AgentPublic/cnil huggingface dataset:
Par ailleurs, le projet de décret modifie certains articles règlementaires du code des transports. A ce titre, il supprime les mentions relatives à la délivrance de l’information au préfet du lieu de l’infraction. Il prévoit également la transmission de données "complémentaires" à l’AESA en cas de refus de se soumettre aux vérifications établissant la preuve de l’usage de substances ou plantes classées comme stupéfiants.
 
Mis en œuvre pour le compte de l’Etat par la DGAC en tant que responsable de traitement, et intéressant la sécurité publique, le traitement doit être autorisé par un décret en Conseil d’Etat sur le fondement de l’article 31.II de la loi "informatique et libertés" en raison du traitement de données sensibles.
II. L’avis de la CNIL
 
A. Sur le régime juridique applicable 
 
S’agissant du régime juridique applicable, le projet de décret a notamment pour objet de permettre le suivi des mesures de police et sanctions administratives prévu par le code des transports dans le cadre des contrôles de l’alcoolémie et de l’usage des stupéfiants.
Les contrôles d’alcoolémie et les opérations de dépistage en matière de stupéfiants sont réalisés, conformément aux articles L. 6225-3 et L. 6225-7 du code des transports, par les officiers ou agents de police judiciaire de la gendarmerie ou de la police nationales territorialement compétents. Ces opérations permettant la détection d’infractions pénales ne sont pas effectuées par la DGAC dont les échanges avec les autorités judicaires permettent uniquement la gestion et le suivi des décisions administratives mises en œuvre par la DGAC.
 
La CNIL prend acte des précisions du ministère sur ce point et estime par conséquent que le traitement ne relève pas de la directive "Police-Justice" dès lors que les dispositions du code des transports et les missions de la DGAC ne permettent pas de considérer que la DGAC est "autorité publique compétente".
B. Sur les finalités 
 
a. Sur le transfert des données hors Union européenne 
 
L’article R. 6225-8 du projet de décret a notamment pour finalité, lorsque la DGAC n’est pas l’autorité compétente, d’assurer la transmission d’informations destinées à informer l’autorité compétente pour la délivrance du titre aéronautique et, le cas échéant, l'autorité compétente pour la surveillance du transporteur aérien.
Cette finalité implique le transfert des données à caractère personnel des personnels navigants ou concourants à la sécurité données hors de l’Union européenne nécessaire pour des motifs d’intérêt public important conformément à l’article 49 1. d) du RGPD.
La CNIL prend acte du motif d’intérêt public important qu’est l’objectif de sécurité aérienne poursuivi par cette finalité. 
 
b. Sur la finalité statistique 
 
Le ministère indique que le traitement des données "complémentaires" a également pour finalité d’établir des statistiques afin de rendre compte de l’activité de surveillance sur le territoire national.
 
Or cette finalité n’est pas prévue au sein de l’article R. 6225-8 du projet de décret.
La CNIL prend acte de l’engagement du ministère de faire figurer cette finalité au sein du projet de décret.
 
C. Sur les données collectées et l’anonymisation des données "complémentaires"
 
L’article R. 6225-9 du projet de décret prévoit en son II la collecte de données "complémentaires".
Le ministère précise que ces données font l’objet d’un risque de réidentification extrêmement faible dès lors que les données "nominatives" définies au I de ce même article sont supprimées dans les conditions prévues à l’article R. 6225-10. Il conclut, à ce titre, au caractère anonyme des données collectées au titre du II. L’analyse du risque de réidentification fournie par le ministère conclut que la DGAC ne sera pas en mesure de réidentifier les personnes testées, en particulier pas celles dont le résultat du test serait positif, en dehors de "circonstances particulièrement exceptionnelles"
 
La CNIL appelle toutefois l’attention du ministère sur le fait que le risque de réidentification ne peut être entièrement écarté. En particulier, la présence de données précises telles que la date, l’heure et le lieu de l’infraction, le numéro de vol, les aérodromes de départ et de destination, le numéro d’immatriculation de l’aéronef, le nombre de membres d’équipage testés et le nombre de tests positifs, est susceptible de permettre la réidentification des personnes concernées, d’autant plus que le nombre de membres d’équipage (conduite et cabine) est limité dans un aéronef.
La CNIL relève en outre que l’analyse du ministère se contente d’évaluer le risque de réidentification du seul point de vue de la DGAC, sans prendre en compte la possibilité que d’autres personnes (accédants, destinataires ou autres tiers) susceptibles d’accéder, légitimement ou non, aux données parviennent à réidentifier des personnes concernées.
Or une telle évaluation doit considérer, tant pour la DGAC que pour toute autre personne, l’étendue des moyens et informations supplémentaires susceptibles d’être raisonnablement accessibles pour réidentifier les personnes concernées. La CNIL rappelle qu’il n’est pas nécessaire que ces informations soient entre les mains d’une seule entité. L’analyse doit donc évaluer les possibilités de combiner les données complémentaires mentionnées dans le II du R. 6225-9 à ces informations supplémentaires.
Afin de contribuer à réduire le risque de réidentification, il appartient par conséquent au ministère de veiller à ce que la suppression des données "nominatives" soit effective, qu’aucune copie de celles-ci ne subsiste, y compris à son insu, et qu’elles ne puissent pas être retrouvées ou inférées par des moyens raisonnables. Il conviendra de limiter le risque d’accès illégitime aux données mentionnées dans le II du projet d’article R. 6225-9, dans la mesure où la réduction de la vraisemblance de tels accès contribue à la diminution du risque de réidentification. Il importe également que la DGAC ne puisse pas, seule ou en coopération avec un tiers, combiner les données du II du R. 6225-9 à des informations supplémentaires.
La CNIL considère qu’en l’absence de ces éléments, l’analyse fournie par le ministère ne permet pas à ce stade d’exclure le risque de réidentification.
 
 
Elle recommande en conséquence de compléter l’analyse de risque de réidentification relatif aux données concernées par le paragraphe II du projet d’article R. 6225-9, en tenant en compte des éléments mentionnés précédemment. La CNIL invite également le ministère à adopter le cadre d’analyse basé sur les trois critères (individualisation, corrélation et inférence) définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (ex-G29).
Si cette analyse complétée ne permettait pas de conclure que le risque de réidentification était insignifiant, les données concernées devraient en principe être considérées comme des données à caractère personnel, soumises à l’ensemble des règles du RGPD.
 
Dans cette hypothèse, la CNIL appelle l'attention du ministère sur les conséquences à en tirer notamment sur la durée de conservation des données "complémentaires" et l’information aux personnes concernées. La CNIL prend acte de ce que le ministère a apporté une justification de leur conservation pendant cinq ans à compter du procès-verbal de constatation de l’infraction, compte tenu des obligations de la direction de la sécurité de l’aviation civile (DSAC) auprès des instances européennes. Elle prend également acte de ce que la mention d’information aux personnes concernées sera précisée.
 
D. Sur les accédants 
 
L’article R. 6225-11 I. du projet de décret prévoit que peuvent avoir accès au traitement, en raison de leurs attributions et dans la limite du besoin d’en connaître, les agents de la DSAC.
 
Le ministère précise que seuls les agents affectés à la direction technique Personnels navigants auront accès aux données à caractère personnel. Ainsi, les personnels compétents seront habilités selon leur fonction.
Ainsi, compte tenu de la sensibilité des données collectées, la CNIL attire l’attention du ministère sur la vigilance à porter sur la gestion des accès. A ce titre, elle estime que les personnels pouvant accéder aux données devraient être individuellement désignés et spécialement habilités par la DGAC, et prend acte de l’engagement du ministère de modifier le projet de décret en ce sens. 
 
E. Sur le droit à l’information
 
L’article R. 6225-12 du projet de décret relatif à l’exercice des droits conférés aux personnes concernées ne comporte pas de mention relative au droit à l’information des personnels concernés.
 
La CNIL invite par conséquent le ministère à compléter le projet de décret s’agissant du droit à l’information et des modalités d’information des personnes concernées en application de l’article 48 de la loi du 6 janvier 1978 modifiée et conformément aux articles 12 à 14 du RGPD.
 
F. Sur le droit d’opposition
 
L’article R. 6225-13 du projet de décret écarte expressément l’exercice du droit d’opposition en application de l’article 56 de la loi du 6 janvier 1978 modifiée.
Le ministère précise que si les dispositions du code des transports imposent ces tests d’alcoolémie et de consommation de produits stupéfiants, il estime que l’ensemble du traitement repose sur une mission d’intérêt public. Le ministère précise ainsi que le droit d’opposition est ainsi écarté sur le fondement de l’article 23 c) du RGPD.
A ce titre, la CNIL rappelle qu’afin de pouvoir valablement apporter des limitations au droit d’opposition des personnes, la mesure normative prise à cet effet doit contenir certaines "dispositions spécifiques" minimales énumérées à l’article 23.2 du RGPD. Aussi, l’article 56 de la loi énonce qu’une telle exclusion doit être prévue par "une disposition expresse de l’acte instaurant le traitement".
La CNIL prend acte de l’engagement du ministère de compléter le projet de décret afin de satisfaire entièrement aux exigences de ces articles. 
Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL. 
 
 
La présidente,
 
 
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Remarque liminaire
La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans le cadre d’une autorisation d’accès précoce. Elle a fait l’objet d’une décision de la Haute autorité de santé du 2 octobre 2025 portant autorisation d’accès précoce de la spécialité VYJUVEK (bérémagène géperpavec).
Sur le point de non-conformité au référentiel concerné 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel RS-003 (accès précoce), à l'exception du responsable de traitement (responsabilité conjointe de traitement).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
 
Responsables de traitement
Les deux responsables de traitement, la société Pharma Blue et la société Krystal Biotech déterminent conjointement les finalités et les moyens du traitement. 
 
Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives.
 
AUTORISE, les 
sociétés pharma blue et krystal biotech à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Remarques liminaires
La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle.
Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) du 17 novembre 2025 établissant un cadre de prescription compassionnelle des médicaments à base de Carvédilol, gélules dans l’indication "Prévention de la décompensation hépatique chez les patients adultes ayant une hypertension portale cliniquement significative. Prophylaxie secondaire de la rupture d’une varice œsophagienne ou gastrique liée à l’hypertension portale chez les patients adultes".
Points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception : 
du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle,
de plusieurs mesures de sécurité. 
 
En dehors de ces exceptions, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel RS-004.
Finalité du traitement 
Le traitement est mis en œuvre à des fins de : 
collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ;
gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. 
Information des personnes concernées 
Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. 
Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. 
 
Les personnes concernées pourront exercer leurs droits auprès : 
du délégué à la protection des données des sociétés Arrow Generiques, Teva Santé, Viatris Santé, EG Labo et Cheplapharm France ,
du professionnel de santé ayant prescrit la spécialité.
Mesures de sécurité 
Le responsable de traitement a réalisé et transmis une analyse d’impact relative à la protection des données qui identifie des non-conformité techniques et organisationnelles au référentiel RS-004, en particulier l’absence de transmission de données de manière chiffrée via une plateforme dédiée (SEC-ECH-1).
A cet égard, le responsable de traitement a présenté un plan d’actions permettant la mise en œuvre d’une plateforme conforme au référentiel dans un délai de deux mois à compter de la publication de la décision de l’ANSM. Une solution transitoire sera déployée dans un délai de cinq jours à compter de la publication de cette décision, afin de sécuriser les échanges de données. 
Les mesures de sécurité devront répondre aux exigences prévues par le f) du 1 de l’article 5 et de l’article 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE DES SOCIETES 
ARROW GENERIQUES, TEVA SANTE, VIATRIS SANTE, EG LABO ET CHEPLAPHARM FRANCE
 à mettre en œuvre le traitement décrit ci-dessus 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Sur le(s) point(s) de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception de certaines mesures de sécurité.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "DATASTAN".
Ce dernier a pour finalités :
la réalisation d’études de faisabilité et repérage (pré-screening) de patients éligibles à des études ; 
la réalisation de projets de recherche, étude, évaluation dans le domaine de la santé (Recherches impliquant la personne humaine et recherches n’impliquant pas la personne humaine)
la production d’indicateurs et appui au pilotage de l’activité : analyse des filières et trajectoires de santé, études médico-économiques ; 
l’évaluation de la qualité, de la sécurité et de la pertinence des prises en charge ainsi que l’amélioration des pratiques professionnelles et des organisations ; 
l’adaptation des stratégies de prise en charge et de prévention, en utilisant des outils d’aide au diagnostic et à la prise en charge ; 
l’amélioration de la qualité de l’information médicale et optimisation du codage de l’information médicale.
Mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel entrepôt de données dans le domaine de la santé, à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.
Conformément à l’exigence SEC-EXP-1 du référentiel, seuls des jeux de données anonymes pourront faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE NANCY à mettre en œuvre le traitement décrit ci-dessus
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sur le point de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception de la base légale du traitement.