AgentPublic/cnil huggingface dataset:
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés" en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche.
Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Les mineurs participant à l’étude recevront également une note d’information individuelle.
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD.
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
S’agissant des modalités d’exercice des droits :
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche.
La Commission relève qu’afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection. Pour ce faire, il souhaite traiter les données de l’ensemble des personnes tirées au sort parmi les bénéficiaires du régime d’assurance maladie générale ou agricole.
Les personnes ayant refusé de participer à l’étude suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être contactées. Par ailleurs, en cas d’exercice du droit d’opposition à des fins de redressement, les données des personnes concernées ne pourront être traitées.
Enfin, la Commission relève que les personnes auxquelles il est proposé de participer à l’étude mais n’ayant pas répondu suite à l’envoi de la note d’information individuelle sont susceptibles d’être relancées. Les personnes ayant exercé leur droit d’opposition en refusant de participer à l’étude ne devront pas être recontactées.
Ces modalités d’exercice du droit d’opposition devront être clarifiées dans la note d’information collective publiée sur le site web du responsable de traitement ainsi que dans les notes d’information individuelles qui sont adressées aux personnes tirées au sort.
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la "loi informatique et libertés".
Sur les accédants et destinataires
Dans le cadre de la mise en œuvre de l’étude :
les membres du personnel de l’ANSP auront accès :
				
aux données pseudonymisées de l’ensemble des bénéficiaires de la branche maladie de la CPAM et de a MSA afin de réaliser le tirage au sort des participants ;
aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ;
les employés de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires.
Le responsable de traitement a indiqué que les données nominatives des participants doivent être collectées et traitées afin de leur adresser les résultats les concernant à la fin de l’étude.
Aux fins de confidentialité, ces résultats devront être envoyés par la société IPSOS.
Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
 
 
La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’actions retenu.
La Commission prend acte de ce que le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé" pour mener l’étude.
Des espaces projets devront alors être prévus pour toute mise à disposition. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces.
Si ces conditions ne sont pas réunies, aucune donnée de l’étude ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD).
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papiers.
Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Sur la durée de conservation des données
S’agissant des personnes refusant de participer à l’étude :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphonique, électronique et postale) seront détruites au moment de leur refus.
S’agissant des données des personnes participant à l’étude :
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et postales) seront détruites dans un délai de six mois après la réalisation des entretiens.
Les coordonnées électroniques seront détruites après la transmission des derniers résultats aux participants.
Les autres données de l’étude seront conservées en base active pour une durée de sept ans.
À l’issue de ce délai, les données seront supprimées ou versées aux archives nationales, conformément aux dispositions du code du patrimoine.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
La Présidente
 
Marie -Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la Société française de cardiologie d’une demande de modification de l’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé "Cardiohub" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération no 2021-152 du 16 décembre 2021 autorisant la Société française de cardiologie à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Cardiohub" ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société française de cardiologie (SFC).
Responsable de la mise en œuvre
La société Clinityx.
Modification du traitement de données
Les modifications portent sur :
les bases de données existantes rassemblées au sein de l’entrepôt "Cardiohub" (source des données) ;
les catégories de données traitées (suppression de certaines données précédemment collectées dans l’entrepôt "Cardiohub") ;
les mesures de sécurité.
Sur les données traitées
Outre les données du registre Mitragister et du Système national des données de santé (SNDS) pour les personnes incluses dans Mitragister , l’entrepôt de données de santé Cardiohub sera également alimenté par les données à caractère personnel issues :
du registre intitulé Flaac 2 ;
du registre intitulé France TAVI ;
du registre intitulé Fresh SNDS ;
du registre intitulé MyocarditIRM SNDS ;
de l’entrepôt de données de santé intitulé ANGOR – France REDUCER ;
du SNDS pour les personnes incluses dans Flaac 2 , France TAVI , Fresh SNDS , MyocarditIRM SNDS et ANGOR – France REDUCER .
Les données issues de Flaac 2 , France TAVI , Fresh SNDS , MyocarditIRM SNDS et ANGOR – France REDUCER sont des données cliniques d’hospitalisation collectées jusqu’à dix ans à compter de l’hospitalisation de la personne concernée et dont le détail pour chaque base est précisé dans le dossier de demande :
critères d’inclusion dans les traitements précités ;
date de naissance (mois et année), sexe, poids, taille ;
données de mode de vie (célibataire, isolé, activités professionnelles) ;
antécédents médicaux et facteurs de risques cardiaques ;
caractéristiques cliniques de la cardiopathie étudiée ;
comorbidités ;
données d’imagerie cardiaque, de qualité de vie et biologiques ;
données de prise en charge, de suivi hospitalier et de sortie.
Les données de Flaac 2 , France TAVI , Fresh SNDS , MyocarditIRM SNDS et ANGOR – France REDUCER seront appariées avec les données du SNDS portant sur les deux années précédant l’hospitalisation de la personne concernée et jusqu’à dix ans après sa prise en charge. Les données de ces bases seront appariées avec certaines données du SNDS provenant :
du Système national d'information interrégimes de l'assurance maladie (SNIIRAM), s’agissant notamment des consultations des médecins généralistes et des cardiologues ainsi que des traitements médicaux ;
du Programme de médicalisation des systèmes d'information (PMSI), s’agissant des évènements, des hospitalisations et des ré-interventions pendant le suivi ;
du CépiDc, s’agissant du statut vital des participants et, le cas échéant, des causes de décès.
La Commission relève que les données du SNIIRAM, du PMSI et du CépiDc des années 2010 à 2033 alimenteront l’entrepôt "Cardiohub" aux fins de mise en œuvre du suivi passif des personnes concernées, sous réserve de leur disponibilité. Cette profondeur historique variera en fonction de la source de données à laquelle elles seront appariées.
Préalablement à la demande d’extraction des données du SNDS adressée à la Caisse nationale d’assurance maladie (CNAM), la SFC génèrera aléatoirement un identifiant spécifique projet (ISP).
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du règlement général sur la protection des données (RGPD).
Sur l’information et les droits des personnes concernées
S’agissant des personnes dont les données sont issues des registres  Flaac 2 ,  France TAVI ,  Fresh SNDS  et  MyocarditIRM SNDS  ainsi que de celui de l’entrepôt de données de santé 
ANGOR – France REDUCER
, qui ont vocation à intégrer l’entrepôt de données de santé Cardiohub :
Les personnes concernées seront individuellement informées du traitement des données les concernant dans le cadre de Cardiohub à l’occasion de leur suivi ou, à défaut, par voie postale, électronique ou téléphonique.
Un portail de transparence sur lequel la note d’information relative à l’entrepôt, ainsi que les différentes notes d’information relatives aux futures recherches menées sur l’entrepôt, sera disponible sur le site web de la SFC. La SFC devra communiquer aux établissements incluant des personnes dans Flaac 2 , France TAVI , Fresh SNDS , MyocarditIRM SNDS et ANGOR – France REDUCER les notes d’information afin qu’ils les rendent disponibles sur leur propre site web.
Les personnes concernées pourront exercer leurs droits selon les modalités prévues antérieurement.
S’agissant des personnes ayant déjà reçu une note d’information individuelle lors la constitution de l’entrepôt de données de santé "Cardiohub" prévoyant un portail de transparence :
Elles seront informées, sur ce portail de transparence, de l’ajout de nouvelles bases de données dans "Cardiohub".
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
La Commission considère que ces modalités sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur la sécurité des données et la traçabilité des actions
Quant aux données pseudonymisées provenant de sources externes devant être importées dans "Cardiohub", une plateforme d’échange de fichier sera mise à disposition du responsable de la mise en œuvre afin de transmettre les données de façon sécurisée. Cette plateforme est gérée par un hébergeur certifié pour l’hébergement de données de santé et soumis exclusivement aux lois et juridictions de l’Union européenne. Les données seront chiffrées au repos par des algorithmes à l’état de l’art avant envoi à la plateforme. La clé de déchiffrement sera envoyée par un canal de communication séparé au responsable de la mise en œuvre de l’entrepôt. Une authentification multifacteur comprenant au moins deux facteurs d’authentification différents sera mise en œuvre au sein de la plateforme pour tout envoi, téléchargement ou accès à ces données chiffrées. Les données seront chiffrées en flux par des algorithmes à l’état de l’art et effacées de la plateforme dès la fin de leur téléchargement.
L’appariement des données de ces sources et du SNDS sera indirect : Clinityx produira pour chaque source devant être appariée au sein de Cardiohub ( Flaac 2 , France TAVI , Fresh SNDS , MyocarditIRM SNDS et ANGOR – France REDUCER ) un fichier d’appariement contenant l’ISP ainsi que les variables communes au SNDS et à la source. Clinityx transmettra ce fichier de manière sécurisée à la CNAM.
Les identifiants patient pseudonymisés selon les exigences du référentiel "entrepôts de données de santé" seront différents pour chaque source intégrée à l’entrepôt. La Commission prend acte de ce que chaque source intégrée à l’entrepôt disposera de sa propre base de données et sera cloisonné distinctement des autres sources intégrées à l’entrepôt : aucun appariement de ces sources entre elles n’est prévu dans l’entrepôt ou ses espaces projet associés.
 
L’exportation de données hors de l’entrepôt "Cardiohub" et des espaces projet associés consistera exclusivement en des rapports statistiques pouvant contenir un ou plusieurs modèles ne permettant aucune ré-identification des personnes, transmis exclusivement aux responsables de traitement et portant sur la réalisation de recherches ultérieures. À cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. La Commission rappelle que le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée par le responsable de traitement afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur la durée de conservation des données
Les données de santé des patients issues des différentes sources seront conservées en base active pendant une durée de 15 ans à compter de l’inclusion de la personne concernée dans le traitement initial.
Au-delà, les données seront anonymisées ou supprimées. Cette opération fera l’objet d’une automatisation.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Observations complémentaires
Les autres conditions de mise en œuvre de l’entrepôt de données de santé "Cardiohub" restent inchangées.
Autorise, conformément à la présente délibération, la Société française de cardiologie à mettre en œuvre le traitement mentionné ci-dessus.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ et Messieurs Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-005C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 juin 2021 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X le 3 août 2022 ; 
Vu les observations écrites versées par le conseil de la société X le 31 octobre 2022 ;
Vu la réponse du rapporteur à ces observations notifiée à la société X le 7 décembre 2022 ;
Vu les nouvelles observations écrites versées par le conseil de la société X, reçues le 30 janvier 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 16 mars 2023 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
- […]
En visioconférence : […]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Fondée en 2005 en France, la société X (ci-après la " société ") est spécialisée dans l’affichage de publicités ciblées sur le web. En 2022, le groupe X employait environ 3 000 employés et avait réalisé un chiffre d'affaires global d'environ 1,9 milliard d'euros pour un résultat net de 10 millions d’euros environ.
2. La société met en œuvre des traitements de données dits de " reciblage publicitaire ", qui consistent à suivre les habitudes de navigation des internautes pour leur afficher des publicités personnalisées, au moyen de cookies déposés dans les terminaux des utilisateurs. 
3. Le 8 novembre 2018, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie d’une plainte adressée par l’association " Privacy International ", qui soulignait notamment que la société ne traitait pas les données des internautes conformément aux principes fixés à l’article 5, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après " le RGPD ").
4. Le 4 décembre 2018, la CNIL a été saisie d’une réclamation adressée par l'association " None of Your Business " (ci-après " NOYB ") mandatée par […], qui dénonçait le formalisme imposé par la société auprès de laquelle il avait souhaité retirer son consentement et s’opposer au traitement de ses données (ci-après " le plaignant "). Le plaignant faisait état de ce que, malgré l’envoi d’un courrier électronique en ce sens à la société, cette dernière l’avait redirigé vers diverses procédures en ligne consacrées à l'exercice des droits.