AgentPublic/cnil huggingface dataset:
Il apparaît que le ministère a déjà acheté et installé les badgeuses biométriques dans les plus grandes entités, et que cette installation était déjà en cours dans d'autres. La CNIL souligne qu'elle aurait aimée être associée à ce choix technique en amont de l'élaboration du décret, dès lors que l'installation d'un système match on card , plus respectueux des données personnelles, aurait pu être approprié dans ce cas au vu de la taille des effectifs visés (environ 4 000 contrôleurs aériens), ainsi que du taux de rotation des effectifs (faible en raison des qualifications nécessaires pour l'exercice des missions), malgré le coût financier plus élevé des badges induit par cette approche.
Le ministère devrait mettre en place un suivi proactif des performances dans le temps et ce, afin de s'assurer du bon maintien en conditions opérationnelles du dispositif biométrique. La seule utilisation réactive basée sur la remontée éventuelle de dysfonctionnements ne saurait constituer un plan de vérification suffisant à l'échelle de ce déploiement.
D. - Sur les durées de conservation
L'article 3 du projet de décret prévoit que les données d'identité, de déplacement, ainsi que le résultat des tests de correspondance entre l'empreinte digitale et le gabarit sont conservés pendant une durée de cinq ans à compter de leur enregistrement.
Le ministère a précisé que ces données ne seraient conservées pendant une durée de cinq ans que dans la seule hypothèse où une non-conformité serait détectée.
La CNIL prend acte de l'engagement du ministère à modifier le projet de décret en ce sens et l'invite à modifier la note d'information qui sera transmise aux agents concernés.
E. - Sur la sécurité
a) Sur l'analyse de risques
Le risque lié à la survenance d'une modification illégitime des données du traitement a été évalué comme ayant une gravité très faible dans l'analyse des risques relatifs à la sécurité du ministère. Etant donné les conséquences que pourraient avoir sur les contrôleurs des modifications de données aboutissant à des non-conformités non avérées, la CNIL considère que le niveau de gravité d'un tel événement devrait être réhaussé et les mesures associées réévaluées.
Plus généralement, les échelles de gravité et de vraisemblance de l'analyse de risques sont peu granulaires (deux niveaux) et incohérentes entre l'analyse et la cartographie. Les enjeux du dispositif demandent une analyse plus fine des risques, aussi la CNIL invite le ministère à mettre à jour l'analyse de risques dans ce sens afin de garantir que les mesures de sécurité sont effectivement appropriées.
b) Sur les mesures
Le projet de décret prévoit une journalisation pour une durée de six mois, qui concerne uniquement les opérations effectuées par les opérateurs du traitement. La CNIL rappelle sa recommandation sur la journalisation qui comporte des éléments relatifs à la mise en place d'analyses proactives des données de journalisation, que ce soit par la génération automatique d'alertes ou bien par des mesures organisationnelles (par exemple par la génération de rapports réguliers et le contrôle humain des données par la hiérarchie pour les composantes les plus sensibles du traitement). De plus, les journaux devraient être conservés dans des dispositifs protégés en intégrité afin d'éviter toute modification des données. La CNIL prend acte de l'engagement du ministère en ce sens.
Concernant les mesures de chiffrement, le dispositif ne peut pas être considéré comme de type match on card puisque la comparaison biométrique a lieu sur la badgeuse et non pas directement sur le badge. Ainsi, ce point devrait être mis à jour dans la description des mesures puisqu'il implique que les données du gabarit, bien que chiffrées, transitent et soient déchiffrées par la badgeuse pour leur comparaison. En cohérence, le terme match on card , qui ne correspond pas au système amené à être déployé, ne devrait pas être employé par les informations communiquées aux personnes concernées. La CNIL prend acte de l'engagement du ministère à modifier ces formulations.
Plus largement, la CNIL prend acte des mesures de sécurité mises en place par le ministère et en particulier le chiffrement des données, la non-persistance des gabarits après comparaison sur les badgeuses ainsi que la sécurisation matérielle et opérationnelle du dispositif d'enrôlement et estime que celles-ci semblent conformes aux articles 5.1.f et 32 du RGPD. Concernant le chiffrement des données relatives aux gabarits, la CNIL prend acte de l'engagement du ministère à systématiser l'usages des mécanismes et clés conformes à l'annexe B1 du référentiel général de sécurité.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 janvier 2025.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Base active : cinq ans 
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER MEMORIAL FRANCE ETATS-UNIS à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitant
L’Institut National du Cancer (INCa) interviendra comme sous-traitant dans la mise en œuvre de cette étude.
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 janvier 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées (dérogation à l’information individuelle).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données de l’étude PHARE , dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001, et qui sont désormais rassemblées au sein de l’entrepôt "Plateforme des données en cancérologie" mis en œuvre par l’INCa (demande d’autorisation n°2228513), seront réutilisées dans le cadre de la présente étude.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Une note d’information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD sera diffusée sur les sites web du responsable de traitement de l’étude et de l’INCa.
Mesures de sécurité
Les données seront mises à disposition du responsable de traitement au sein de l’environnement homologué de la "Plateforme des données en cancérologie".
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer certaines données à caractère personnel des participants à l’étude au Royaume-Uni, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat conformément aux dispositions de l’article 45 du RGPD. 
Durée d’accès
Les données seront accessibles pendant la durée de l’étude et au plus tard jusqu’au 31 décembre 2025 au sein de l’environnement homologué du sous-traitant.
AUTORISE l’UNIVERSITE OXFORD à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
Le Centre hospitalier universitaire de Toulouse et l’Agence nationale de santé publique doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du Règlement général sur la protection des données (RGPD).
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 janvier 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernée. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Les données de l’étude portant sur l’évaluation du risque tératogène des médicaments au cours de la grossesse autorisée par la CNIL (demande d’autorisation n° 920302, décision DR-2021-055) comportant des données du SNDS seront réutilisées dans le cadre de la présente étude. Ces données seront accessibles sur le portail de la CNAM.
La collecte de la date d’accouchement conduit de fait à collecter la date de naissance des nouveau-nés. Cette collecte apparaît nécessaire et justifiée scientifiquement au regard des finalités du traitement. 
Information et droits des personnes
En application du b) du 5 de l’article 14 du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre pour assurer l’information des personnes concernées et de leurs représentants légaux, notamment par la diffusion sur les sites web des deux responsables de traitement de l’étude d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD.
Durées d’accès aux données
Cinq ans
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE et l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur l’avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 février 2025.
Sur le point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la réutilisation des données d’une base existante 
Les données traitées, proviendront exclusivement de l’entrepôt "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Cet entrepôt est composé exclusivement de données du SNDS. Seule la société Clinityx accèdera à ces données.
Sur l’information et les droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par les responsables conjoints de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera rendue publique sur le portail de transparence de la société Roche et sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil "Sémaphore") mis en place par la société Clinityx. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Sur la sécurité des données
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 7 janvier 2025, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2025 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
Sur la durée de conservation des données
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant huit mois, durée nécessaire à la production des indicateurs, puis les données seront supprimées dans un délai maximal de deux ans. 
 
AUTORISE LA SOCIETE ROCHE ET LA SOCIETE CLINITYX à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 mars 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données traitées, proviendront exclusivement de l’entrepôt "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Cet entrepôt est composé exclusivement de données du SNDS. Seule la société Clinityx accèdera à ces données.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par les responsables conjoints de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera rendue publique sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil Sémaphore ) mis en place par la société Clinityx, une note d’information devra également être publiée sur le site web de la société Astellas Pharma Europe LTD. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Mesures de sécurité
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 7 janvier 2025, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2025 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
Durées de conservation en base active et en archivage
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant huit mois, durée nécessaire à la production des indicateurs, puis les données seront supprimées dans un délai maximal de deux ans.
AUTORISE LA SOCIETE ASTELLAS PHARMA EUROPE LTD à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT