AgentPublic/cnil huggingface dataset:
Années concernées : 2013 à 2028 sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique.
Information et droits des personnes
Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. 
Une note d’information sera rendue publique sur le site web du responsable de traitement ainsi que sur celui du responsable de la mise en œuvre de l’étude.
Ces documents devront comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Cinq ans à compter de la dernière mise à disposition des données.
 
AUTORISE la société ASTRAZENECA PHARMACEUTICALS LP à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, 
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; 
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur le traitement des données du CépiDc pour les années 2010 à 2021.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société ZAMBON à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest IV du 2 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégorie particulière de données traitées (autres que données de santé)
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants ainsi que, le cas échéant, des représentants légaux sera recueilli en vue de la réalisation des enregistrements.
 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
S’agissant des modalités d’information des personnes majeures : 
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
 
S’agissant des modalités d’information des personnes mineures :
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
Les mineurs participant à l’étude recevront une note d’information individuelle.
Transferts hors Union européenne 
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage
Les enregistrements vidéo ne seront pas conservés à l’issue de la recherche.
 
Autres données :
Base active : cinq ans.
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorables du :
Metro South Research du 11 avril 2024 ;
Osaka International Cancer 
Institute’s Institutional review board, du 18 avril 2024 ;
Kyushu 
University hospital’s Institutional review board, du 19 avril 2024 ;
Comissão nacional de ética em pesquisa du 2 mai 2024 ;
MD Anderson
Cancer center’s
Institutional Review Board
 du 9 mai 2024 ;
University Health Network’s Institutional Review Board du 8 août 2024
.
Point de non-conformité à la méthodologie de référence concernée 
Les participants seront inclus en Australie, au Japon, au Brésil, aux Etats-Unis, ainsi qu’au Canada.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal (recours à une solution de consentement électronique ; inclusion de patients exclusivement à l’étranger).
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
La CNIL prend acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Catégories particulières de données traitées (autres que données de santé) 
S’agissant de l’examen des caractéristiques génétiques :
Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement.
S’agissant de la collecte de l’origine ethnique des participants :
La collecte de l’origine ethnique des participants a été scientifiquement justifiée dans le dossier de demande.
Destinataires des données directement identifiantes
Le sous-traitant sera destinataire de certaines données administratives d’identification des participants (nom, prénom et coordonnées électroniques), ainsi que du contenu de la note d’information et du formulaire de consentement mentionnant leur pathologie, le responsable de traitement prévoyant l’utilisation d’une solution de consentement électronique pour la participation à l’étude.
Mesures de sécurité
La solution de consentement électronique pour la participation à l’étude sera hébergée par un sous-traitant états-unien spécialisé dans l’hébergement de solutions dédiées aux études cliniques aux Etats-Unis et en Europe. Les connexions à la solution seront soumises à une authentification multifacteur comprenant au moins deux facteurs d’authentification différents. La signature électronique du formulaire de consentement sera disponible pour les participants après connexion authentifiée à la plateforme. La signature nécessitera une action explicite de l’utilisateur, notamment la saisie de son mot de passe. Il appartient au responsable de traitement de s’assurer que le recueil du consentement sera réalisé conformément aux dispositions applicables en matière de signature électronique et d’essais cliniques de médicaments, dans l’ensemble des Etats dans lesquels l’étude sera conduite.
Les solutions de télévisite et de suivi patient via des questionnaires proposées par le même sous-traitant ne contiendront que des données pseudonymisées sans identifiant direct et seront séparées logiquement de la solution de consentement électronique. Les permissions de ces solutions sont conçues de manière à interdire l'accès par un même utilisateur aux identifiants directs et aux données de l'étude. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Un service tiers de séquestre des clés de chiffrement est utilisé dans les solutions européennes et états-uniennes, afin d'empêcher le sous-traitant et les autorités gouvernementales d'accéder aux clés de chiffrement.
Il est rappelé que les sous-traitants traitant des identifiants directs et des données pseudonymisées doivent appliquer des mesures techniques et organisationnelles strictes pour éviter la combinaison de ces données et prévenir les risques d'inversion de la pseudonymisation.
Ces mesures strictes incluent notamment :
le contrôle de l'accès aux sites, systèmes et bases de données contenant des données directement identifiantes pour éviter leur exposition à du personnel non autorisé ;
la restriction du personnel traitant des données identifiantes de participer à des services utilisant des données pseudonymes et vice-versa ;
la limitation du nombre de membres du personnel traitant les données d'identification directe et des mesures afin que ce personnel ne soit pas impliqué dans la supervision de l'étude clinique ;
la gestion de la communication avec les patients qui devra être effectuée principalement via le site investigateur et sinon en minimisant la collecte de données et en utilisant des identifiants pseudonymes dans la mesure du possible ;
des dispositions spécifiques incluses dans les accords de confidentialité du personnel pour préciser les divulgations autorisées ;
la fourniture au promoteur d’informations détaillées sur les méthodes de traitement des données, lui permettant de s'assurer que les participants à l'étude sont pleinement informés des conditions de traitement des données directement identifiantes et des données pseudonymisées.
Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable conjoint de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer des données pseudonymisées des participants à l’étude.
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ).
En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
Il devra évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Durées de conservation en base active et en archivage
Les échantillons biologiques seront détruits après analyse ou conservés pendant vingt-cinq ans dans le cadre d’une collection d’échantillons biologiques, si la personne concernée y consent.
Autres données :
Base active : cinq ans
Archivage : vingt-cinq ans.
Conservation et réutilisation des données et des échantillons biologiques
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données cliniques associées devra faire l’objet de formalités auprès de la CNIL.
En effet, la constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou autorisation).
Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse.
Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE l’INSTITUT DE RECHERCHES INTERNATIONALES SERVIER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Modifications substantielles du traitement de données
Les modifications envisagées portent sur :
la finalité du traitement (ajout d’un objectif complémentaire) ;
la collecte de nouvelles données et l’ajout de nouvelles sources de données ;
l’ajout de nouveaux destinataires de données ;
la prolongation de la durée de conservation des données.
Catégories particulières de données traitées (autres que données de santé)
Les données cliniques collectées dans le cadre de l’étude seront appariées avec les données publiques de mortalité disponibles sur le site internet de l’Institut national de la statistique et des études économiques (fichier des personnes décédées). Cet appariement sera réalisé par le centre coordinateur de l’étude à partir des données nominatives, de la date de naissance et de la commune de naissance des participants.
La collecte des coordonnées postales est nécessaire pour calculer des variables socio-économiques, notamment l’indice écologique de défavorisation (EDI).
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Les personnes concernées devront être informées des modifications apportées au traitement selon les modalités prévues dans les autorisations précédentes.
Durées de conservation
Les données administratives d’identification (nom, prénom, date de naissance, commune de naissance) seront détruites à la fin du suivi des participants.
Les adresses complètes des personnes concernées seront détruites après le calcul des variables socio-économiques.
Autres données : 
Base active : six ans
Archivage : dix ans.
Observations complémentaires
Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes et d’autre part que le responsable de traitement souhaite déroger à l’information individuelle des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2015 à 2023.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société ANGELINI PHARMA FRANCE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU