AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est V du 8 février 2024. 
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence vitale immédiate) et des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit la transmission de certaines données administratives d’identification des participants (nom, prénom, coordonnées postales et téléphoniques) à un psychologue afin d’assurer leur suivi centralisé. 
Les personnes concernées devront en être préalablement informées. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
Durées de conservation en base active et en archivage
Les données administratives d’identification des patients seront détruites à la fin de leur suivi.
 
Autres données
 : 
Base active : quatre ans
Archivage : quinze ans.
 
AUTORISE le CENTRE HOPITALIER LE MANS à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 janvier 2025.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données
Certaines des données de l’étude des déterminants professionnels et sociaux de la santé (cohorte "CONSTANCES") de l’INSERM (demande d’autorisation n°910486 -délibération n°2011-067 du 3 mars 2011) chaînées avec celles du Système national des données de santé (SNDS) seront réutilisées dans le cadre de la présente étude :
 
s’agissant de la cohorte "CONSTANCES", les données collectées entre 2012 et 2024;
s’agissant des données du SNDS (SNIIRAM, PMSI et CépiDC), les données collectées entre 2009 et 2022. Ces données seront mises à disposition via le Centre d’accès sécurisé aux données.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique).
Par ailleurs, la collecte de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes
Les personnes participant à la cohorte "Constances" ont reçu une note d’information individuelle prévoyant un dispositif spécifique d’information auquel ils peuvent se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir de leurs données.
Une note d’information dédiée à la présente étude sera diffusée sur le site web de l’INSERM dédié à la cohorte "Constances". Elle devra être mise à jour afin de comporter l’ensemble des mentions prévues par le RGPD.
Durées d’accès aux données
Cinq ans à compter de la mise à disposition des données.
 
AUTORISE l’NSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est III du 4 décembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des destinataires des données.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Un attaché de recherche clinique (ARC) de la société de recherche contractuelle intervenant en tant que sous-traitant du responsable de traitement aura accès à des données directement identifiantes et des données de santé afin d’aider certains centres investigateurs à saisir les données de l’étude dans le cahier d’observation électronique (eCRF). Le recueil de données par l’ARC dans les dossiers médicaux des participants sera réalisé sous la direction et la surveillance un membre de l’équipe de soin du centre investigateur. Les patients en sont informés. 
Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
Ces personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants
Information des personnes concernées
Toutes les personnes recevront une note d’information.
Durées de conservation en base active et en archivage
Base active : six ans
Archivage : quinze ans.
Réutilisation des données 
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE la société MEDTRUM à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024.
Modifications du traitement de données
La modification envisagée porte sur l’ajout de nouveaux objectifs et le recueil de nouvelles variables issues du SNDS.
 
La note d’information disponible sur le site web du responsable de traitement a été mise à jour.
 
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société BRISTOL MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Ile de France IV du 10 juin 2024.
Point de non-conformité à la méthodologie de référence concernée.
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé) 
Des enregistrements vidéo et vocaux permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude.
Le consentement des participants ainsi que, le cas échéant, de leur représentant légal, sera recueilli pour la réalisation des enregistrements.
Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle.
Une note d’information dédiée sera remise au tuteur du patient. S’agissant des majeurs protégés dont l'état ne leur permet pas de prendre seuls une décision personnelle éclairée, conformément aux dispositions de l’article 70 de la loi informatique et libertés , est destinataire de l'information et exerce les droits de la personne concernée la personne chargée d'une mission de représentation dans le cadre d'une tutelle, d'une habilitation familiale ou d'un mandat de protection future. Le responsable de traitement devra prévoir également la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle. 
Durées de conservation en base active et en archivage 
Les enregistrements vidéo et vocaux seront conservés pendant trois ans et six mois puis détruits. 
 
Autres données : 
Base active : trois ans et six mois
Archivage : quinze ans. 
 
AUTORISE le CENTRE PSYCHOTHERAPIQUE DE NANCY à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024.
Modifications du traitement de données
Les modifications envisagées portent sur :
le traitement des données du SNIIRAM, du PMSI, du CépiDc pour les années 2023 à 2030 (sous réserve de leur disponibilité) ;
la durée d’accès à ces données ;
les modalités d’appariement des données de l’étude avec les données du SNDS.
 
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF avec NIR publiée par la CNIL. A cet égard, les données de l’étude seront saisies par le centre investigateur dans un cahier d'observation électronique centralisé ( eCRF ) contenant le NIR, la date de naissance complète et le sexe qui seront cloisonnés par rapport aux données de l’étude et au numéro d’inclusion (par exemple, dans une table séparée et chiffrée avec une clé spécifique). L’accès à l’eCRF sera sécurisé par une authentification multifacteur.
Aux fins d’appariement, l’eCRF génèrera en interne une table de correspondance pour tous les participants, entre leur NIR, leur sexe leur date de naissance et un identifiant d’accrochage aléatoire et non signifiant. Cette table sera transmise à la CNAM, éventuellement par l’entremise d’un tiers de formatage habilité à utiliser le téléservice SAFE. Les algorithmes et les procédures de gestion de clés de chiffrement devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. A cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. 
Les données du SNDS seront accessibles pendant deux ans à compter de la dernière mise à disposition des données.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE MARSEILLE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024.
Utilisation de données issues du SNDS historique
Composante concernée : CépiDc
Années concernées : 2016 à 2024, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : centre d’accès sécurisé aux données (CASD).
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique).
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. 
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement. Le traitement sera également enregistré au sein du portail de transparence de la Plateforme des données de santé.
Durée d’accès
Cinq ans à compter de la mise à disposition des données.
 
AUTORISE l’INSTITUT NATIONAL D'ETUDES DEMOGRAPHIQUES à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
Les trois responsables de traitement, l’Institut de recherche pour le développement, l’Institut national d’études démographiques et l’association CoopCycle déterminent conjointement les finalités et les moyens du traitement.