AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires de données directement identifiantes
L’attaché de recherche clinique (ARC) de l’Université de Reims Champagne Ardenne aura accès aux données nominatives des participantes aux fins de procéder au recueil des données dans leur dossier médical de médecine générale.
Une documentation tenue à jour indique les personnes compétentes pour le responsable de traitement pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Le recueil de données dans des dossiers médicaux de médecine générale des patientes par l’ARC sera réalisé sous la direction et la surveillance d'un professionnel de santé prenant en charge les patientes. Les patientes devront en être informées
Information et droits des personnes
Toutes les participantes recevront une note d’information individuelle. 
Durées de conservation en base active et en archivage
Les données nominatives traitées par l’ARC seront détruites à l’issue du recueil de données dans les dossiers médicaux des patientes. 
 
Autres données :
Base active : trois ans
Archivage : quinze ans.
 
AUTORISE L’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest I du 12 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la collecte d’enregistrements vidéo directement identifiants et leur transmission à un sous-traitant du responsable de traitement.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégories particulières de données traitées (autres que données de santé) et leurs destinataires
Des enregistrements vidéo permettant l’identification des participants seront réalisés dans le cadre de cette étude. Leur consentement en vue de la réalisation des enregistrements sera recueilli. 
Ces enregistrements, scientifiquement justifiés, seront conservés dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra y accéder.
Information et droits des personnes
Les participants recevront une note d’information individuelle.
Durées de conservation en base active et en archivage
Base active : six ans
Archivage : quinze ans.
 
AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Certaines données de l’entrepôt de données de santé de l’AP-HP autorisé par la CNIL (demande d’autorisation n° 198012 - délibération n°2017-013 du 19 janvier 2017) seront réutilisées dans le cadre de cette étude et appariées de façon probabiliste (indirecte) aux données du SNDS.
 
S’agissant du traitement de données du SNDS :
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2019 à 2022, sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM). 
Modalités de consultation : portail de la CNAM.
Information et droits des personnes 
 
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement. 
Durée d’accès 
Les données appariées seront accessibles pendant cinq ans sur le portail de la CNAM.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Les données recueillies dans le cadre de la première partie de l’étude (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) seront réutilisées et appariées de façon probabiliste (indirecte) aux données du SNDS.
 
S’agissant du traitement de données du SNDS :
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2021 à 2024, sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM). 
Modalités de consultation : portail de la CNAM.
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes 
Les participants sont individuellement informés de la présente étude et du chaînage de leurs données avec celles du SNDS. 
Durée d’accès 
Les données appariées seront accessibles pendant un an sur le portail de la CNAM.
 
AUTORISE la société ETHYPHARM à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernée.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
S’agissant des données administratives d’identification : 
La collecte des coordonnées téléphoniques est nécessaire pour proposer aux personnes de participer à l’étude, leur adresser la note d’information, ainsi que pour assurer leur suivi. Elles doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
S’agissant des autres catégories particulières de données :
La collecte de la nationalité, du pays de naissance, de l’origine ethnique, de la vie sexuelle et de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Par ailleurs, conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’enquête ne devront pas être contactées à nouveau.
Mesures de sécurité
Les données de l’étude seront collectées par l’intermédiaire d’un questionnaire envoyé aux participants grâce à une plateforme tierce en ligne.
Eu égard aux caractéristiques du traitement, les mesures suivantes devront être opérationnelles lors de sa mise en œuvre :
la mise en place d’une authentification multifacteur pour l’administrateur de la plateforme en ligne hébergeant le questionnaire ;
le chiffrement des réponses au questionnaire au repos et en transit.
Les réponses transiteront temporairement par les serveurs de la plateforme et seront supprimées au moment de leur extraction vers le Centre d’accès sécurisé aux données (CASD) toutes les 48 heures.
Les autres mesures de sécurité décrites par le responsable de traitement paraissent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La CNIL rappelle toutefois que cette obligation nécessite la mise à jour de l’analyse d’impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage
Les coordonnées téléphoniques seront détruites après la constitution de l’échantillon d’enquête et au plus tard dans les six mois suivant le début de l’étude.
 
Autres données :
Base active : cinq ans
Archivage : quinze ans.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE l’INSTITUT DE RECHERCHE ET DE DOCUMENTATION EN ECONOMIE DE LA SANTE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
En tant que responsables conjoints de traitement, l’Hôpital universitaire spécialisé d’Irrua et l’Institut national de la santé et de la recherche médicale – ANRS – maladies infectieuses émergentes (INSERM-ANRS MIE) doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du RGPD.
Avis du comité
Avis favorable du comité d’éthique du ministère fédéral de la santé du Nigéria du 27 juin 2024.
Points de non-conformité à la méthodologie de référence concernée
Les participants à la présente étude sont inclus au Nigéria.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. 
Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
S’agissant des majeurs protégés dont l'état ne leur permet pas de prendre seuls une décision personnelle éclairée, conformément aux dispositions de l’article 70 de la loi  informatique et libertés , leur représentant légal se verra remettre un support d’information adapté. 
En outre, dans l’hypothèse où l’état de santé de ces participants s’améliorerait, ces derniers devront être informés de l’étude et de leurs droits.
Transferts hors Union européenne
Le responsable de traitement envisage de transférer certaines données pseudonymisées au Nigéria, en Côte d’Ivoire et au Japon. 
Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD.
En l’espèce, le responsable de traitement envisage d’encadrer ces transferts de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté au Nigéria, en Côte d’Ivoire et au Japon afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. 
Le responsable de traitement est également tenu de s'assurer que la législation de ces pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. 
Durées de conservation en base active et en archivage
Base active : cinq ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES et l’HOPITAL UNIVERSITAIRE SPECIALISE D'IRRUA à mettre en œuvre le traitement décrit ci-dessus.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé)
Les données issues de la base du Réseau Épidémiologique et Information en Néphrologie (demande d’autorisation n° 903188) et du registre CRISTAL (délibération n°96-025 du 19 mars 1996) mises en œuvre par l’Agence de la biomédecine seront réutilisées dans le cadre de cette étude.
Catégories particulières de données traitées (autres que données de santé)
La collecte de l’adresse complète des personnes concernées a été scientifiquement justifiée dans le dossier de demande afin de calculer les "Ilots Regroupés pour l'Information Statistique" (IRIS).
L’adresse devra être traitée et transmise de façon séparée des données de santé et être enregistrée dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
 
Par ailleurs, la collecte du pays de naissance des participants ainsi que le fait qu’ils disposent ou non de la nationalité française a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes