AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé)
Les données issues des deux bases de données suivantes seront réutilisées dans le cadre de la présente étude :
les données de la base de données E-DO mise en œuvre par l’Agence nationale de santé publique (délibération n° 2019-002 du 10 janvier 2019) ayant pour finalité un traitement de surveillance du VIH et de la tuberculose par un dispositif dématérialisé de déclaration obligatoire, 
les données collectées entre 2004 et 2024 par l’Equipe Mobile de Lutte contre la Tuberculose du Samusocial de Paris dans le cadre de la prise en charge des patients.
Information et droits des personnes
En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et par voie d’affichage au sein du local de l’Equipe mobile de lutte contre la tuberculose d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
Durées d’accès et de conservation
Les données mises à disposition par l’Agence nationale de santé publique seront conservées un an et trois mois puis seront supprimées.
Les autres données collectées seront conservées durant trois ans et trois mois en base active puis seront supprimées.
 
AUTORISE le SAMUSOCIAL DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Sud-Méditerranée I du 28 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR003, à l’exception de la nature des données traitées (traitement de données du Système national des données de santé (SNDS).
En dehors de ce point, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Modification substantielle du traitement de données 
La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2017 à 2024.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ouest VI du 16 avril 2024.
Modifications substantielles du traitement de données
Les modifications portent sur :
la profondeur historique des données dont le traitement est envisagé, qui porte désormais sur les années 2017 à 2030 ;
l’allongement de la durée d’accès aux données qui est désormais de cinq ans, à compter de la dernière mise à disposition des données.
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)) et des modalités d’information des personnes concernées.
En dehors de ces points qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Seront réutilisées dans le cadre de la présente étude :
les données de l’étude ORICAMs (demande d’autorisation n° 912327) ;
les données issues du système de surveillance " SISERI " mise en œuvre par l’IRSN (arrêté du 23 juin 2023 relatif aux modalités d'enregistrement et d'accès au système d'information et de surveillance de l'exposition aux rayonnements ionisants " SISERI ").
Catégories particulières de données traitées (autres que données de santé)
Les données de l’étude " ORICAMs-SNDS " feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants qui sera recueilli à partir du système de surveillance SISERI de l’IRSN.
Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Utilisation de données issues du SNDS historique
Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du système national d'information interrégimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2006 à 2026.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité " SNDS ".
Information et droits des personnes
En application de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et la par voie d’affichage au sein des services de médecine du travail de chaque centre d’activité médicale inclus d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD.
 
Mesures de sécurité
Les données seront consolidées et analysées sur la plateforme du Centre d’accès sécurisé aux données (CASD). Toute donnée nécessaire à la préparation de la base, telle que la table de correspondance, devra être supprimée dans les meilleurs délais après consolidation de la base.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
 
Durée d’accès/ Durées de conservation en base active et en archivage
Données du SNDS : cinq ans à compter de la dernière mise à disposition des données.
Le NIR, le sexe et la date de naissance de naissance complète des participants ne sera pas conservé après l’appariement.
 
Autres données :
Base active : cinq ans.
Archivage : vingt ans.
Réutilisation des données
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
Observations particulières
Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de la santé sont des entrepôts de données. Lorsque ces bases contiennent des données issues du SNDS, leur mise en œuvre doit faire l’objet d’une autorisation de la CNIL, conformément aux dispositions de l’article L. 1461-3 II du code de la santé publique.
AUTORISE l’INSTITUT DE RADIOPROTECTION ET DE SURETE NUCLEAIRE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de vingt-quatre mois supplémentaires.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR004, à l’exception de la nature des données traitées (traitement de données du Système national des données de santé (SNDS) et des modalités d’information d’une partie des personnes concernées.
En dehors de ces points, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Information et droits des personnes
S’agissant des participants ayant reçu une note d’information individuelle lors de la constitution de l’entrepôt EMR, prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt :
Conformément à la MR004, les personnes concernées par la recherche et/ou leurs représentants légaux doivent être préalablement et individuellement informés lors d’un traitement de leurs données à caractère personnel, ayant pour finalité une recherche. L’information dispensée doit alors être conforme aux dispositions des articles 13 ou 14 du Règlement général sur la protection des données (RGPD). Par exception, des données peuvent faire l’objet d’une réutilisation sans qu’il soit procédé à une nouvelle information individuelle des personnes concernées notamment lorsque l’information délivrée lors de la collecte des données prévoit la possibilité de réutiliser les données, et renvoie à un dispositif spécifique d’information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données (par exemple un portail de transparence).
Dans cette hypothèse, le portail de transparence auquel renvoie la note d’information initiale doit contenir, pour chaque projet de recherche ultérieur, une information comportant l’ensemble des mentions prévues par le RGPD. Les liens mentionnés dans les notes d’information doivent être à jour et fonctionnels afin d’assurer l’accessibilité de l’information aux personnes concernées.
Une note relative au projet de recherche sera rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD et indiquer les modifications substantielles apportées au traitement.
 
S’agissant des participants ayant reçu une note d’information individuelle lors de la constitution de l’entrepôt EMR qui ne prévoyait pas de dispositif spécifique d’information auquel ils auraient pu se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt :
En application de l'article 69 de la loi Informatique et Libertés et de l’article 14, 5, b), du Règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude (la société PFIZER) et du responsable de traitement de la base EMR (la société IQVIA Opérations France) d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Observations particulières
Cette étude implique une réutilisation des données de l’entrepôt EMR dont IQVIA est responsable de traitement. Les conditions prévues par l’autorisation encadrant la constitution et la mise en œuvre de cet entrepôt (délibération n°2021-015 du 4 février 2021) devront être respectées dans le cadre de la recherche EPHEBIA .
 
AUTORISE PFIZER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Ile de France VII du 8 août 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégories particulières de données traitées (autres que données de santé)
La collecte des nom, prénom, ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer le suivi des patients qui en sont informés. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Durées de conservation en base active et en archivage 
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et électroniques) seront détruites à la fin du suivi des participants.
 
Autres données :
Base active : 5 ans
Archivage : 15 ans
Réutilisation des données/ échantillons biologiques
Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.