AgentPublic/cnil huggingface dataset:
Le responsable de traitement envisage de recueillir le consentement des participants ou, le cas échéant, de leurs représentants légaux, par voie dématérialisée au moyen d’une signature électronique. Il lui appartient de s’assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n°2017-1416 du 28 septembre 2017 relatif à la signature électronique.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifiques à l’étude. Les mesures de sécurité techniques et organisationnelles prévues, notamment le chiffrement des informations des questionnaires en transit et au repos, devront être opérationnelles lors de la mise en œuvre du traitement. Les mesures de sécurité décrites dans le dossier de demande devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Durée de conservation en base active et en archivage
 
Dans l’hypothèse où une personne ne serait pas incluse dans l’étude (absence d’intérêt ou détection de critères de non-inclusion), toutes les donnés administratives le concernant collectées dans le cadre de la phase de pré-screening (nom, prénom, coordonnées téléphoniques et électroniques seront immédiatement détruites.
 
Sauf opposition des participants dûment informés, les données administratives d’identification des participants seront archivées durant quinze ans à l’issue de leur suivi.
 
Les échantillons biologiques seront conservés pendant la durée de réalisation de l’analyse, n’excédant pas un an, puis détruits.
Les enregistrements vocaux seront conservés le temps de leur retranscription, pour une durée maximale de trois ans, puis seront détruits.
 
Les données nominatives ainsi que les coordonnées électroniques, téléphoniques et postales collectées aux fins d’assurer l’organisation logistique de l’étude seront détruites à l’issue du suivi des participants.
 
Autres données :
Base active : trois ans
Archivage : quinze ans.
 
Réutilisation des données 
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. 
AUTORISE l’INSTITUT NATIONAL DE LA SANT
É ET DE LA RECHERCHE M
ÉDICALE à mettre en œuvre le traitement ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données du registre OMIN (demande d’autorisation n° 915273) seront réutilisées dans le cadre de la présente étude.
Catégorie particulière de données traitées (autres que données de santé)
La collecte des coordonnées postales des personnes concernées a été scientifiquement justifiée dans le dossier de demande. 
Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder à ces données.
Information et droits des personnes
Conformément aux dispositions de l’article 86 de la loi informatique et libertés , en l’absence d’opposition exprimée du vivant du mineur décédé, les données de ce dernier pourront être traitées sans qu’il soit nécessaire de procéder à une information des titulaires de l’exercice de l’autorité parentale.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage
Les coordonnées postales des personnes concernées seront conservées pendant un an puis détruites.
Autres données :
Base active : trois ans.
Archivage : trois ans.
Observations complémentaires 
La CNIL rappelle ses exigences en matière de formalités préalables à la constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche. De telles bases ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre de la mise en œuvre du registre OMIN relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données et de la loi informatique et libertés , du régime de formalités prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de cette même loi (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation auprès de la CNIL). Par conséquent, le registre OMIN devra faire l’objet d’une nouvelle formalité auprès de la CNIL.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Modifications substantielles apportées au traitement
Les modifications envisagées portent sur :
la responsabilité de traitement : la société IQVIA devient responsable de traitement de l’étude, en remplacement du laboratoire Bayer Healthcare sas, responsable de traitement de l’étude initiale. Ce changement de responsabilité de traitement a été justifié dans le dossier de demande. 
la profondeur historique des données du SNDS (PMSI et SNIIRAM) initialement prévue pour les années 2010 à 2018 est étendue jusqu’à l’année 2023.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR004, à l'exception de la nature des données collectées (traitement de données du Système national des données de santé (SNDS) et des modalités d’information des personnes dont seules les données du SNDS sont traitées. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. 
Information et droits des personnes
S’agissant de l’information et des modalités d’exercice des personnes dont les données proviendront de l’entrepôt EMR :
Conformément à la MR-004, les personnes concernées par la recherche et/ou leurs représentants légaux doivent être préalablement et individuellement informés lors d'un traitement de leurs données à caractère personnel, ayant pour finalité une recherche. L'information dispensée doit alors être conforme aux dispositions des articles 13 ou 14 du Règlement général sur la protection des données (RGPD). Par exception, des données peuvent faire l'objet d'une réutilisation sans qu'il soit procédé à une nouvelle information individuelle des personnes concernées notamment lorsque l'information délivrée lors de la collecte des données prévoit la possibilité de réutiliser les données, et renvoie à un dispositif spécifique d'information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données, (par exemple, un portail de transparence). 
 
Dans cette hypothèse, le portail de transparence auquel renvoie la note d’information initiale doit contenir, pour chaque projet de recherche ultérieur, une information comportant l’ensemble des mentions prévues par le RGPD. Les liens mentionnés dans les notes d’information doivent être à jour et fonctionnels afin d’assurer l’accessibilité de l’information aux personnes concernées.
Une note d’information relative au projet de recherche sera rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD et indiquer les modifications substantielles apportées au traitement.
 
 
S’agissant de l’information des personnes concernées par l’échantillon témoin issu uniquement des données du SNDS :
 
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Une note d’information sera également rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
Les personnes concernées pourront exercer leurs droits d'accès, de rectification, d'effacement, de limitation du traitement et d'opposition concernant le traitement mis en œuvre dans le cadre de cette étude, directement auprès du délégué à la protection des données du responsable du traitement.
Mesures de sécurité
Les données seront hébergées au sein d’un espace projet dédié à l’étude "OREOT", ayant fait l’objet d’une homologation par le responsable de traitement, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini.
Cette décision d’homologation est valable jusqu’au 24 mars 2025. 
Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à la société IQVIA de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. 
Durées de conservation en base active et en archivage
Base active : trois ans
Archivage : un an.
Observations particulières
Cette étude implique une réutilisation des données de l’entrepôt EMR dont IQVIA est responsable de traitement. Les conditions prévues par l’autorisation encadrant la constitution et la mise en œuvre de cet entrepôt (délibération n°2021-015 du 4 février 2021) devront donc être respectées dans le cadre de la recherche "OREOT". 
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
AUTORISE la société IQVIA à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France I du 18 avril 2024.
Modification du traitement de données
La modification envisagée porte sur les modalités d’information des personnes concernées suite à leur inclusion en urgence. Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. 
Points de non-conformité à la méthodologie de référence concernée
Le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé)
Seront réutilisées les données issues : 
du registre français de la mucoviscidose (demande d’autorisation n°1202233) ; 
de l’étude KAFTRIO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) ;
de l’étude MODUL-CF (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004). 
 
Ces traitements sont mis en œuvre par l’association Vaincre la mucoviscidose . 
 
Les données du registre français de la mucoviscidose collectées entre 2006 et 2024 seront réutilisées dans le cadre de la présente étude. Les données collectées entre 2006 et 2017 seront traitées uniquement à des fins d’appariement avec les données du Système national des données de santé (SNDS). 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI
Années concernées : 2006 à 2024 sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
S’agissant des patients déjà inclus dans le registre et/ou les études et dont le suivi est achevé :
En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche :
sur le site web de l’association Vaincre la mucoviscidose ; 
sur le site web de l’équipe RESHAPE ;
par affichage au sein des centres participants.
Cette information devra comporter l’ensemble des mentions prévues par le RGPD. Elle devra être diffusée et affichée avant le début de l’étude. 
 
S’agissant des patients déjà inclus dans le registre et/ou les études dont le suivi est toujours en cours ainsi que des patients nouvellement inclus dans le registre et/ou les études :
Les participants majeurs seront destinataires d’une note d’information individuelle remise à l’occasion d’une visite de suivi. Par ailleurs, les deux titulaires de l’autorité parentale ainsi que les mineurs devront recevoir une note d’information individuelle à l’occasion d’une visite de suivi.
Ces documents devront comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès/ Durées de conservation en base active et en archivage
Les données issues du registre français de la mucoviscidose nécessaires à l’appariement ne seront pas conservées après la réalisation de celui-ci.
 
Données du SNDS : trois ans à compter de la mise à disposition des données.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Observations particulières
La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du registre du registre français de la mucoviscidose relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Par conséquent, ce registre devra faire l’objet d’une nouvelle formalité auprès de la Commission.
Par ailleurs, dès lors que le traitement remplit au moins deux des neuf critères issus des lignes directrices du Comité européen sur la protection des données sur l’analyse d’impact relative à la protection des données (parmi lesquels la collecte de données sensibles ou de données à caractère hautement personnel, le traitement de données de personnes vulnérables, le traitement de données à grande échelle ou encore le croisement d’ensembles de données), une telle analyse devra être menée préalablement à la mise en œuvre du traitement.
 
AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest I du 18 juillet 2024.
Points de non-conformité à la méthodologie de référence