d’exercer un contrôle a posteriori des sources de collecte.
C. Sur l’utilisation d’outils de collecte automatisés dans le cadre de la phase de de veille/détection
Le dispositif prévu par le décret n° 2021-1587 du 7 décembre 2021 distinguait la phase de veille et de détection de celle de caractérisation de l’INE. Cette phase, durant laquelle les agents observaient le débat public numérique dans son ensemble, conduisait à la rédaction de fiches dites de "traçabilité" contenant des critères techniques (mots-clés, éléments sémantiques comme des mots-dièse, etc.) et précédait donc le lancement de la collecte de données. Ces critères permettaient justement, après une validation humaine, d’orienter l’opération de collecte destinée à caractériser, ou non, l’INE. Cette distinction s’est traduite dans le deuxième alinéa de l’article 2 du décret n° 2021-1587 qui dispose qu’aucune collecte automatisée de données à caractère personnel n’est mise en œuvre à l’occasion des travaux de veille.
 
Or, le SGDSN considère que la collecte automatisée de données est indispensable au cours de la phase de veille qui s’opère, en réalité, en parallèle, voire se confond avec la phase de détection et de caractérisation. Le projet de décret (nouvel article 7 ter) supprime donc l’interdiction de collecte automatisée durant cette phase.
 
Sur les garanties que la collecte ne sera déclenchée qu’en cas de soupçon suffisamment étayé de "diffusion d’allégations manifestement inexactes ou trompeuses"
Le nouvel article 7 ter impose toujours que la sélection des données à collecter s’opère de manière proportionnée. Pour ce faire, le projet de décret impose toujours l’identification de critères techniques en amont de la collecte et prévoit explicitement qu’ils doivent être définis "pour les besoins de chaque opération de collecte". Le nouvel article 7 sexies maintient également l’obligation de supprimer, de manière automatisée après la collecte, les données qui ne correspondent pas aux catégories prévues par le texte et qui auraient pu, en raison des contraintes opérationnelles liées aux modalités techniques de collecte, être collectées. Par ailleurs, le projet conserve la garantie procédurale attachée aux collectes : toutes les collectes lancées ou renouvelées par le service sont renseignées dans les fiches de traçabilité transmises de manière hebdomadaire au CES (nouvel article 7 terdecies) qui contrôle a posteriori les collectes effectuées durant cette phase.
 
Par ailleurs, le SGDSN a précisé que la veille effectuée par les analystes du service se concentre principalement sur des comptes et acteurs d’intérêt déjà identifiés par le service pour avoir été impliqués dans de précédentes manœuvres informationnelles. Les collectes réalisées par le service portent donc majoritairement sur l’activité de ces acteurs.
Enfin, la CNIL rappelle qu’elle pourra contrôler ce traitement dans le cadre des pouvoirs de contrôle prévus à l'article 19 de la loi "informatique et libertés".
La CNIL considère que l’ensemble des garanties mentionnées ci-dessus sont de nature à concourir au respect du principe de minimisation des données et, partant, au caractère proportionné du traitement.
 
Sur l’utilisation d’outils de collecte automatisés dans le cadre des travaux de veille et de détection
Le SGDSN indique que, dans la pratique, la phase de veille et de détection repose sur l’utilisation d’outils, internes ou externes, de détection et de collecte automatisés comme moyen de qualifier la manœuvre étudiée. L’utilisation de tels outils serait nécessaire car ils constitueraient le seul moyen de suivre rapidement certains réseaux d’acteurs malveillants particulièrement actifs, d’identifier rapidement les primo-diffuseurs, l’ampleur réelle d’une manœuvre, d’évaluer l’inauthenticité d’un compte ou encore de mesurer le risque d’impact d’une manœuvre.
La CNIL prend acte du souhait du SGDSN de pouvoir utiliser de tels outils afin de détecter et caractériser les opérations d’INE. Elle souligne toutefois l’importance que ces outils permettent d’assurer la protection des données à caractère personnel dès la collecte et par défaut. A titre d’exemple, l’outil doit permettre de filtrer la recherche selon des critères suffisamment précis et pertinents pour empêcher la collecte de catégories de données à caractère personnel qui ne correspondraient pas aux finalités du traitement. Les conditions d’utilisation de ces outils devraient faire l’objet d’une analyse de risque au sein de l’AIPD.
 
D. Sur l’allongement des durées de conservation des données à caractère personnel
Le nouvel article 7 octies porte de quatre mois à un an la durée maximale de conservation des données collectées à compter de la date de leur collecte.
Le SGDSN fait valoir que plusieurs dispositifs sophistiqués, mis en place par des acteurs de la menace, présentent un caractère persistant qui impose au service de documenter sur la durée les modes opératoires mis en œuvre et leur évolution, afin de pouvoir retracer l’ensemble des évolutions de ces dispositifs. En outre, d’autres dispositifs présentent un caractère intermittent, ce qui justifierait de conserver, pour mieux anticiper leur résurgence, certaines données qui les caractérisent. Enfin, le service souhaiterait pouvoir mettre en place un dispositif de vigilance en amont de grands événements au-delà de quatre mois afin d’assurer une posture de vigilance face à d’éventuels risques pouvant porter atteinte aux intérêts fondamentaux de la Nation.
 
La CNIL considère, au regard de ces éléments, que l’allongement des durées de conservation paraît justifié. Elle rappelle toutefois qu’afin de respecter le principe de minimisation, seules les données nécessaires à la capitalisation des connaissances doivent être conservées durant cette période, ce qui implique de ne pas nécessairement conserver l’intégralité des données collectées jusqu’au terme du délai prévu.
 
E. Sur l’allongement de la limite de renouvellement des collectes et la durée maximale de renouvellement
Le projet d’article 7 ter prévoit que les données sont collectées pendant une période maximale de quinze jours, au lieu des sept jours actuellement en vigueur, et que cette période peut être renouvelée dans la limite d’une durée qui ne peut excéder un an à compter du déclenchement de l’opération, au lieu de six mois actuellement.
 
Le SGDSN souligne que sous l’empire des dispositions actuellement en vigueur, la limite de renouvellement a été atteinte à plusieurs reprises dans le cadre d’opérations qui s’inscrivaient dans la durée. La nécessité d’interrompre ces collectes a pu gêner des investigations en cours et faire perdre de la connaissance sur les acteurs ou encore le caractère coordonné de leurs manœuvres.
La CNIL considère, au regard de ces éléments, que l’allongement de la limite de renouvellement des collectes et de la durée maximale de renouvellement peut être considéré comme justifié.
 
F. Sur la redéfinition des interactions entre le CES et le service Viginum
Le CES est informé non seulement du déclenchement de la collecte et de son renouvellement, mais aussi des informations relatives à ces collectes (nouvel article 7 terdecies). La CNIL souligne le rôle du CES dans le contrôle du traitement mis en œuvre par Viginum. Afin que ce contrôle soit effectif et adapté aux caractéristiques propres au traitement, elle insiste sur la nécessité que le CES dispose des moyens humains et techniques proportionnés à sa mission, et soit composé des profils les plus compétents.
Par ailleurs, l’article 4 du projet de décret modifie l’article 6 du décret n° 2021-922 du 13 juillet 2021 et prévoit les éléments suivants :
 
Viginum doit transmettre régulièrement au CES les informations précédemment contenues dans le rapport public. Sur ce point, la CNIL prend acte de l’engagement du SGDSN de modifier la référence à la liste des plateformes en ligne sur lesquelles des données ont été collectées afin de mentionner les moteurs de recherche et interfaces désormais inclus ;
Le service établit lui-même le rapport annuel dressant le bilan de son activité, sur lequel le CES émettra un avis motivé, et qui comprend notamment une évaluation générale de la mise en œuvre du traitement de données à caractère personnel. La CNIL prend acte de l’engagement du SGDSN de compléter l’article 4 du projet de décret afin de prévoir que le rapport annuel contiendra a minima les éléments qui figurent aux 1° à 4° de l’article 6 du décret n° 2021-922.
 
Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL.
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
La société Clinityx et la société Edwards Lifesciences déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du RGPD, elles doivent définir de manière transparente leurs obligations respectives
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données réutilisées dans le cadre de cette étude proviendront exclusivement de l’entrepôt de données de santé dénommé "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Seule la société Clinityx accèdera à ces données. 
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par les responsables conjoints de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le portail de transparence de la société Edwards Lifesciences et sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil "Sémaphore") mis en place par la société Clinityx. Elle devra comprendre l’ensemble des mentions prévues par le RGPD.
Mesures de sécurité
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 7 janvier 2025, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Cette décision d’homologation, valable jusqu’au 31 décembre 2025, devra donc être renouvelée si le traitement devait se poursuivre au-delà de cette échéance.
Durées de conservation en base active et en archivage
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant un an, durée nécessaire à la production des indicateurs, puis les données seront supprimées dans un délai maximal de deux ans.
 
AUTORISE les sociétés CLINITYX et EDWARDS LIFESCIENCES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsable(s) de traitement 
Les deux responsables de traitement, le laboratoire Pfizer Inc et l’Université d’Utrecht déterminent conjointement les finalités et les moyens du traitement.
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 mars 2025.
Utilisation de données issues du SNDS historique 
Composantes concernées : SNIIRAM, PMSI, CépiDC et Vaccin-COVID
Années concernées : 2019 à 2027, sous réserve qu’elles soient diffusables par la CNAM.
Seul le laboratoire de recherche/bureau d’études aura accès aux données individuelles du SNDS. 
Modalités de consultation : système fils du SNDS.
 
L’homologation de la bulle sécurisée BPE a été renouvelée par l’autorité d’homologation le 3 février 2023, conformément au référentiel de sécurité applicable au SNDS prévu par l’arrêté du 22 mars 2017. Cette décision d’homologation est valable jusqu’au 5 mai 2026 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
 
De plus, conformément à l'arrêté du 6 mai 2024 fixant la nouvelle version du référentiel de sécurité applicable au SNDS : 
un plan d’action a été établi en vue de la mise en conformité du système d’information vis-à-vis de ce nouveau référentiel, indiquant les mesures à prendre dans l’immédiat puis à court et moyen terme ; 
l’analyse de risques a été mise à jour et les actions nécessaires ont été mises en place pour garantir la sécurité des données et le respect de la vie privée des personnes concernées ;
la bulle sécurisée devra être homologuée au plus tard le 6 mai 2026 conformément à la nouvelle version du référentiel.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
Information et droits des personnes 
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
 
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement relative à la présente étude. Le traitement sera également enregistré au sein du portail de transparence de la Plateforme des données de santé.
Durée d’accès aux données du SNDS 
Trois ans à compter de la dernière extraction des données
 
AUTORISE, le laboratoire PFIZER INC et l’UNIVERSITE
d’UTRECHT à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Responsable(s) de traitement
Les deux responsables de traitement, le laboratoire Pfizer Inc et l’Université d’Utrecht déterminent conjointement les finalités et les moyens du traitement.
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 février 2025.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI, CepiDC et Vaccin COVID
Années concernées : 2019 à 2027, sous réserve qu’elles soient diffusables par la CNAM.
Seul le laboratoire de recherche/bureau d’études aura accès aux données individuelles du SNDS.
Modalités de consultation : constitution d’un système fils du SNDS.
 
L’homologation de la bulle sécurisée "Bulle BPE" a été renouvelée par l’autorité d’homologation le 3 février 2023, conformément au référentiel de sécurité applicable au SNDS prévu par l’arrêté du 22 mars 2017. Cette décision d’homologation est valable jusqu’au 2 février 2026 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
 
De plus, conformément à l'arrêté du 6 mai 2024 fixant la nouvelle version du référentiel de sécurité applicable au SNDS:
un plan d’action a été établi en vue de la mise en conformité du système d’information vis-à-vis de ce nouveau référentiel, indiquant les mesures à prendre dans l’immédiat puis à court et moyen terme ;
l’analyse de risques a été mise à jour et les actions nécessaires ont été mises en place pour garantir la sécurité des données et le respect de la vie privée des personnes concernées ;