AgentPublic/cnil huggingface dataset:
elle rappelle également que les mesures de journalisation mises en œuvre, pour être efficaces, doivent s’accompagner de mécanismes proactifs d’analyse et de levées d’alertes en cas de comportement inattendus provoquant le blocage immédiat des comptes authentifiés concernés jusqu’à la levée du doute par la hiérarchie. Elle invite le ministère à la mise en œuvre de telles mesures. 
 
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la CNIL. 
 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du comité de protection des personnes Sud Méditerranée III du 3 mars 2026 ;
Sur la proposition de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
Le service de prévention et de santé au travail de la RATP s’est engagé dans un partenariat avec l’Agence nationale de santé publique, ayant conduit à la mise en place d’un système de surveillance épidémiologique de la santé des salariés et anciens salariés de la RATP, portant plus particulièrement sur l’analyses des causes de décès.
 
Le service de prévention et de santé au travail de la RATP souhaite à présent compléter son système de surveillance épidémiologique de la santé de ses salariés, notamment par la mise en œuvre d’enquêtes en population professionnelle.
Sur la finalité du traitement et son caractère d’intérêt public :
Le traitement de données a pour finalité une recherche dans le domaine de la santé visant à décrire l’état de santé des travailleurs et ex-travailleurs de la RATP et d’étudier son évolution tout au long de la vie professionnelle et post-professionnelle, afin d’aider à proposer et hiérarchiser des mesures de prévention.
 
La Cohorte STARS regroupera des agents et ex-agents ayant travaillé au moins un an à la RATP, quel que soit leur mode de contrat, depuis le 1er janvier 1980. Les participants seront invités à compléter des auto-questionnaires au format électronique à leur inclusion, puis annuellement, pendant une durée de vingt ans.
 
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément au b) du 1 de l’article 5 du RGPD et que ce traitement présente une finalité d’intérêt public, conformément à l’article 66 I de la loi informatique et libertés .
Sur la licéité des traitements et l’exception permettant de traiter des données concernant la santé :
Le traitement mis en œuvre est nécessaire aux fins des intérêts légitimes poursuivis par la RATP. Ce traitement est, à ce titre, licite au regard du f) du 1 de l’article 6 du RGPD.
 
Ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue au j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé.
Sur la nature des données traitées :
S’agissant des données de la recherche :
Les catégories de données à caractère personnel dont la collecte est envisagée ont été décrites dans le dossier de demande. Cette collecte a été scientifiquement justifiée et a fait l’objet d’un avis favorable du comité de protection des personnes.
S’agissant des modalités d’identification des participants :
Par principe, la première connexion à la plateforme de l’étude s’effectue par le biais d’un code non signifiant généré de manière aléatoire (code 1). Par exception, la première connexion à la plateforme de l’étude s’effectuera par le biais d’un code dérivé à partir du matricule, du sexe, du mois et de l’année de naissance de la personne concernée au moyen d'une fonction de hachage (code 1b).
 
Les réponses aux questionnaires sont conservées sous forme pseudonymisée et indexées à l’aide d’un code non signifiant généré de manière aléatoire (code 2).
 
La consultation, par le participant à l’étude, des données qu’il a préalablement saisies est conditionnée à la création d’un compte et soumise à une authentification multifacteur faisant intervenir a minima deux facteurs d'authentification distincts. À défaut, la plateforme électronique permettra uniquement une saisie de données en ligne sans possibilité de compléter les questionnaires en plusieurs sessions, ni de consulter les données préalablement saisies.
Des rappels peuvent être adressés aux participants par courrier électronique, pour les informer du lancement des campagnes de suivi annuelles et les inviter à compléter les questionnaires en ligne. Les personnes concernées sont préalablement informées du traitement de leurs données à cette fin et peuvent s’y opposer.
 
Les données administratives (coordonnées électroniques, coordonnées téléphoniques) nécessaires à l’authentification multifacteur et/ou à l’envoi de rappels annuels sont indexées au moyen d’un code non signifiant généré de manière aléatoire (code 3).
Sur l'information et les droits des personnes :
Les agents et ex-agents de la RATP sont informés de l’existence du projet de recherche dans le cadre de campagnes de recrutement individuelles ou collectives, menées par le médecin du travail, investigateur principal de l’étude.
 
Cette première modalité d’information doit contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail de l’Article 29 (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. Elle doit également contenir un renvoi vers la note d’information relative à l’étude, comportant l’ensemble des mentions prévues par le RGPD, disponible sur la plateforme électronique dédiée à l’étude.
La note d’information relative à la présente étude sera, par ailleurs, mise à disposition des personnes concernées à la première connexion à la plateforme de l’étude et accessible pendant toute la durée de l’étude.
 
Les personnes concernées pourront exercer leurs droits conformément aux dispositions du RGPD. Par ailleurs, les supports d’information devront indiquer que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence à leur égard, en particulier vis-à-vis de leur employeur.
 
Des campagnes de recrutement pourront être menées annuellement selon les modalités décrites dans le dossier de demande. Les personnes ayant manifesté le souhait de ne pas participer à l’étude ne seront pas recontactées.
Sur les accédants et les destinataires des données :
La CNIL prend acte de l’engagement du responsable de traitement de mettre en œuvre des mesures pour garantir :
la séparation physique et organisationnelle entre les personnes chargées d’une part, de l’analyse des données et d’une part, de la gestion des comptes utilisateurs et de l’envoi des rappels annuels (équipes et procédures d’habilitation séparées) ;
un cloisonnement entre les données traitées dans le cadre de chaque mission (bases de données et applications disjointes, avec des droits d’accès différents).
 
Chaque personne chargée de réaliser une mission n’a accès qu’aux données nécessaires à la réalisation de sa mission.
La table de correspondance entre le prénom et le nom des personnes concernées d’une part et leur code d’accès à la plateforme (code 1 ou 1b) d’autre part, est conservée par le médecin investigateur.
 
Les réponses aux questionnaires sont conservées dans une bulle sécurisée au Centre d'accès sécurisé aux données (CASD) et accessibles à un nombre strictement limité de personnes habilitées et soumises au secret professionnel. Seules des données agrégées issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, seront extraites de la base de données cliniques et rendues accessibles au service de prévention et de santé au travail de la RATP. Une analyse permettant de démontrer que les processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014 sera réalisée préalablement à l’extraction. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
 
Des indicateurs agrégés et anonymisés, établis par le service de prévention et de santé au travail, pourront alimenter des rapports à destination de la RATP.
Sur la durée de conservation des données :
Les codes d’accès à la plateforme (code 1 et 1b) n’ayant pas été utilisés par les personnes concernées seront rendus inactifs et supprimés au terme de la période d’inclusion. Les personnes concernées en sont informées.
 
Les données administratives (coordonnées électroniques, coordonnées téléphoniques) nécessaires à la gestion des comptes utilisateurs ou à l’envoi de rappels annuels sont supprimées en cas d’opposition de la personne concernée au traitement de ses données ou à sa participation à l’étude, ou au terme de quatre campagnes consécutives de suivi auxquelles la personne concernée n’a pas participé.
 
Les données cliniques sous forme pseudonymisée sont conservées en base active pendant une durée de vingt-deux ans, puis font l’objet d’un archivage intermédiaire pendant une durée de quinze ans.
 
Le traitement envisagé devra être conforme, dans ses autres caractéristiques, aux dispositions de la délibération n° 2026-051 du 19 mars 2026 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé et ne nécessitant pas le recueil du consentement de la personne concernée en vue de la participation à la recherche (MR-003) et abrogeant la délibération n° 2018-154.
 
Dans ces conditions, la CNIL autorise la Régie autonome des transports parisiens à mettre en œuvre le traitement de données à caractère personnel.
 
 
La présidente,
 
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par la société APM International d’une demande de modification de la délibération n°2023-020 du 9 mars 2023 portant décision unique et autorisant la société "APM International" à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation dans le domaine de la santé nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 janvier 2026 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
Sur le responsable de traitement :
La société APM International (ci-après "la société APM") est une agence de presse spécialisée dans le secteur de la santé. Elle dispose de plusieurs services en ligne tels qu’APM News, un service d’information qui offre l’accès à des articles ou à des rapports, et APM Intelligence, qui permet la consultation structurée d’informations et de données par établissement de santé ou groupe d’établissements.
 
Dans le cadre de son activité d’information des professionnels de santé, elle traite des sujets en lien avec la politique de santé, les établissements publics et privés, l’actualité scientifique et la vie des industries de santé. Son projet éditorial prévoit, en sus du traitement des actualités du secteur de la santé, l’analyse du paysage hospitalier et la réalisation d’analyses ciblées à des niveaux nationaux ou régionaux des politiques de santé, notamment à partir de données disponibles de façon ouverte (open data).
 
Sur l’opportunité du renouvellement de la décision unique précédemment délivrée par la CNIL :
Le 9 mars 2023 la société APM International a été autorisée par la CNIL à mettre en œuvre pendant trois ans des traitements de données à caractère personnel à partir de certaines données du PMSI afin d’analyser l’évolution du paysage hospitalier avec la construction d’indicateurs d’activité liés aux soins par établissement, groupe d’établissements, catégories d’établissements ou par région, au regard des politiques publiques mises en place. Les méthodes de calcul de ces indicateurs (qui demeurent inchangées) étaient décrites dans le dossier de demande. 
 
Il ressort du bilan transmis à la Commission que sept traitements ont été mis en œuvre suivant, pour chacun d’eux, un protocole scientifique précis.
 
La société APM sollicite un renouvellement de l’autorisation précédemment délivrée afin d’accéder aux données du PMSI pour continuer à mettre en œuvre annuellement ces traitements, pendant cinq ans. Cette demande a fait l’objet d’un avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé.
 
Sous réserve que ces fichiers soient diffusables par l’Agence technique de l’information sur l’hospitalisation (ATIH), outre le fichier spécifique permettant de relier toutes les données du PMSI concernant un même patient (fichier "ANO"), les données concernant les activités suivantes sont nécessaires à la réalisation de ces nouvelles études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
hospitalisation à domicile (HAD) ; 
fichier complémentaire (FICHCOMP).
 
La société APM sollicite un accès aux données nationales du PMSI de l’année 2019 (uniquement pour certaines études) ainsi que des 2025 à 2029, en fenêtre roulante, sous réserve qu’elles soient diffusables par l’ATIH. Ces données seront hébergées via la solution technique du Centre d’accès sécurisé aux données (CASD).
 
Ces traitements répondent à une même finalité, la réalisation d’études destinées à la construction d’indicateurs d’activités pour les établissements, groupes d’établissements ou groupements hospitaliers, portent sur des catégories de données identiques - en l’espèce, les données du PMSI - et dont les catégories de destinataires sont identiques - les personnes habilitées par la société APM.
 
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée, la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV de cette loi.
Les autres caractéristiques des traitements envisagés (finalité des traitements, base légale ; exception pour traiter les données sensibles ; modalités d’information et d’exercice des droits des personnes, modalités de transparence, sécurité des données, durée d’accès aux données) devront être conformes à celles décrites dans la délibération n°2023-020 du 9 mars 2023 portant décision unique et autorisant la société "APM International" à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation dans le domaine de la santé nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI).
Autorise, conformément à la présente délibération, la société APM International à mettre en œuvre les traitements décrits ci-dessus pendant une durée de cinq ans, avec obligation de remise d’un bilan à la Commission à l’issue de ce délai. 
 
 
 
 La Vice-présidente déléguée,
 
 
S. Lambremon
N° de demande d’avis : 26008964
Thématique : démarchage téléphonique, DGCCRF 
Organisme(s) à l’origine de la saisine : Ministère des petites et Moyennes Entreprises, du Commerce, de l’Artisanat, du Tourisme et du Pouvoir d’Achat
Fondement de la saisine : article 8, I, 4°, a) de la loi "informatique et libertés"
 
L’essentiel :
 
L
e projet de décret précise les modalités de recueil et de conservation du consentement du consommateur à des fins de prospection commerciale par voie téléphonique en application de l’article L. 223-1 du Code de la consommation.
 
La CNIL recommande au ministère de prévoir, dans le projet de décret, une clause d’articulation explicite avec le RGPD afin de préciser que les informations fournies au consommateur au titre de cet article peuvent être délivrées conjointement à celles requises en application du RGPD.
 
Enfin, la CNIL appelle à une mise en cohérence entre les dispositions du projet d’article R. 223-1 I et II (informations à fournir au consommateurs et informations conditionnant la validité du consentement). Elle invite également le ministère à prévoir l’obligation d’informer les consommateurs sur le droit de retirer leur consentement. 
 
­­­­­­­­­­­­­­­­­­­­___________________
 
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; 
Vu le code de la consommation, notamment ses articles L. 221-16 et L. 223-1, dans leur rédaction issue du II de l’article 13 de la loi n° 2025-594 du 30 juin 2025 contre toutes les fraudes aux aides publiques ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de Monsieur Damien Milic, commissaire du Gouvernement ;
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte de la saisine
 
Malgré les réformes successives engagées depuis une dizaine d'années, le démarchage téléphonique demeure une source importante de mécontentement des consommateurs.
Les débats parlementaires ayant conduit à l'adoption de la loi n° 2025-594 du 30 juin 2025 contre les fraudes aux aides publiques ont mis en évidence l'ampleur du rejet suscité par ces pratiques : au-delà de la gêne occasionnée, le démarchage téléphonique est progressivement devenu l'un des principaux vecteurs de fraude, notamment dans les secteurs bénéficiant d'aides publiques ou s'adressant à des publics vulnérables (secteur de la rénovation énergétique ou compte personnel de formation). A l’objectif de protection de la tranquillité des personnes s'est progressivement ajouté celui de lutte contre la fraude et de la préservation de la confiance dans les dispositifs publics.
C’est dans ce contexte que le législateur a choisi de faire évoluer les règles du démarchage téléphonique. L’article 13 de la loi précitée modifie à cette fin l’article L. 223-1 du code de la consommation. Il renforce les restrictions applicables aux activités de prospection commerciale par voie téléphonique : alors que le régime antérieur reposait principalement sur la possibilité, pour le consommateur, de manifester son opposition au démarchage téléphonique, notamment en s’inscrivant à la liste dite "Bloctel", le démarchage téléphonique sera soumis au recueil préalable du consentement du consommateur à partir du 11 août 2026, sauf lorsque la sollicitation intervient dans le cadre de l'exécution d'un contrat en cours et a un rapport avec l'objet de ce contrat. Le nouveau régime renforce également les restrictions applicables aux activités de prospection commerciale par voie téléphonique dans les secteurs bénéficiant de financements publics, notamment ceux liés à l'adaptation des logements au vieillissement ou au handicap.
 
B. L’objet de la saisine 
La CNIL a été saisie, en urgence, le 18 mai 2026, par le Ministère des petites et moyennes Entreprises, du commerce, de l’artisanat, du tourisme et du pouvoir d’achat, d’une demande d’avis sur un projet de décret d’application de cette disposition.
 
Le projet vise notamment à préciser les modalités de recueil, de conservation, d’accès et de retrait du consentement. 
 
II. L’avis de la CNIL
A.Sur l’articulation entre le droit de la consommation et la règlementation relative à la protection des données à caractère personnel 
 
L’article L. 223-1 du Code de la consommation, dans sa rédaction applicable à compter du 11 août 2026, définit le consentement comme une "manifestation de volonté libre, spécifique, éclairée, univoque et révocable par laquelle une personne accepte, par un acte positif clair, que des données à caractère personnel la concernant soient utilisées à des fins de prospection commerciale par voie téléphonique". Le texte précise en outre qu'il appartient au professionnel d'apporter la preuve de ce consentement. Cette définition reprend très largement les exigences issues des articles 4(11) et 7 du RGPD, auxquelles les travaux parlementaires ont explicitement entendu se référer. 
 
Toutefois, les informations devant être portées à la connaissance du consommateur au moment du recueil de son consentement au titre du projet d’article R. 223-1-I diffèrent de celles imposées par le RGPD, tel qu’interprété par les lignes directrices 5/2020 du comité européen de la protection des données (CEPD) sur le consentement. 
 
D’une part, le projet de décret introduit plusieurs exigences spécifiques au secteur du démarchage téléphonique relatives notamment aux éléments suivants :
Les informations devant être portées à la connaissance de la personne concernée lors du recueil du consentement : l’identité du tiers agissant pour le compte du professionnel (qui peut être un sous-traitant), l’objet de la sollicitation téléphonique (type de bien ou de service proposé au consommateur, ce qui va plus loin que le concept de finalité au sens du RGPD), la période pendant laquelle le consommateur consent à être démarché et, le cas échéant, la date ou le jour et l’horaire auxquels le consommateur accepte d’être appelé, dès lors qu’il accorde son consentement exprès à être contacté en-dehors des jours plages horaires autorisés par la réglementation.
La durée de validité du consentement puisque le projet d’article R. 223-1-I impose au professionnel de solliciter un nouveau consentement tous les six mois à compter de la date de son recueil. Le ministère souhaite toutefois porter ce délai à un an afin de ne pas faire peser une charge administrative disproportionnée sur les entreprises devant appliquer le nouveau régime de démarchage téléphonique au regard de l’objectif de protection du consommateur.