AgentPublic/cnil huggingface dataset:
- de faire suite aux demandes de droit d’accès des personnes en leur fournissant toute information disponible quant à la source qui a permis le versement de leurs données de contacts dans la base de données de la société ;
- et de faire droit aux demandes de droit d’accès des personnes à l’origine des saisines […] dans les mêmes conditions, avant suppression des données relatives aux saisines […]. "
Cette injonction était assortie d’une astreinte de dix mille (10 000) euros par jour de retard à l’issue d’un délai de six mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai. 
2. Le 30 mai 2025, dans le délai fixé par la délibération, la société a adressé à la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant les mesures mises en œuvre. Celles-ci ont consisté en l’effacement de la base de données de la société - emportant ainsi la suppression de toutes les données qu’elle contenait -, la cessation de toute collecte de données sur le réseau social LinkedIn, la modification du mécanisme de renouvellement automatique de la durée de conservation des données en cas de mise à jour du profil, la fourniture d’une information des personnes concernées par le traitement dans toutes les langues officielles de l’Union européenne, et la transmission des réponses apportées aux demandes de droit d’accès des plaignants.
3. Par courrier du 28 novembre 2025, les services de la CNIL ont demandé des précisions à la société s’agissant de sa nouvelle politique en matière de conservation des données afin de s’assurer de sa conformité avec les termes de l’injonction. Par ailleurs, les services de la CNIL ont signalé à la société qu’une demande de droit d’accès demeurait toujours sans réponse de sa part. 
4. Le 25 décembre 2025, la société a complété les éléments précédemment transmis en confirmant qu’elle avait bien mis fin au mécanisme de renouvellement automatique de conservation des données visé dans l’injonction. Elle a également produit une capture d’écran permettant de constater qu’elle avait répondu à la dernière demande d’accès visée dans l’injonction, les services de la CNIL lui ayant rappelé les coordonnées de la personne concernée.
II. MOTIFS DE LA DECISION
5. En premier lieu, s’agissant de la licéité du traitement, la formation restreinte relève que la société a, d’une part, supprimé l’intégralité de sa base de données et, d’autre part, qu’elle a mis fin au mécanisme d’extraction des coordonnées des personnes sur LinkedIn. La formation restreinte constate ainsi que plus aucune donnée ayant été collectée illicitement ne figure dans la base de données et que la collecte des données depuis LinkedIn s’effectue désormais dans le respect de l’article 6 du RGPD.
6. En deuxième lieu, s’agissant de la durée de conservation des données, la formation restreinte note qu’il ressort des éléments fournis par la société qu’il n’existe plus de mécanisme de renouvellement automatique de la durée de conservation de 5 ans d’un profil professionnel dans la base de données KASPR à chaque changement de poste ou d’employeur des personnes cibles. La société ayant par ailleurs supprimé sa base de données, elle ne détient plus de données ayant été collectée depuis plus de cinq ans. 
7. En troisième lieu, s’agissant de la transparence et de l’information des personnes, la formation restreinte observe que la société a mis en place une information par courriel des personnes dont les coordonnées ont été collectées et intégrées dans la base de données de KASPR, qui renvoie vers un lien leur permettant d’exercer leur droit d’opposition. Ce courriel d’information est disponible dans toutes les langues officielles de l’Union européenne, ce qui permet de garantir une information transparente.
8. En quatrième lieu, s’agissant de l’exercice du droit d’accès, la formation restreinte relève qu’il ressort des éléments fournis par la société qu’elle a répondu aux demandes d’accès formulées par les plaignants, qui étaient visées dans l’injonction, et que, lorsque leur demande portait également sur l’opposition au traitement de leurs données, la société les a informés de la suppression de sa base de données.
9. Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
- de dire n’y avoir lieu à liquidation de l’astreinte ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2024-020 du 5 décembre 2024.
Le président
Philippe-Pierre Cabourdin
N° de demande d’avis : 2241438
Thématiques : Recherche scientifique (hors santé)
Organisme(s) à l’origine de la saisine : Université Lumière Lyon 2
Fondement de la saisine :
Article 44.6° d
e la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
 
L’université Lumière Lyon 2 a saisi la CNIL pour avis sur un traitement de données à caractère personnel poursuivant une finalité de recherche scientifique. Ce traitement permettra d’étudier l’état du droit de la filiation procréative des personnes transgenres.
 
Le traitement n’appelle pas d’observations particulières de la CNIL, sauf pour ce qui concerne les modalités de partage des responsabilités et les risques de réidentification au regard du nombre réduit de personnes concernées. 
 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
Sur proposition de Mme Aminata Niakaté, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le traitement projeté s’inscrit dans le cadre d’un projet de recherche scientifique mis en œuvre à la demande du centre de recherches critiques sur le droit (CERCRID) de l’université Lyon 2.
 
Cette recherche en sciences sociales, qui mobilise plusieurs disciplines (droit, psychologie, sociologie, etc.), vise à permettre :
une meilleure compréhension du cadre juridique et du vécu des personnes transgenres et des professionnels qui interviennent sur la question de la filiation procréative ; 
d’identifier des leviers juridiques efficaces pour reconnaître la filiation procréative des personnes transgenres. 
 
B. L’objet de la saisine
 
La CNIL a été saisie pour avis, par l’université Lumière Lyon 2, sur un traitement de données à caractère personnel mis en œuvre pour réaliser cette recherche. 
 
Dans la mesure où il est susceptible de porter sur des données sensibles au sens de l’article 9 du RGPD (notamment des données de santé, relatives à l’orientation sexuelle, ou encore aux opinions politiques ou religieuses), le traitement fait l’objet d’un avis préalable de la CNIL conformément aux dispositions de l’article 44.6° de la loi informatique et libertés . 
 
Il a pour base légale l’exercice d’une mission d’intérêt public, au regard des missions de l’université en matière de recherche scientifique (article L. 123-2 et L. 123-3 du code de l’éducation). 
 
II. L’avis de la CNIL
A. Sur la responsabilité du traitement
 
Il ressort de l’analyse d’impact relative à la protection des données (AIPD) que l’université Lumière Lyon 2 met en œuvre le traitement en co-responsabilité avec plusieurs autres universités. 
 
La CNIL rappelle que le responsable de traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (article 4.7 du RGPD). Des cas de responsabilité conjointe sont possibles dès lors que deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement (article 26 RGPD). La répartition des responsabilités découle d’une analyse juridique qui doit être réalisée au cas par cas, à la lumière du rôle effectif de chaque acteur dans la définition des contours du traitement (v. CEPD, lignes directrices 07/2020 concernant les notions de responsable de traitement et de sous-traitant dans le RGPD, §82). 
 
Au regard de ces éléments, la CNIL estime qu’il conviendrait :
de définir et de préciser, dans l’AIPD, les responsabilités de chacun des acteurs ; 
d’établir le cas échéant des conventions de co-responsabilité ou de sous-traitance. 
 
B. Sur les données traitées
 
Les données nécessaires à la recherche seront issues : 
d’entretiens avec les personnes concernées et les professionnels du secteur ;
de décisions de justice extraites de la base de données Jurica de la Cour de Cassation ; 
d’articles de presse. 
 
a. S’agissant des mesures de minimisation des données 
 
Concernant en particulier les entretiens, l’AIPD énumère les catégories de données susceptibles d’être collectées dans ce cadre.
 
Selon les précisions apportées, la conduite des entretiens ne sera pas encadrée de manière à ce que les réponses obtenues soient les moins orientées possibles. Les entretiens seront réalisés au domicile de la personne, parfois en présence de sa famille, et enregistrés au dictaphone.
 
Dès lors, l’enregistrement des entretiens présente un risque de collecte incidente de données à caractère personnel concernant les personnes concernées ou leurs proches. 
 
La CNIL rappelle que les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément à l’article 5-1-c du RGPD. Dans cette perspective, elle recommande de définir autant que possible, en amont des entretiens, les questions pertinentes.
 
b. S’agissant des risques de réidentification des personnes
Les décisions de justice collectées comporteront les communes de naissance des personnes concernées. Selon les précisions apportées, la collecte de telles données ne vise pas à identifier ces personnes mais à contacter le tribunal et la commune d’où émane la décision en question, afin de recueillir les témoignages du personnel ayant travaillé sur les cas identifiés. 
 
La CNIL souligne les risques de réidentification qu’implique le traitement de ces données dès lors que la recherche concerne un nombre très limité de personnes. Elle prend acte des mesures prises pour atténuer ces risques et notamment la limitation de l’accès aux entretiens à certains chercheurs ayant besoin de traiter les données dans le cadre de la recherche. Les décisions issues de Jurica seront accessibles à un groupe de chercheurs distinct. 
 
C. Sur l’information des personnes 
 
Une notice d’information individuelle sera distribuée aux personnes concernées lors des entretiens, conformément à l’article 13 du RGPD. 
 
La CNIL estime que cette notice devrait être complétée en indiquant, notamment : 
la base légale du traitement ; 
les destinataires des données ; 
les durées de conservation. 
 
D. Sur les mesures de sécurité
La CNIL note que les données brutes, notamment celles issues des entretiens, qui sont susceptibles de contenir des informations identifiantes et sensibles, seront temporairement copiées et sauvegardées sur des serveurs universitaires (ou de l’infrastructure Humanum) et des ordinateurs personnels des chercheurs, avant d’être versées sur l’outil Resana et supprimées de ces serveurs et ordinateurs. Afin que ce mode de fonctionnement n’entraîne pas de risque supplémentaire pour la confidentialité des données, il conviendra de s’assurer régulièrement que les données sont effectivement effacées des serveurs et ordinateurs en question.
 
La transcription des entretiens sera, avant analyse, rendue pseudonyme de manière non automatisée, par exemple en remplaçant ou supprimant les données susceptibles de permettre l’identification. Compte tenu de l’échelle de l’étude et de son objet, cette méthode apparaît adéquate pour minimiser l’exposition des personnes concernées dans le cadre de l’étude elle-même. 
 
La CNIL appelle toutefois l’attention sur le fait que ces mesures sont susceptibles de ne pas être suffisantes pour rendre les données ou citations anonymes en vue de leur publication et recommande, l’utilisation systématique de méthodes supplémentaires pour empêcher l’identification.
 
 
La présidente,
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport de M. Fabien Tarissan, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
 
La numérisation croissante de l’activité économique s’accompagne d’une nette augmentation des menaces cyber, qui se professionnalisent. Les solutions pour y faire face ont évolué pour une sécurité en profondeur basée sur des technologies mêlant intelligence artificielle, mutualisation et utilisation d’informations diverses, prise de décision automatisée, ou encore analyse du comportement des utilisateurs pour les plus avancées.
Ces solutions, comme le serveur mandataire web filtrant, peuvent permettre de répondre à l’obligation de sécurité des données notamment (article 32 du règlement général sur la protection des données ou RGPD). Cependant, elles reposent elles-mêmes sur des traitements de données dont la conformité au RGPD doit aussi être assurée.
Afin d’accompagner les acteurs, la CNIL a élaboré une recommandation sur le déploiement d’un serveur mandataire web filtrant. Un projet de recommandation a été mis en consultation publique du 28 juillet 2025 au 30 septembre 2025 afin de recueillir les retours de l’écosystème. Ceux-ci ont été analysés et le cas échéant pris en compte lors de l’édition de la version finale de la recommandation.
La CNIL adopte par conséquent la présente recommandation. 
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée. 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente
 
M.-L. Denis
Annexe 
Vous pouvez consulter l'intégralité du texte à l'adresse suivante : https://www.cnil.fr/fr/recommandation-serveur-mandataire-web-filtrant
Décision DR-
2026
-032 du 25 février 2026 autorisant le 
centre hospitalier universitaire d’Angers
 à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le développement de modèles d’aide à la détection de deux maladies rares, intitulée "PAI". (Demande d’autorisation n° 925250)
 
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 2 octobre 2025.
Observations liminaires sur le déploiement de la plateforme "Ouest Data Hub" et la responsabilité de traitement
Chaque établissement du Groupement de coopération sanitaire des Hôpitaux universitaires du Grand Ouest (GCS HUGO) a développé un entrepôt de données de santé (EDS) à partir d’une plateforme technique identique : le système eHOP ("entrepôt-Hôpital").
 
Le GCS HUGO s’est doté d’une plateforme technique pour le traitement des données massives en santé, dénommée plateforme "Ouest Data Hub" (ODH). Il est responsable de l’intégration des données sur la plateforme technique, de la pseudonymisation des données de la base projet (deuxième pseudonymisation), de la création de la base projet, de la gestion des comptes utilisateurs projet, de l’attribution des droits sur la base projet, du suivi des traces d’activité des gestionnaires HUGO et des utilisateurs sur l’espace projet.
 
Dans le cadre du déploiement de la plateforme ODH, le CHU de Nantes :
est responsable de l’hébergement des données et de l’exploitation technique de la plateforme ;
met à disposition un espace projet dédié, des outils de gestion des comptes et de gestion des traces d’activité sur la plateforme ;
est responsable de la gestion des comptes gestionnaires.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de :
la nature des données traitées (traitement du NIR à des fins d’appariement entre plusieurs entrepôts de données de santé, date de naissance pour la recherche du statut vital) ;
des destinataires des données directement identifiantes (recherche du statut vital) ;
des modalités d’information de certaines personnes concernées.
 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Finalité et principe de minimisation (méthodologie de la recherche)
L’étude porte sur le développement de modèles d’aide à la détection précoce de deux maladies rares (angiodème bradykinique héréditaire et pseudoxanthome élastique).
 
Pour atteindre cet objectif, cette étude portera sur les données des patients, âgées de 5 à 65 ans, pris en charge :
entre 2010 et 2023 ;
par les centres hospitaliers universitaires (CHU) d’Angers, de Brest, de Nantes, de Rennes et de Tours ;
au sein des services des urgences, de dermatologie, de médecine vasculaire, d’ophtalmologie, de réanimation, d’urologie, de pédiatrie et de médecine interne.
Seuls les patients dont le dossier médical comporte au moins cinq documents seront concernés afin de trouver un équilibre entre l’exploitabilité des données et la diversité dans la volumétrie des dossiers médicaux. Une analyse sera réalisée sur ces documents afin de rechercher des patients potentiellement atteints par une des maladies rares étudiées. Cette analyse consistera dans la détection de mots-clés caractéristiques des symptômes de ces maladies et de signes d'errance médicale qui caractérisent le diagnostic des maladies rares (en particulier, admission dans au moins quatre des services précités).
 
Le nombre total de personnes concernées par cette étude s’explique par la nécessité de disposer d’un nombre suffisant de patients témoins afin d’entraîner les modèles à détecter des signaux faibles dans une population. Des techniques de sous-échantillonnage de la classe sur-représentée et des techniques d'augmentation de la classe sous-représentée de patients atteints d'une maladie rare sont prévues. L’impact de la réduction progressive du nombre de patients négatifs sera documenté pour évaluer la possibilité de minimiser autant que possible le recours à des données à caractère personnel pour l’entraînement des modèles.
 
Ces critères d’inclusion permettent une minimisation des données traitées dans le cadre de cette étude conforme au c) du 1 de l’article 5 du RGPD.
Dans un premier temps, le développement des modèles sera réalisé à partir des données de l’entrepôt "EHOP Angers".
 
Dans un second temps, ces modèles seront validés à partir des données issues des entrepôts "EHOP Rennes", "EHOP Tours", "EHOP Nantes", "EHOP Brest".
Réutilisation des données de bases existantes
Seront réutilisées les données issues de :
l’entrepôt "EHOP Angers" mis en œuvre par le CHU d’Angers (demande d’autorisation n°2215237) ;
l’entrepôt "EHOP Nantes" mis en œuvre par le CHU de Nantes (demande d’autorisation n°2129203) ;
l’entrepôt "EHOP Brest" mis en œuvre par le CHU de Brest (demande d’autorisation n°2217775) ;
l’entrepôt "EHOP Tours" mis en œuvre par le CHU de Tours (demande d’autorisation n°2212853) ;
l’entrepôt "EHOP Rennes" mis en œuvre par le CHU de Rennes (demande d’autorisation n°2212496).
Destinataires des données directement identifiantes
Le statut vital des participants à l’étude sera recherché partir de leurs données nominatives (nom, prénom), leur date de naissance, leur sexe et leur commune de naissance grâce aux données publiques de mortalité disponibles sur le site web de l’Institut national de la statistique et des études économiques (fichier des personnes décédées). Cet appariement sera réalisé par le personnel habilité de chaque responsable des entrepôts de données réutilisés.
Circuit d’appariement
Pour les participants à l’étude ayant été pris en charge dans plusieurs CHU, les données issues des entrepôts feront l’objet d’un rapprochement par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants.
 
Afin d’assurer la pseudonymisation et le chaînage des données du projet, un traitement du NIR est réalisé localement dans chaque établissement, par application d’une fonction de hachage à clé secrète à l’aide d’un logiciel "boîte noire" disposant des secrets spécifiques au projet. Il est traité au sein de la DSI de chaque établissement par une personne en charge de la gestion de l’application administrative du système d’information de l’établissement, soumise au secret professionnel, dans un environnement sécurisé. Cette personne est habilitée à y accéder, dans le cadre de ses missions ; elle sera la seule à accéder à cette donnée pour le projet et ses actions seront tracées.
 
Les données identifiantes et le NIR sont manipulés dans des fichiers temporaires qui ne portent pas le nom de l’étude, sont stockés dans un espace d’accès restreint et sont effacés dès qu’ils ne sont plus utiles. Le NIR n’est pas exporté et le pseudonyme issu de son traitement fait l’objet d’une deuxième pseudonymisation lors de sa réception sur la plateforme ODH.
Information et droits des personnes