AgentPublic/cnil huggingface dataset:
Les données seront conservées avec une profondeur historique de dix-neuf ans plus l’année en cours. A partir de 2008, les données avec une profondeur historique supérieure à vingt ans ne seront pas versées dans l’entrepôt. A compter de la mise en œuvre de l’entrepôt, une extraction annuelle des différentes bases de données sera réalisée. Ces extractions seront conservées un an puis archivées un an. A l’issue de ces durées, les données seront supprimées manuellement.
 
Une procédure relative à cette suppression devra être formalisée par le responsable de traitement et une suppression automatique de ces données devra être mise en place.
Les traces fonctionnelles et techniques seront conservées entre six mois et un an et ne doivent pas contenir de données de santé.
Sur les accédants et les destinataires des données
Seules les équipes de recherche d’Unicancer habilitées, soumises au secret professionnel, pourront accéder aux données, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt HARMONIE . 
Pourront être destinataires des données, selon leur besoin d’en connaître : 
les autorités compétentes commanditaires d’une analyse ou à des fins d’évaluation de la santé publique ; 
les revues scientifiques, aux fins de reproductibilité des résultats, en cas de publication sur la base des données de l’étude ;
les porteurs de projets académiques ou industriels à des fins de réutilisation des données pour leur projet scientifique.
Sur l’information des personnes
S’agissant des participants pris en charge antérieurement à la constitution de l’entrepôt et n’ayant pas fait l’objet d’une prise en charge dans les dix-huit mois préalablement à la constitution :
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions. En l'espèce, il sera fait exception au principe d'information individuelle des participants pris en charge antérieurement à la constitution de l’entrepôt et n’ayant pas été suivis dans les dix-huit mois préalablement à la constitution de l’entrepôt. Des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et via un communiqué de presse et sur les réseaux sociaux, d’une information comportant l’ensemble des mentions prévues par le RGPD. 
 
S’agissant des patients pris en charge dans les dix-huit mois préalablement à la constitution de l’entrepôt :
Une note d’information individuelle leur sera envoyée via courrier postal ou courriel.
S’agissant des patients en cours de suivi ou pris en charge postérieurement à la constitution de l’entrepôt :
Une note d’information individuelle sera remise aux patients et le cas échéant, leurs représentants légaux, à l’occasion d’une visite de suivi. En cas l’absence de visite de suivi avant les premières extractions de données par la CNAM, un courrier postal ou courriel leur sera adressé préalablement au versement de leurs données dans l’entrepôt. 
Le responsable de traitement devra également prévoir des supports d’information spécifiques destinés aux personnes majeures faisant l’objet d’une mesure de protection.
 
Le responsable de traitement ne pourra envoyer l’information par voie électronique que lorsque les établissements fournisseurs de données disposent d’un portail patient et/ ou d’un système de messagerie sécurisée permettant de communiquer directement avec les patients.
S’agissant des utilisateurs de l’entrepôt :
Les utilisateurs de l’entrepôt sont informés de la collecte de leurs données au moment de leur connexion et préalablement à l’envoi de l’identifiant et du mot de passe.
En ce qui concerne la transparence des traitements :
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des études. L’entrepôt sera inscrit au sein du répertoire public de la PDS.
La CNIL demande que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
L’information relative à la constitution de la base de données ne peut se substituer à l’information individuelle préalable prévue par les dispositions du RGPD et de la loi informatique et libertés , qui devra être réalisée pour chaque traitement de données réalisé à partir des données de la base.
Sur la sécurité des données et la traçabilité des actions
Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de l’entrepôt HARMONIE aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité relevés par le responsable de traitement sont les suivants :
l’inclusion du mois de naissance, de l’année de naissance et de la date de décès dans la base de données principale de l’entrepôt ;
l’inclusion du nom de la commune de résidence dans la base de données principale de l’entrepôt ;
certaines mesures de sécurité en cours d’implémentation, décrites ci-après et régularisées avant la mise en œuvre de l’entrepôt dans le cadre d’un plan d’action.
Les non-conformités relatives à l’inclusion des données susvisées dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 15 mai 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 15 mai 2026 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
L’hébergement des données sera réalisé par un hébergeur certifié pour l’hébergement de données de santé et soumis exclusivement aux lois et juridictions de l’Union européenne.
Certaines mesures de sécurité prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment :
la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ;
le cloisonnement des tables de correspondance, ne contenant pas de données directement identifiantes, au sein du même hébergeur, mais sur un système dédié et isolé de la base principale de l’entrepôt et des espaces projet, ne permettant qu’un accès limité à ces tables. Les tables de correspondance seront régénérées chaque année à chaque nouvelle extraction. ;
le cloisonnement des données génétiques selon les exigences du référentiel entrepôt (chiffrement des données avec une clé différente des autres données de santé et un accès aux données via des profils différents de ceux dédiés aux autres données de santé) ;
la durée de conservation des traces fonctionnelles et techniques ;
la journalisation des traces concernant les actions des utilisateurs et administrateurs sur la plateforme technique et sur les données de l’entrepôt à l’aide d’un bastion ;
la sécurisation de l’accès à la bulle sécurisée via une authentification multifacteur couplée à un bastion.
 
La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE, dans ces conditions, la FEDERATION NATIONALE DES CENTRES DE LUTTE CONTRE LE CANCER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le règlement ((UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques) ;
Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
Après avoir entendu le rapport M. Bertrand du Marais, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
Les applications mobiles sont l’un des principaux moyens d’accès à des contenus et des services numériques.
Pour ses utilisateurs, le téléphone mobile multifonctions (ou ordiphone, "smartphone" en anglais), terminal personnel par définition, relève de la sphère privée et intime. Il est essentiel pour chacun de pouvoir contrôler les données auxquelles les applications mobiles ont accès. Pour autant, les traitements de données mis en œuvre au sein des applications peuvent être ou apparaître opaques. En particulier, les informations sur l’existence de collectes de données et sur leurs objectifs sont souvent peu claires. L’utilisateur peut avoir des difficultés à comprendre la nature des autorisations qui lui sont demandées, ce qui complique l’expression de ses choix. Enfin, les mobiles multifonctions embarquent de nombreux capteurs plus ou moins connus des utilisateurs (caméra, GPS, base de contacts, accéléromètres, etc.), qui peuvent permettre aux applications d'accéder à des données dont la collecte peut se révéler très intrusive.
Les acteurs qui participent à la mise à disposition d’applications mobiles doivent s’assurer du respect de leurs obligations en matière de protection des données et des droits des utilisateurs. Ces acteurs sont nombreux : les développeurs d’applications (dont certaines peuvent s’échanger des données), les fournisseurs de systèmes d’exploitation, les gestionnaires de magasins d’applications, les éditeurs de kits de développement logiciel ("software development kits" ou SDK en anglais) liés à des réseaux sociaux ou à des fonctionnalités techniques, etc.
Si les principes et obligations en matière de protection des données sont désormais bien connus des opérateurs de sites web et font l’objet de recommandations de la part de la CNIL, leur mise en œuvre dans le contexte des applications mobiles nécessite d’être précisée.
Cette recommandation, qui a été soumise à consultation publique, vise à clarifier ces règles afin que les acteurs de l’écosystème mobile aient une bonne compréhension de leurs obligations et propose des éléments concrets pour s’y conformer ainsi que des bonnes pratiques.
 
Le document est ainsi structuré :
les parties 1 et 2 introduisent la recommandation et définissent son périmètre ;
la partie 3 rappelle les conditions d’application de la réglementation relative à la protection des données à caractère personnel aux applications mobiles ;
la partie 4 analyse la question des partages des rôles et des responsabilités des différents acteurs dans la fourniture d’une application mobile au sens du règlement général sur la protection des données (RGPD) ;
les parties 5 à 9 regroupent les obligations, recommandations et bonnes pratiques ciblées pour chacune des cinq catégories d’acteurs concernées ;
un glossaire établit une liste des termes techniques utilisés afin de les décrire précisément dans leur contexte.
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée. 
 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
 
 
M.-L. Denis
Annexe 
 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : 
https://www.cnil.fr/sites/cnil/files/2024-09/recommandation-applications-mobiles.pdf
La Commission nationale de l'informatique et des libertés,
 
Saisie par la fédération EUCROF d’une demande d’approbation de son projet de code de conduite destiné aux prestataires de services en recherche clinique,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("Règlement" ou "Règlement général sur la protection des données" ou "RGPD"), notamment son article 40 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu l’avis 12/2024 du Comité européen de la protection des données relatif au code de conduite européen porté par l’EUCROF au titre des articles 63 et 64 du RGPD, adopté le 18 juin 2024 ;
Après avoir entendu le rapport de Madame Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
L’article 40.5 du RGPD prévoit que les associations et autres organismes représentatifs d’un secteur d’activité qui ont l'intention d'élaborer un code de conduite soumettent leur projet à l'autorité de contrôle compétente en vertu de l'article 55 du RGPD. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code respecte le Règlement et approuve ce projet de code si elle estime qu'il offre des garanties appropriées suffisantes.
 
L'article 40.7 du RGPD prévoit que lorsque le projet concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle saisie soumet le projet, avant approbation, au Comité européen de la protection des données (CEPD), conformément au mécanisme de "contrôle de la cohérence".
 
Le 18 mars 2021, la CNIL a été saisie par la fédération EUCROF d’une demande d’approbation portant sur un projet de code de conduite transnational et ce conformément aux dispositions de l’article 40.5 du RGPD.
 
Le 5 février 2024, la CNIL a soumis ce projet de code à l’avis du CEPD, qui a adopté un avis favorable relatif à ce projet le 18 juin 2024.
Le code de conduite répond aux exigences prévues par l’article 40.2 du RGPD : il démontre la représentativité du porteur du code de conduite, précise le champ d’application matériel et le champ d’application géographique de celui-ci et identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. Enfin, il détaille les modalités de consultation des professionnels du secteur et développe une procédure de contrôle de la bonne application du code de conduite par les adhérents.
 
Le code de conduite précise les modalités d’application du RGPD et prend en compte les besoins des professionnels du secteur de la recherche clinique sous contrat conformément aux dispositions de son article 40.1. Par ailleurs, il illustre et apporte des exemples concrets permettant l’application effective du RGPD par les adhérents. Enfin, il comprend de manière claire et précise l’obligation pour les professionnels adhérents de se conformer aux exigences du code de conduite qui est juridiquement contraignant.
Le code de conduite comprend un mécanisme permettant à l’organisme de contrôle de mettre en œuvre ses missions de contrôle de la bonne application du code de conduite par les professionnels adhérents, conformément aux dispositions de l’article 40.4 du RGPD. L’organisme de contrôle désigné par le code de conduite fera l’objet d’un agrément par la CNIL conformément aux dispositions de l’article 41.1 du RGPD.
Le code de conduite comprend une procédure permettant sa mise à jour selon les évolutions juridiques et techniques conformément aux dispositions de l’article 40.2 du RGPD.
 
Conformément aux dispositions de l’article 40.1 du RGPD, le code de conduite contribue à sa bonne application, compte tenu de la spécificité du secteur concerné.
Décide :
De l’approbation du code de conduite européen pour les prestataires de services en recherche clinique porté par l’association EUCROF (European Contract Research Organisation Federation) et annexé à la présente délibération.
 
En cas de modification du code, la CNIL, après en avoir été informée par le porteur du code, décidera si une nouvelle procédure d’approbation est nécessaire conformément aux dispositions de l’article 40.2 du RGPD.
Cette décision sera publiée sur le site Légifrance.
 
 
La présidente,
 
M.-L. Denis
 
Annexe: code de conduite EUCROF
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement a pour finalité la mise en œuvre d’un entrepôt de données à caractère personnel. Cet entrepôt, dénommé " Sog Health ", a pour finalité la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles portant sur :
 
l’analyse de l’efficacité d’un traitement (durée du traitement, indicateurs d’observance et de persistance, charge thérapeutique, schémas thérapeutiques, changements de traitements, effets secondaires, etc.) ;
l’évaluation de la bonne utilisation des médicaments et l’analyse des interactions médicamenteuses ;
l’étude de ressources consommées (consommation de soin) et de coûts de prises en charge des patients intégrables dans des études médico-économiques ;
les outils de régulation sur l’automédication et les traitements alternatifs ;
le suivi des campagnes de vaccination et de dépistage en officine ;
le suivi des ruptures des produits de santé et l’évaluation des alternatives thérapeutiques ;
le suivi de crises épidémiques.
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités " interdites " d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée.
 
Sur les points de non-conformité au référentiel concerné
 
Le dossier de demande mentionne que le traitement mis en œuvre est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de la base légale du traitement.
La CNIL relève néanmoins que la nature des données traitées ainsi que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les sous-traitants 
Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
 
Sur la gouvernance de l’entrepôt
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel " entrepôt de données de santé ".
Sur les données traitées 
 
 
Les données à caractère personnel conservées dans l’entrepôt sont :
 
les données des clients de la pharmacie partenaire
				(code client de la pharmacie pseudonymisé ; année de naissance du client ; sexe du client) ;
les données relatives aux factures et produits délivrés/vendus (identifiant facture pseudonymisé ; date de facture ; nature de l’acte : délivrance, vaccination, préparation magistrale, location de matériel, etc. ; nature de la vente : sur ordonnance, vente conseil ; origine de prescription : ville ou hôpital ; codes et libellés des produits ; remboursable/non remboursable ; quantités délivrées et prescrites ; prix et taux de TVA) ;
les données du professionnel de santé prescripteur :
				code prescripteur pseudonymisé ; la spécialité médicale ; l’unité géographique d’analyse du lieu de prescription ; honoraires de dispensation ;
le code point de vente de la pharmacie.
 
La profondeur historique des données conservées au sein de l’entrepôt ne pourra excéder dix ans à compter de la date du passage en pharmacie.
Sur l’information des personnes concernées
La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi " informatique et libertés ".
Tous les documents d’information (individuelle ou collective) devront :
 
comporter l’ensemble des mentions prévues par le RGPD ;
préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées.
 
S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement :