AgentPublic/cnil huggingface dataset:
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur le régime juridique
La constitution de cet entrepôt implique notamment un traitement des données visées au 6° du I de l’article L. 1461-1 du code de la santé publique (CSP), à savoir des données recueillies à l'occasion d'activités de prévention, de diagnostic, de soins donnant lieu à une prise en charge des frais par la sécurité sociale. Ces données seront réutilisées et mises à disposition pour l’une des finalités visées au III de l’article L. 1461-1 du CSP, notamment à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. 
 
De plus, le dossier de demande indique que le responsable de traitement souhaite procéder à l’inscription de l’entrepôt au catalogue des bases du Système national des données de santé (SNDS) visé à l’article R. 1461-2 du CSP.
 
Par conséquent, les dispositions des articles L. 1461-1 et suivants du CSP sont applicables en l’espèce dont :
 
le référentiel de sécurité visé au 3° du IV de cet article ;
l’interdiction de poursuite des finalités visées à l’article V de cet article (finalités interdites d’utilisation du SNDS).
 
En application du IV de l’article 3 du l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS, l’entrepôt devra être mis en conformité avec ce dernier dès sa mise en œuvre.
Sur la base légale du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement est fondé sur l’intérêt légitime responsable du traitement. Il est licite au regard du f) du 1 de l’article 6 du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions du j) du 2 de l’article 9 du RGPD et du 3° de l’article 44 de la loi "informatique et libertés". 
 
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
 
Sur les données traitées
Cet entrepôt sera alimenté par des données issues :
 
de l’observatoire de cardiologie interventionnelle (demande d’autorisation n°913543 puis déclaration de conformité à la MR-003). Ce traitement initialement mis en œuvre par le Club des angioplasticiens de la région Centre est désormais sous la responsabilité de l’association France PCI. Les personnes concernées devront être informées de l’identité du nouveau responsable de traitement ainsi que de toutes modifications substantielles mises en œuvre ; 
des dossiers médicaux des établissements de santé autorisés à pratiquer des actes de coronarographies et d’angioplasties coronaires (centres participants).
Seules seront versées au sein de l’entrepôt, les données pseudonymisées de patients : 
 
majeurs ne faisant pas l’objet d’une mesure de protection juridique ; 
et pris en charge pour un acte de cardiologie interventionnelle.
Sur l’information et les droits des personnes 
L’ensemble des notes d’information devront comporter les mentions prévues à l’article 14 du RGPD. 
 
S’agissant des personnes déjà incluses dans l’observatoire et dont le suivi est terminé : 
 
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exception, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par :
 
la diffusion sur le site web du responsable de traitement de l’entrepôt d’une information relative à la constitution de l’entrepôt ;
par voie d’affichage au sein des centres participants de la note d’information précitée.
Par ailleurs, la note d’information précitée sera remise aux personnes prises en charge par l’un des centres participant postérieurement à la constitution de l’entrepôt.
 
Concernant les personnes déjà incluses dans l’observatoire et dont le suivi est en cours (patients ayant été pris en charge pour un acte de cardiologie interventionnelle en lien avec un syndrome coronaire aigu) :
 
Le dossier de demande précise que ce suivi est réalisé par voie téléphonique. A l’occasion de ce suivi, les personnes seront individuellement informées de la constitution de l’entrepôt.
 
Conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail "de l’Article 29" (G29), il est rappelé les éléments suivants : 
 
lorsque l’information est délivrée oralement, le responsable de traitement est tenu de conserver une trace écrite de sa délivrance et de transmettre aux personnes les informations leur permettant de consulter ultérieurement la note d’information comportant l’ensemble des mentions prévues par le RGPD ;
lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. En l’espèce, l’information orale devra préciser que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale et leur participation à l’observatoire.
 
 
Concernant les personnes prises en charge postérieurement à la constitution de l’entrepôt : 
 
Les personnes seront individuellement informées de la constitution de l’entrepôt par la remise d’une note d’information dédiée qui leur sera remise lors ou à l’issue d’une consultation par voie postale ou par voie électronique.
 
La note d’information transmise dans le cadre du dossier de demande révélant des informations sur l’état de santé des personnes, celle-ci peut être délivrée par voie électronique uniquement par les centres participants, qui sont les seuls à détenir les données administratives d’identification et les coordonnées électroniques de la personne concernée.
 
Cette note d’information pourra être transmise par courrier électronique avec un code d’accès si les conditions cumulatives suivantes sont remplies :
le corps et l’objet du message ne doivent contenir aucune information susceptible de révéler des informations sur l’état de santé de la personne se prêtant à la recherche ;
l'accès à la note d'information doit être conditionné à la possession d'un facteur de connaissance (par exemple, la note d'information peut être une pièce-jointe chiffrée, ou le message peut contenir un lien vers une plateforme sécurisée de téléchargement exigeant un code secret) ;
le code de déchiffrement ou de téléchargement doit être transmis par un canal de confiance séparé (par exemple, remise en main propre, appel téléphonique ou texto vers un numéro de téléphone vérifié, pli postal sécurisé) ; 
dans le cas d’utilisation d'une plateforme sécurisée de téléchargement, une durée limitée de mise à disposition doit être paramétrée.
 
Alternativement, cette note d’information pourra être transmise via une plateforme sécurisée à laquelle la personne concernée dispose d’une connexion authentifiée, permettant de s’assurer que le message sera lu uniquement par son destinataire. Une notification doit être envoyée par la plateforme au destinataire pour l’inviter à se connecter. Celle-ci ne doit contenir aucune information susceptible de révéler des informations sur l’état de santé de la personne se prêtant à la recherche.
 
Si la note d’information est modifiée afin de ne plus révéler d’information sur l’état de santé des personnes, elle pourra être adressée par courrier électronique simple.
Quelle que soit la modalité mise en œuvre, le responsable de traitement devra veiller à ce que la personne ait été en mesure d’y accéder. Dans le cas contraire, l’information devra être délivrée au format papier.
 
Concernant l’exercice des droits, notamment du droit d’opposition : 
 
Le responsable de traitement respectera un délai d’un mois entre la notification ou la remise de la note d’information et le versement des données au sein de l’entrepôt.
 
AUTORISE, l’ASSOCIATION FRANCE PCI à mettre en œuvre le traitement décrit ci-dessus.
 
Le directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer III du 2 septembre 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Un sous-traitant du responsable de traitement aura accès aux données administratives des participants (données nominatives et coordonnées électroniques et téléphoniques) ainsi qu’aux données de santé dans le cadre du suivi des participants.
Ces derniers devront en être informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Les notes d’information devront être complétées afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées seront détruites à la fin du suivi.
 
Autres données :
Base active : six ans
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8-I-2°-b ;
Après avoir entendu le rapport de M. Fabien Tarissan, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
 
La CNIL renouvelle son constat de la tendance forte au développement et à l’extension des solutions de vote par correspondance électronique, notamment via Internet, dans un nombre des scrutins de plus en plus importants. Dans certains cas, le recours à de telles solutions est désormais imposé par la réglementation applicable.
 
En raison de la complexité des mécanismes techniques mis en œuvre, du caractère sensible des données traitées et de l’importance des mécanismes électoraux dans une société démocratique, les services de la CNIL sont régulièrement interrogés sur la mise en œuvre de ces outils.
Pour faire face à ces interrogations et pour accompagner au mieux l’ensemble des parties prenantes la CNIL a, dès 2010, rendu publiques ses recommandations en la matière. Ces recommandations sont régulièrement mises à jour pour tenir compte de l’évolution des contextes et cas d’usage, des technologies disponibles ainsi que des risques auxquels sont exposés de tels scrutins.
 
Dans cette démarche, un projet de mise à jour de la recommandation relative à la sécurité des systèmes de vote par correspondance électronique, soumis à consultation publique a été proposé.
 
La CNIL adopte par conséquent la présente recommandation.
 
Décide :
 
Article 1 : La recommandation figurant en annexe est adoptée.
 
Article 2 : Les délibérations n° 2010-371 du 21 octobre 2010 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique et n° 2019-053 du 25 avril 2019 sont abrogées.
 
Article 3 : La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
 
M.-L. Denis
 
 
Annexe : vous pouvez consulter l'intégralité du texte à l'adresse suivante : https://www.cnil.fr/fr/recommandation-vote-electronique .
N° de demande d’avis : 2236389
Thématiques : lutte contre la fraude ; moyens de paiement ; fichier national des comptes signalés pour risque de fraude
Organisme(s) à l’origine de la saisine : ministère de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique 
Fondement de la saisine : article L. 521-6-1 du CMF
L’essentiel :
Le projet d’arrêté précise les modalités techniques et de fonctionnement du FNC-RF créé par l’article L. 521-6-1 du code monétaire et financier pour améliorer la prévention, la recherche et la détection de la fraude en matière de paiements. La CNIL considère que ce fichier de mutualisation à large échelle de données bancaires hautement personnelles revêt une sensibilité particulière ;
 
La CNIL estime que la Banque de France et les prestataires de services de paiement (PSP) sont responsables conjoints des traitements
 
de centralisation et de partage des données mis en œuvre dans le cadre du FNC-RF ; 
 
Elle considère que, compte tenu de la sensibilité du traitement et de l’impact potentiel sur les personnes concernées, les garanties prévues par le projet d’arrêté en termes d’exactitude des données traitées doivent être améliorées ; elle prend notamment acte de l’engagement du ministère de préciser dans l’arrêté que les vérifications effectuées par les PSP sur le caractère frauduleux des comptes dont ils sont teneurs devront être faites "dans les plus brefs délais" ;
La CNIL invite le ministère à compléter le projet d’arrêté en précisant que les demandes d’exercice des droits doivent pouvoir s’exercer auprès de la Banque de France et des PSP, et rappelle que ces acteurs doivent définir clairement les modalités de réponse à ces demandes dans un document contraignant encadrant leurs responsabilités ; 
 
La CNIL estime enfin que l’architecture technique retenue, consistant en un partage de copies intégrales et synchronisées des données en clair avec les PSP et leurs éventuels prestataires (instances locales du FNC-RF), accroît fortement la surface d’exposition des données et, par conséquent, le risque de fuite, d’accès non autorisé ou de réutilisation indue.
­­­­­­­­­­­­­­­­­­­­­___________________
 
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;
Vu la loi n° 2025-1058 du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire ;
Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
A. Le contexte
 
La loi n°2025-1058 du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire a introduit dans le code monétaire et financier (CMF) un article L. 521-6-1 portant création d’un fichier national des comptes bancaires signalés pour risque de fraude (FNC-RF). Ce fichier a pour objectif d’améliorer la prévention, la recherche et la détection de la fraude en matière de paiements. 
 
Le FNC-RF, géré par la Banque de France, recense les informations permettant d'identifier les comptes de paiement et les comptes de dépôt que les prestataires de services de paiement (PSP), établis ou exerçant en France, estiment susceptibles d'être frauduleux, et les éléments caractérisant la fraude ou la suspicion de fraude.
 
B. L’objet de la saisine
Conformément à l’article L. 521-6-1 du CMF, le projet d’arrêté fixe le cadre relatif au FNC-RF, prévoyant les modalités de collecte, d'enregistrement, de conservation et de consultation des données ainsi que la liste des informations appelées à figurer dans le fichier.
 
Le 17 mars 2026, le ministère de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique a saisi la CNIL, en urgence, pour avis sur ce projet. 
 
Le projet d’arrêté prévoit notamment qu’il incombe aux PSP de :
procéder à l’inscription des informations permettant d’identifier les comptes de paiement et les comptes de dépôts qu’ils estiment susceptibles d’être frauduleux en se fondant notamment sur les analyses réalisées dans le cadre de leurs dispositifs internes de lutte contre la fraude ; 
mener immédiatement, lorsqu’un compte dont ils sont teneurs apparaît dans le fichier, des vérifications visant à évaluer son caractère frauduleux, et d’en partager le résultat ; 
actualiser les instances locales du fichier (copies intégrales du FNC-RF détenues par les PSP) dont ils sont responsables au moins une fois par jour ou, à défaut, avant toute nouvelle opération de paiement ; 
corriger leurs déclarations sans délai, notamment si les raisons de soupçonner une fraude disparaissent. 
 
La CNIL relève que ces traitements sont fondés sur la base légale de l’obligation légale (article 6, I, c) du RGPD). 
 
À titre d’élément de contexte, la Banque de France indique envisager à terme un élargissement des catégories de données partagées dans le cadre de ce dispositif, ainsi qu’une intégration dans un dispositif européen de partage de données de fraude. 
 
II. L’avis de la CNIL
Le FNC-RF a vocation à améliorer la prévention, la recherche et la détection de la fraude en matière de paiements grâce à un partage d’informations entre prestataires de service de paiement. En particulier, la mutualisation des informations dès le stade de la suspicion de fraude vise à empêcher la propagation des fraudes auprès de multiples acteurs. La CNIL estime que ces finalités sont déterminées et légitimes. 
L’article L. 521-6-1 du CMF prévoit certaines garanties visant à limiter les risques du traitement : 
 
l'inscription d’un compte dans ce fichier n'emporte pas d'interdiction de réaliser des opérations de paiement impliquant ce compte et ne peut justifier, à elle seule, la résiliation du contrat-cadre de services de paiement ou de la convention de compte de dépôt par le PSP teneur du compte déclaré ; 
lorsqu'un compte figure dans le fichier, le PSP chargé de la tenue de ce compte effectue sans délai l'ensemble des diligences visant à évaluer son caractère frauduleux ; 
il est interdit à la Banque de France et aux PSP de remettre à quiconque copie des informations contenues dans le fichier.
 
La CNIL souligne que le FNC-RF est un fichier particulièrement sensible à plusieurs égards : 
 
il implique la mutualisation de données à grande échelle entre de nombreux acteurs ;
les données bancaires qu’il contient constituent des données hautement personnelles au sens des lignes directrices du Comité européen de la protection des données (CEPD) du 4 octobre 2017 concernant l’analyse d’impact relative à la protection des données ; 
les comptes inscrits dans le fichier ne sont que suspectés par les organismes déclarants de contenir des opérations de paiement frauduleuses, sans que cette fraude ait été caractérisée ; 
il est susceptible d’avoir des conséquences importantes pour les personnes, en particulier
lorsque la suspicion de fraude déclarée n’est finalement pas caractérisée. En effet, un PSP pourrait suspendre ou refuser de réaliser une opération de paiement sur le seul fondement de la présence d’un identifiant unique d’un compte de la personne concernée dans le FNC-RF. De telles décisions pourraient avoir un impact très important sur les personnes concernées notamment dans les cas d’usurpation d’identité prévus à l’article L. 226-4-1 du code de procédure pénale tel que précisé au 3ème alinéa du II de l’article L. 521-6-1 du CMF. 
 
En outre, la CNIL estime que l’élargissement envisagé par la Banque de France des catégories de données partagées dans le cadre de ce dispositif serait susceptible d’avoir un impact sur la proportionnalité du traitement compte tenu de l’impact potentiel pour les droits et libertés des personnes concernées.
 
A. Sur les responsabilités de traitement
Le deuxième alinéa de l’article 8 du projet d’arrêté prévoit que la Banque de France et les PSP "sont responsables de traitement, chacun en ce qui les concerne". L’AIPD de la Banque de France transmise par le ministère précise également que la Banque de France est responsable du traitement de centralisation et de partage des informations contenues dans le FNC-RF. A ce titre, la Banque de France et les PSP ont, en tout état de cause, chacun des obligations en tant que responsable de traitement, ce que le projet d’arrêté n’intègre pas puisqu’il prévoit uniquement des obligations à la charge des PSP (particulièrement information des personnes et exercice de leurs droits).
 
La CNIL considère cependant que la Banque de France et les PSP sont également conjointement responsables des traitements de centralisation et de partage des données au sein du FNC-RF. 
 
En effet, l’analyse de la qualification des PSP et de la Banque de France doit être effectuée au regard du traitement central mis en œuvre dans le cadre du FNC-RF et de ce point de vue plusieurs éléments permettent de conclure à une responsabilité conjointe :