AgentPublic/cnil huggingface dataset:
En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle de ces personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD, par voie d’affichage au sein des centres participants et sur les sites web :
du Centre hospitalier universitaire de Tours ;
de chaque centre participant ;
de la plateforme "Ouest Data Hub".
 
S’agissant des professionnels de santé :
 
Les utilisateurs de la plateforme ODH sont informés de la collecte d'informations à caractère personnel les concernant et de leurs traces d’accès lors de la remise de la charte utilisateur de la plateforme.
La note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des modalités d’exercice des droits des personnes :
Conformément aux principes de transparence et de loyauté prévus par l’article 5 du RGPD et précisés dans les lignes directrices sur la transparence adoptées par le groupe de travail Article 29 le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD.
 
Les personnes concernées seront informées du fait qu’elles disposeront d’un délai de trois mois pour exercer leurs droits, et notamment leur droit d’opposition, à compter de la publication de l’information relative à l’étude.
 
Lors du gel de la base de données en vue de son analyse, les secrets de pseudonymisation seront effacés pour des raisons de sécurité.
Par conséquent, les personnes souhaitant exercer leurs droits après cette étape devront fournir des informations permettant de les ré- identifier, conformément à l’article 11.2 du RGPD.
Mesure de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "Genially "
Un espace projet sur la solution technique de la Plateforme "ODH" sera dédié au projet "Genially" , afin de permettre la centralisation des données issues des centres de données cliniques locaux (CDC), avant leur appariement avec les données du SNDS sur le portail de la CNAM.
 
Les utilisateurs se connecteront à la plateforme ODH à l’aide d’un certificat et d’un mot de passe ; l’authentification multifacteurs pour l’accès aux espaces projet a été mise en place. Les traces seront centralisées dans un système mis à disposition par l’hébergeur.
Un mécanisme proactif de contrôle automatique des données de journalisation contribuant à la sécurité du traitement par la génération automatique d’alertes a été mis en place.
 
 
Les exports de données depuis l’espace projet ne pourront être constitués que de données anonymes. À cet égard, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable.
Les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. Cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
Durée d’accès/ Durées de conservation en base active et en archivage
Données du SNDS : trois ans à compter de la mise à disposition des données.
 
Autres données : trois ans en base active.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Observations particulières concernant le développement et le déploiement de l’outil
La phase de déploiement de l’outil devra respecter les dispositions spécifiques applicables, notamment les articles L. 4001-3 du code de la santé publique et 14 du règlement européen sur l’intelligence artificielle.
Le dossier mentionne que cette étude a pour finalité le développement d’un algorithme d’aide à la décision et qu’il n’a pas pour objet de conduire au développement d’un outil de décision exclusivement automatisée.
Il appartiendra au responsable de traitement de préciser les conditions de déploiement de l’outil attendues ainsi que de proposer des mesures permettant aux utilisateurs de préserver leur indépendance et de demeurer libres de leurs actes et prescriptions. Enfin, lorsque, comme c’est le cas en l’espèce, la finalité du traitement d’intelligence artificielle en phase de déploiement étant identifiée dès son développement, les risques associés au déploiement de cet outil d’aide à la décision devraient être documentés dans l’AIPD.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest V du 28 mars 2024
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude est conforme à la méthodologie de référence MR-001, à l'exception de la nature des données collectées et des destinataires des données directement identifiantes.
Catégories particulières de données traitées (autres que données de santé) 
Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir accéder aux données directement identifiantes.
S’agissant de la réalisation d’image en 3D du visage des participants :
Des images en 3D directement identifiantes du visage des participants à la recherche seront réalisées dans le cadre de cette étude. Ce traitement a été scientifiquement justifié dans le dossier de demande et le consentement éclairé et exprès des participants sera recueilli par écrit en vue de la réalisation de ces images. 
Certains membres du personnel du responsable de traitement spécialement habilités ainsi que l’un de ses prestataires auront accès aux images en 3D du visage des participants pour certaines finalités mentionnées dans le dossier de demande.
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
La collecte des données nominatives, ainsi que des coordonnées postales, téléphoniques, électroniques est nécessaire pour assurer le suivi des participants qui en sont informés.
S’agissant de la collecte de l’origine ethnique des participants :
Elle a été scientifiquement justifiée dans le dossier de demande.
S’agissant de l’examen des caractéristiques génétiques des participants :
Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés .
Information et droits des personnes
S’agissant des participants majeurs :
Ils recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD. 
S’agissant des participants mineurs :
Les deux titulaires de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle spécifique. 
Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information et un formulaire de consentement spécifiques en vue de la poursuite de leur participation à l’étude.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer aux Etats-Unis des données pseudonymisées et des données directement identifiantes des participants à l’étude. 
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données (data privacy framework ou DPF).
Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi :
figurer sur la liste publiée par le ministère étatsunien du commerce ;
mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF.
A défaut de satisfaire ces exigences, le responsable de traitement ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives ou si l’une des dérogations prévues à l’article 49 du RGPD s’applique.
En l’espèce, les Etats-Unis n’offrant pas un niveau de protection adéquat et en l’absence de garanties appropriées encadrant ce transfert, le responsable de traitement envisage de recueillir le consentement explicite des personnes concernées en application des dispositions de l’article 49.1.a) du RGPD.
La CNIL rappelle que cette dérogation implique que les personnes concernées aient été informées des risques qu’un tel transfert pourrait comporter pour elles en l’absence de décision d’adéquation et de garanties appropriées.
Elle rappelle également que le recueil du consentement devra être conformeaux dispositions spécifiques prévues par le RGPD, éclairée par les lignes directrices 2/2018 relatives aux dérogations prévues à l’article 49 du règlement (UE) 2016/679 du Comité européen de la protection des données. En application de ces dispositions, ce consentement devra notamment être explicite, spécifique aux transferts, éclairé par une note d’information et pourra être retiré à tout moment.
Le responsable de traitement prévoit par ailleurs de transférer certaines données pseudonymisées en Suisse, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat, conformément aux dispositions de l’article 45 du RGPD. 
Durées de conservation en base active et en archivage
Les données nominatives des participants ainsi que leurs coordonnées téléphoniques, électroniques et postales seront détruites à la fin du suivi.
Les images en 3D du visage des participants seront conservées cinq ans en base active puis archivées pendant vingt ans.
Les échantillons biologiques seront conservés pendant vingt ans puis seront détruits.
 
Autres données : 
Base active : cinq ans.
Archivage : vingt-cinq ans.
Réutilisation des données
La constitution d’une base de données pérenne ayant vocation à permettre la réalisation de recherches, études ou évaluations ultérieurs relève, sauf en cas de recueil du consentement exprès de la personne concernée, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés applicable aux traitements de données à caractère personnel dans le domaine de la santé.
Par ailleurs, dans l’hypothèse où une nouvelle étude serait réalisée à partir de données à caractère personnel issues du traitement, celle-ci devra être autorisée par la CNIL ou être mise en œuvre dans le cadre d’une déclaration de conformité à une méthodologie de référence, et accompagnée des garanties appropriées.
En dehors de cette hypothèse, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition en dehors de toute formalité préalable. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que le processus d’anonymisation mis en œuvre respecte les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable.
 
AUTORISE la société ABBVIE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et, d’autre part, que le responsable de traitement ne pourra informer individuellement l’ensemble des personnes concernées de la réalisation de la présente étude. Ainsi, ce traitement devra être mis en œuvre conformément à la MR-004, à l’exception des modalités d’information des personnes concernées et de la nature des données traitées.
Réutilisation des données d’une base existante
Les données de l’étude METACARDIS qui a été mise en œuvre dans la cadre d’une déclaration de conformité à la méthodologie de référence MR-001 seront réutilisées dans le cadre de la présente étude et chaînées avec les données du Système national des données de santé (SNDS) au moyen d’un appariement déterministe. 
Catégories particulières de données traitées (hors données de santé)
Les données de l’étude METACARDIS feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. 
Ces données seront transmises à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Ces données devront être chiffrées au sein des centres. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2013 à 2023.
Modalités de consultation : portail de la CNAM 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
 
 
 
 
Les participants à l’étude Metacardis recevront par voie postale une note d’information individuelle relative à la présente étude.
S’agissant des personnes pour lesquelles la note d’information ne pourrait être délivrée par voie postale (mention NPAI ), en application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), le responsable de traitement prendra des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
A ce titre, une note d’information relative à la présente étude devra être rendue publique sur le site web du responsable de traitement.
Ces documents comporteront l’ensemble des mentions prévues par le RGPD
Durée d’accès aux données
Huit ans à compter de leur mise à disposition. 
Transparence du traitement
Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Modification substantielle du traitement de données 
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de dix-huit mois supplémentaires.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE les LABORATOIRES THEA à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Est IV du 9 janvier 2024
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate).
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
 
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
 
Ces documents devront comporter l’ensemble des mentions prévues par le RGPD.
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude.