AgentPublic/cnil huggingface dataset:
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article28 du Règlement général sur la protection des données (RGPD). 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 13 mars 2025.
 
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées (dérogation à l’information individuelle).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
 
Réutilisation des données de bases existantes 
Seront réutilisées dans le cadre de la présente étude : 
les données issues de la cohorte CASSANDRA mis en œuvre par le Centre Léon Bérard et l’Institut Curie (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) ;
les données issues du registre REISAMIC mis en œuvre par l’Institut Gustave Roussy (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) ;
les données issues du SNDS (SNIIRAM, PMSI, CépiDc des années 2010 à 2023) conservées par l’INCa dans la plateforme des données en cancérologie autorisée par la CNIL (délibération n°2023-040).
 
Utilisation de données issues du SNDS historique
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
S’agissant des personnes concernées par les cohortes CASSANDRA et REISAMIC :
Ces personnes recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des personnes dont les données sont exclusivement issues du SNDS :
En application de l'article 69 de la loi informatique et libertés et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web des responsables conjoints de traitement de l’étude ainsi que des responsables de traitements de la cohorte CASSANDRA et du registre REISAMIC d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
 
Mesures de sécurité
Les données du SNDS seront hébergées au sein de la PDC ayant fait l’objet d’une homologation par l’INCa pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision est valable jusqu’au 3 avril 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au responsable de traitement de s’assurer que le système d’information hébergeant les données des études mises en œuvre dans le cadre de la présente autorisation respecte ce référentiel pendant toute la durée des traitements.
Durée de conservation en base active 
Cinq ans à compter de la mise à disposition des données.
 
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE 
l’Institut national du cancer et l’institut national de la santé et de la recherche médicale à mettre en œuvre le traitement décrit ci-dessus.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile de France III du 18 mars 2025
 
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
 
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
 
Ces notes d’information devront être complétées, avant le début de l’étude afin de comporter l’ensemble des mentions prévues à l’article 13 du RGPD.
 
Durées de conservation en base active et en archivage
Base active : 5 ans
Archivage : 25 ans.
 
AUTORISE le 
centre hospitalier universitaire de Nantes à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Isabelle LATOURNARIE-WILLEMS et M. Bertrand DU MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; 
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° SAN-2024-019 du 14 novembre 2024 adoptée par la formation restreinte à l’encontre de la société ORANGE SA ;
Vu les éléments transmis par la société ORANGE SA les 28 février et 7 mars 2025 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré lors de la séance du 10 juillet 2025, a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. Par décision du 14 novembre 2024, signifiée à la société ORANGE SA (ci-après, la société ou la société ORANGE) le 9 décembre 2024, la formation restreinte a enjoint à cette dernière de mettre en œuvre des mesures permettant d’assurer le caractère effectif du retrait du consentement des utilisateurs aux opérations de lecture et/ou d’écriture d’informations sur leur terminal . Cette injonction était assortie d’une astreinte de cent mille (100 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
2. Le 28 février 2025, dans le délai fixé par la délibération, la société a adressé à la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant les mesures mises en œuvre. Celles-ci ont consisté, s’agissant des cookies liés au domaine orange.fr , d’une part à étendre le périmètre du script cookie monster afin d’effacer l’ensemble des cookies devant être supprimés en cas de retrait du consentement et, d’autre part, à modifier le fonctionnement du site web orange.fr et de ses sous-domaines, afin que les cookies devant être effacés soient déposés sur le domaine .orange.fr , ce qui permet au script d’avoir son plein effet. S’agissant des cookies déposés par les partenaires de la société ( cookies tiers ), la société indique avoir procédé à la désactivation complète des requêtes à des domaines tiers depuis le site web www.orange.fr en cas de retrait du consentement. 
3. Le 7 mars 2025, la société a complété les éléments précédemment transmis en communiquant à la formation restreinte des résultats d’analyses permettant d’attester que les cookies déposés par la société Orange soumis au consentement étaient effectivement supprimés après retrait dudit consentement. 
II. MOTIFS DE LA DECISION
4. En premier lieu, s’agissant des cookies liés au domaine orange.fr , la formation restreinte relève qu’il ressort des éléments fournis par la société que les modifications apportées permettent effectivement d’assurer, après retrait du consentement de l’utilisateur, la suppression des cookies précédemment déposés et, ainsi, leur absence de lecture. 
5. En second lieu, s’agissant des cookies tiers, la formation restreinte observe que les mesures mises en œuvre, à savoir l’arrêt de réalisation de nouvelles requêtes à des domaines tiers depuis le site web www.orange.fr , une fois le consentement de l’utilisateur retiré, permettent d’empêcher toute opération de lecture ou d’écriture sur ce site web depuis ces domaines tiers. Ces mesures permettent ainsi de respecter le retrait du consentement sur ledit site, dont la société est l’éditrice. 
6. La formation restreinte entend néanmoins relever qu’en l’absence de suppression de ces cookies tiers, le suivi de la navigation de l’utilisateur pourra se poursuivre sur les sites tiers utilisant le même cookie et permettre de relier cette navigation au fait que l’utilisateur a, à un moment donné, navigué sur le site orange.fr , malgré le retrait de son consentement. Les activités ultérieures de l’utilisateur sur le site orange.fr ne pourront en revanche plus être suivies par les domaines tiers.
7. La formation restreinte considère qu’en l’état actuel de la doctrine et de la jurisprudence du Conseil d’Etat (CE, 9ème/10ème CR, 6 juin 2018, Editions Croque Futur, n° 412589, Rec.), les opérations de lecture visées au paragraphe précédent, qui ne sont pas effectuées à partir du site web orange.fr , excèdent la responsabilité de la société ORANGE – qui n’a pas la maîtrise technique des cookies tiers et ne peut donc les supprimer – et relèvent de celle de ses partenaires, lesquels devraient mettre en place des mesures permettant à la société ORANGE de les informer du retrait du consentement de l'utilisateur afin qu’ils puissent en tirer les conséquences. La formation restreinte relève en outre que, dans le cadre de l’instruction, la société ORANGE a justifié avoir contacté ses partenaires afin qu’ils mettent en œuvre des mesures permettant de respecter le retrait du consentement des utilisateurs. 
8. Au vu de l’ensemble de ce qui précède, il y a lieu de clôturer l’injonction, en considérant que la société a à ce jour mis en œuvre les mesures permettant de garantir le caractère effectif du retrait du consentement s’agissant des opérations effectuées à partir du site web www.orange.fr . 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
- de dire n’y avoir lieu à liquidation de l’astreinte ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2024-019 du 14 novembre 2024.
Le président
Philippe-Pierre CABOURDIN
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS et M. Didier KLING, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2023-264C du 27 novembre 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés du 6 février 2025 portant désignation d’une rapporteure devant la formation restreinte ;
Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, du 13 mars 2025 ;
Vu les observations écrites versées par la société SAMARITAINE SAS le 14 avril 2025 ;
Vu la clôture de l’instruction, signifiée à la société SAMARITAINE SAS le 16 juin 2025.
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 3 juillet 2025 :
- Mme Sophie LAMBREMON, commissaire rapporteure, entendue en son rapport ;
En qualité de représentants de la société SAMARITAINE SAS:
- [...]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.
La société SAMARITAINE SAS ayant été informée, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de son droit de garder le silence sur les faits qui lui était reprochés, et celle-ci ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
1. La société SAMARITAINE SAS (ci-après " la société "), anciennement DFS France SAS, est une société par actions simplifiée créée en 2011, sise 21 rue de la Monnaie à Paris (75001).
2. La société exploite le magasin " La Samaritaine " depuis 2021 et emploie environ 640 salariés. L’enseigne accueille environ 4 millions de visiteurs par an.
3. En 2023, le chiffre d’affaires de la société s’élevait à […] pour un résultat […].
4. Le 25 novembre 2023, un article de presse intitulé " La Samaritaine a camouflé des caméras dans des détecteurs de fumée pour surveiller ses salariés " faisait état de l’installation de " caméras espion camouflées en détecteurs de fumée " fin août 2023 dans les réserves du magasin.
5. Le 28 novembre 2023, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie d’une plainte d’un salarié dénonçant " un système de vidéosurveillance dissimulé dans des faux détecteurs de fumée au sein des réserves ".
6. En application de la décision n° 2023-264C de la Présidente de la CNIL du 27 novembre 2023, une délégation de la Commission a procédé à un contrôle sur place le 29 novembre 2023 afin de vérifier le respect, par la société SAMARITAINE SAS, de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés "), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD ") et des articles L. 251 1 et suivants du code de la sécurité intérieure.
7. Le procès-verbal n° 2023-264/1 dressé à l’issue du contrôle a été notifié à la société le 1er décembre 2023.
8. Les 8 décembre 2023 et 29 mars 2024, la société a transmis des éléments complémentaires à la délégation de contrôle.
9. Les 11 et 20 décembre 2023, deux auditions sur convocation ont été réalisées par la délégation de contrôle.
10. Les procès-verbaux n° 2023-264/2 et n° 2023-264/3 dressés à l’issue des auditions ont été notifiés à la société SAMARITAINE SAS le 21 décembre 2023.
11. Le 15 juillet 2024, un contrôle sur pièces a été effectué. La délégation de contrôle a sollicité des informations complémentaires auprès de la société SAMARITAINE SAS, du représentant du personnel et du sous-traitant en charge du dispositif de vidéosurveillance, la société […]. Les éléments sollicités ont été respectivement reçus le 29 juillet 2024, le 31 juillet 2024 et le 15 novembre 2024.
12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 6 février 2025, désigné Mme Sophie LAMBREMON en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
13. Le 13 mars 2025, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5-1-a), 5-1-c), 5-1-e) 33-1, 33-5 et 38-1 du RGPD qu’elle estimait constitués en l’espèce. Son rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
14. Le 14 avril 2025, la société a produit des observations en réponse au rapport de sanction.
15. Le 16 juin 2025, la rapporteure a, en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés (ci-après, " le décret du 29 mai 2019 "), informé la société que l’instruction était close.
16. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 3 juillet 2025.
17. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
 
II. Motifs de la décision
A. Sur le manquement à l’obligation de traiter les données de manière loyale, licite et transparente des données et au principe de responsabilité, articles 5-1-a) et 5-2 du RGPD
18. En droit, aux termes de l’article 5-1-a) du RGPD, " Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ". L’article 5-2 prévoit que " Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité) ".
19. Le considérant 60 du RGPD précise que " tout traitement de données à caractère personnel devrait être licite et loyal. Le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d’une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l'égard des personnes physiques concernées ". Il indique également que " le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées ".
20. S’agissant d’un dispositif de vidéoprotection ou de vidéosurveillance, la CNIL estime en principe que les obligations de transparence ou le droit d’accès du RGPD n’impliquent pas l’affichage ou la communication d’un plan comprenant les emplacements exacts des caméras (CNIL, P, 29 mai 2024, Rejet, Commune de X, 27412, non publié, aux tables Informatique et Libertés), à condition que l’information donne des indications suffisantes sur la zone soumise à vidéoprotection/surveillance. Toutefois, pour satisfaire à l’exigence de loyauté posée par l’article 5-1-a) du RGPD, la CNIL estime qu’en principe, les caméras composant le dispositif doivent être visibles, non dissimulées. Pour autant, comme cela a été admis par la jurisprudence, dans des circonstances exceptionnelles et sous certaines conditions, dont il faut pouvoir justifier, le responsable de traitement peut installer des caméras non visibles par les salariés
21. Dans une affaire de licenciement de membres du personnel d’un supermarché pour vols de marchandises découverts grâce à des caméras de vidéosurveillance dont certaines étaient dissimulées, la Cour européenne des droits de l’homme a jugé que, " si elle ne saurait accepter que, de manière générale, le moindre soupçon que des détournements ou d’autres irrégularités aient été commis par des employés puisse justifier la mise en place d’une vidéosurveillance secrète par l’employeur, l’existence de soupçons raisonnables que des irrégularités graves avaient été commises et l’ampleur des manques constatés en l’espèce peuvent apparaître comme des justifications sérieuses. Cela est d’autant plus vrai dans une situation où le bon fonctionnement d’une entreprise est mis à mal par des soupçons d’irrégularités commises non par un seul employé mais par l’action concertée de plusieurs employés, dans la mesure où cette situation a pu créer un climat général de méfiance dans l’entreprise " (CEDH, Grande Chambre, 17 octobre 2019, Lopez Ribalda et autres c. Espagne, requêtes n° 1874/13 et 8567/13, pt 134).