AgentPublic/cnil huggingface dataset:
Le groupement d’intérêt public "Plateforme de données de santé" (PDS) assurera l’hébergement des données de l’étude. La CNIL estime que la PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre la Fédération ANTADIR et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée entre les parties.
Plusieurs sous-traitants interviendront dans la mise en œuvre de l’étude. Le traitement des données par chacun d’entre eux devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Utilisation de données issues de la base principale du SNDS
Composantes concernées : SNIIRAM, PMSI et Vaccin-covid
Années concernées : 2007 à 2024, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : solution technique de la PDS
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion sur le site web du responsable de traitement et du sous-traitant d’une note d’information relative à l’étude. Elle devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD. 
Mesures de sécurité
La sécurité des données de l’espace projet dédié au projet "VIVRE" dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et de l’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Une homologation de la solution technique, conforme au référentiel de sécurité applicable au SNDS, et incluant l’espace projet mis à disposition du responsable de traitement, a été réalisée par la PDS le 22 juillet 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’elle a défini. La Fédération ANTADIR devra s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.
Transferts hors Union européenne 
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP.
En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Durée d’accès
Les données du SNDS seront accessibles pendant trois ans à compter de la mise à disposition des données puis détruites.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE la FEDERATION ANTADIR à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Modification du traitement des données
La modification envisagée porte sur la mise à disposition des données pour les années 2018 à 2023.
Les autres conditions de mise en œuvre de l’étude demeurent inchangées.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 septembre 2025.
Modification du traitement de données 
La modification envisagée porte sur la collecte du code postal de la commune de résidence des personnes concernées. Cette collecte a été scientifiquement justifiée.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, 
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; 
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025.
Modification substantielle du traitement de données
La modification envisagée porte sur l’ajout des coûts associés aux données de consommation de soins déjà analysées.
Les autres conditions de mise en œuvre de l’étude demeurent inchangées. 
 
AUTORISE la société STALLERGENES-GREER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
N° de demande d’avis : 25013981
Thématiques : lutte contre les ingérences numériques étrangères ; moissonnage.
Organisme(s) à l’origine de la saisine : Secrétaire général de la défense et de la sécurité nationale (SGDSN)
Fondement de la saisine : Article 31-II de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL prend acte des justifications présentées par le SGDSN pour l’élargissement du périmètre des sources de données à caractère personnel collectées et l’allongement des durées de conservation de ces données, compte tenu des caractéristiques de la menace informationnelle, telle qu’elle est présentée par le service Viginum. Elle considère que le projet de décret comporte des garanties propres à assurer le respect du principe de minimisation des données lors de la collecte des données qui est rendue possible dès la phase de veille/détection.
Elle recommande au SGDSN de compléter le projet de décret afin de fixer les catégories de destinataires des notes d’analyse. Elle relève que la nouvelle mission de recherche et développement implique la réutilisation des données collectées par Viginum pour une nouvelle finalité, de conception, d’entraînement et de développement d’outils utilisant l’IA en appui aux missions du service. Elle recommande de préciser les personnes susceptibles d’avoir accès aux données pour cette finalité. Elle rappelle qu’une telle réutilisation devra respecter le principe de minimisation, qui doit conduire le service à ne traiter que les données strictement nécessaires au développement d’outils, d’algorithmes et de modèles.
 
Enfin, la CNIL adresse diverses recommandations au SGDSN pour garantir la conformité des traitements de données prévus, et souligne l’importance des analyses qui seront menées par Viginum avant toute diffusion des modèles produits dans le cadre de la nouvelle mission de recherche et développement.
 Elle souligne le rôle du CES dans le contrôle du traitement mis en œuvre par Viginum, et insiste sur l’importance qu’il dispose des moyens humains et techniques nécessaires à l’accomplissement de sa mission.
 
***
La Commission nationale de l'informatique et des libertés,
Saisie par le secrétaire général de la défense et de la sécurité nationale d’une demande d’avis concernant un projet de décret relatif aux missions et moyens du service de vigilance et de protection contre les ingérences numériques étrangères ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment le II de son article 31 et son titre IV ;
Après avoir entendu le rapport de Mme Isabelle Latournarie-Willems, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
I. La saisine
 
A. Le contexte
 
Le service de vigilance et de protection contre les ingérences numériques étrangères (Viginum) est un service à compétence nationale créé par le décret n° 2021-922 du 13 juillet 2021, rattaché au secrétaire général de la défense et de la sécurité nationale (SGDSN). La mission principale de Viginum est de détecter et de caractériser des ingérences numériques étrangères (INE) impliquant, de manière directe ou indirecte, un État étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée d’allégations manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation.
Le décret n° 2021-1587 du 7 décembre 2021, pris après avis de la CNIL (délibération n° 2021-116 du 7 octobre 2021), autorise Viginum à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la caractérisation d’opérations d’INE grâce à la collecte et l’exploitation des contenus publiquement accessibles sur Internet, publiés par les utilisateurs des opérateurs de plateformes en ligne.
Le SGDSN expose que la menace informationnelle a évolué et se caractérise désormais par une sophistication croissante des modes opératoires et par une diversification grandissante de ses vecteurs (notamment l’intelligence artificielle et les mécanismes algorithmiques des plateformes) et de ses cibles (publics vulnérables, institutions, médias, acteurs privés, organisations non gouvernementales, etc.). Dans ces conditions, il souhaite renforcer les missions et les moyens d’action de Viginum. Le bilan dressé après trois ans et demi d’activité du service le conduit à considérer que le cadre juridique actuel présente un certain nombre de limites opérationnelles dommageables à la bonne conduite de la mission du service face à la l’évolution de cette menace.
Les évolutions proposées dans le projet de décret s’inspirent notamment des recommandations du rapport annuel du comité éthique et scientifique (CES) de Viginum (juillet 2021 – décembre 2022), du rapport de la commission d’enquête du Sénat sur les politiques publiques face aux ingérences étrangères (rapport n° 739 (2023-2024), tome I, déposé le 23 juillet 2024) et du rapport des Etats généraux de l’information.
B. L’objet de la saisine
La CNIL a été saisie par le SGDSN d’une demande d’avis sur un projet de décret relatif aux missions et moyens de Viginum, qui prévoit de refondre les deux décrets initiaux dans un décret unique, et propose plusieurs évolutions.
 
L’article 2 du projet de décret, modifiant l’article 3 du décret du 13 juillet 2021, ajoute trois nouvelles missions à Viginum :
 
une mission de documentation de la menace informationnelle (au 1°) ;
une mission de sensibilisation du public à la lutte contre les manipulations de l’information et de contribution aux actions d’éducation aux médias (5° nouveau de l’article 3) ;
une mission de contribution à la recherche et au développement d’outils, d’algorithmes et de modèles susceptibles d’être mobilisés dans l’exercice de la mission de Viginum de détection, caractérisation et documentation de la menace (1° bis).
Le projet prévoit de supprimer, d’une part, le seuil de cinq millions de visiteurs uniques par mois en deçà duquel la collecte sur les plateformes n’était pas autorisée et, d’autre part, l’interdiction d’automatiser la collecte des données lors de la phase de veille/détection ; il permet en outre une capitalisation de la connaissance en allongeant la durée de conservation et de renouvellement des collectes. Il autorise enfin le service à collecter et exploiter des données accessibles publiquement sur les moteurs de recherche et les interfaces en ligne.
 
II. L’avis de la CNIL
 
Par sa délibération du 7 octobre 2021 susmentionnée, la CNIL a admis que le traitement de données à caractère personnel nécessaire à l’activité de Viginum était justifié par l'objectif légitime de préserver la sincérité du débat démocratique et de lutter contre les atteintes aux intérêts fondamentaux de la Nation.
Le traitement qu’encadre le présent projet de décret implique le moissonnage de données publiquement accessibles en ligne et constitue, par nature, un traitement sensible compte tenu du nombre de personnes concernées, du volume des données susceptibles d’être traitées et des risques inhérents à l’utilisation de telles techniques pour les droits et libertés des personnes. De manière générale, la CNIL constate que les acteurs publics recourent de façon croissante aux outils permettant le moissonnage des données accessibles en ligne. Elle appelle le législateur à fixer un cadre général dans lequel les administrations pourraient, si nécessaire, recourir à de tels outils, afin de garantir un équilibre entre les missions des administrations et la protection des droits des individus.
Par ailleurs, bien que les dispositions du titre IV de la loi "informatique et libertés" ne le requièrent pas, le service a réalisé une analyse d’impact sur la protection des données (AIPD) en amont de la mise en œuvre du traitement. La CNIL invite le service à la mettre à jour afin de tenir compte des évolutions projetées du traitement.
A. Sur les nouvelles missions du service VIGINUM
A titre liminaire, la CNIL prend note de ce que ces nouvelles missions n’impliqueront pas de traiter des données à caractère personnel supplémentaires par rapport à celles collectées dans le cadre de la mission de détection et caractérisation des INE.
 
S’agissant de la mission de documentation des opérations d’INE
Viginum a développé une connaissance approfondie des acteurs de la menace informationnelle, de leurs modes opératoires ainsi que des différents vecteurs associés aux plateformes numériques et technologiques. Cette connaissance se matérialise par la rédaction de notes de synthèse (ou "notes d’analyse") au profit de ses partenaires ministériels, qui reflètent différentes étapes du travail d’investigation. Viginum souhaite documenter cette connaissance pour suivre l’évolution d’un mode opératoire, connaître les acteurs et leurs stratégies sur le temps long et cartographier un réseau d’acteurs et ses modes opératoires pour anticiper et détecter le plus tôt possible les manœuvres de dispositifs pré-positionnés.
 
Les notes d’analyse, qui sont transmises à de multiples partenaires (ministères, administrations, homologues étrangers dans le cadre de la coopération internationale, etc.), sont susceptibles de contenir des données à caractère personnel.
 
En premier lieu, le SGDSN précise que le délai de conservation prévu par le projet de décret ne s’applique qu’aux jeux de données et à leur exploitation par les analystes, mais que les données présentes dans les notes d’analyse sont conservées au-delà de ce délai.
Le SGDSN confirme qu’il appliquera des durées de conservation appropriées pour les données à caractère personnel présentes dans ces notes, conformément au 5° de l’article 4 de la loi "informatique et libertés". La CNIL l’invite à déterminer ces durées le plus en amont possible et à les documenter, afin de s’assurer du respect du principe de conservation limitée pour chacune de ces notes.
En deuxième lieu,
 certaines notes, susceptibles de contenir des données à caractère personnel sont transmises à de multiples partenaires, alors qu’à la date à laquelle elles sont transmises, elles ne concernent pas des INE caractérisées.
La CNIL rappelle que les données contenues dans les notes d’analyse n’ont vocation à concerner que les comptes ayant un lien direct et établi avec la possible caractérisation d’une opération d’INE. Elle prend acte de l’engagement du SGDSN de réserver le partage de données identifiantes aux hypothèses où la caractérisation de l’origine étrangère de l’ingérence est établie avec une probabilité suffisante, comme l’a recommandé le CES dans son rapport.
En troisième lieu, le projet de décret ne mentionne pas les destinataires. La CNIL rappelle que le 4° de l’article 35 de la loi "informatique et libertés" prévoit que les actes autorisant la création d’un traitement en application des articles 31 et 32 précisent les destinataires ou catégories de destinataires habilités à recevoir communication des données. Elle recommande donc, sur cette base, de compléter le projet de décret afin de prévoir les catégories de destinataires, sans qu’il soit nécessaire d’énumérer de manière exhaustive l’ensemble des destinataires, dès lors que ceux-ci sont susceptibles d’évoluer avec la menace.
 
S’agissant de la mission de "contribuer à la recherche et au développement d’outils, d’algorithmes et de modèles"
L’ajout d’une nouvelle mission de "recherche et de développement d’outils, d’algorithmes et de modèles" aux attributions de Viginum doit permettre de développer des solutions d’analyse de données en appui des opérations de détection et de caractérisation d’une INE. Cette mission aboutit à créer une nouvelle finalité au traitement, visant à constituer et entraîner des outils d’intelligence artificielle susceptibles de permettre aux analystes du service de développer et d’automatiser certains processus d’analyse. Par ailleurs, le SGDSN indique qu’au titre de sa mission de sensibilisation, Viginum pourrait être amené à mettre à disposition du public du code ou des outils en open source visant à outiller la société civile pour la détection de contenus inauthentiques. Le SGDSN précise que pour développer ces outils, les analystes doivent disposer de jeux de données sur un temps long, afin d’élaborer des modèles, de les entraîner et de les optimiser.
 
La CNIL relève donc que cette nouvelle mission de recherche et développement implique la réutilisation des données collectées par Viginum dans le cadre de ses missions de détection et de caractérisation des INE pour une nouvelle finalité. Elle prend acte du fait que :
 
le service n’utilisera que les données collectées dans le cadre de ses missions de détection et de caractérisation des INE, notamment les contenus publiquement accessibles diffusés ou relayés au moyen des comptes et les indicateurs d’audience associés ;
l’utilisation des données dans le cadre du développement d’outils ne conduira pas à allonger les durées de conservation prévues au nouvel article 7 octies du projet de décret.
 
En premier lieu, s’agissant du régime juridique applicable, la finalité principale du traitement des données dans le cadre de la mission de recherche et développement est de concevoir et développer des outils utilisant l’IA en appui aux opérations de détection et caractérisation des INE. Dans la mesure où l’usage opérationnel de l’outil est identifié dès son développement et que les traitements mis en œuvre en phase de développement poursuivent la même finalité que ceux en phase de déploiement, il est possible de considérer qu’ils relèvent généralement du même régime juridique (Conseil d’État, 22 juillet 2022, n° 451653).
 
En deuxième lieu, le SGDSN précise que cette mission s’exerçant dans le cadre juridique déjà posé pour le traitement de détection et de caractérisation des INE, il ne lui est pas apparu nécessaire de prévoir un encadrement spécifique pour la réutilisation des données à caractère personnel dans le cadre de cette mission.
 
La CNIL considère au contraire que le projet de décret devrait être complété afin de prévoir, sur certains points, les garanties appropriées s’agissant de la réutilisation des données nécessaire aux phases d’apprentissage et ainsi améliorer la transparence du dispositif.