AgentPublic/cnil huggingface dataset:
Les données de l’étude TELEDERMECO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude et appariées de façon probabiliste avec celles du Système national des données de santé (SNDS).
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégorie particulière de données traitées (autres que données de santé)
La collecte de la commune de résidence a été scientifiquement justifiée dans le dossier de demande.
 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2022 à 2023.
Modalités de consultation : portail de la CNAM.
Information et droits des personnes
Tous les participants à l’étude ont reçu une note d’information individuelle.
Durée d’accès
Les données relatives à la commune de résidence seront supprimées après l’appariement. Les autres données seront accessibles pendant un an à compter de leur mise à disposition.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE l’UNION REGIONALE DES PROFESSIONNELS DE SANTE MEDECINS LIBERAUX NORD à mettre en œuvre le traitement décrit ci-dessus.
 
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Les données issues du registre du centre de référence des microangiopathies thrombotiques (MAT) (CNR-MAT) mis en œuvre par l’Assistance publique – hôpitaux de Paris (APHP), seront réutilisées dans le cadre de la présente étude.
Catégories particulières de données traitées (autres que données de santé)
La collecte de l’adresse complète des personnes concernées a été scientifiquement justifiée dans le dossier de demande afin de calculer les Ilots Regroupés pour l’Information Statistique (IRIS). L’adresse devra être traitée et transmise de façon séparée des données de santé et être enregistrée dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
 
Par ailleurs, la collecte du pays de naissance des participants ainsi que le fait qu’ils disposent ou non de la nationalité française a été scientifiquement justifiée dans le dossier de demande.
Information et droits des personnes
Tous les participants majeurs seront individuellement informés.
Les titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Ce dernier sera également informé individuellement
Durées de conservation en base active et en archivage
Les adresses complètes des personnes concernées seront détruites après le calcul de l’IRIS.
 
Autres données :
Base active : un an.
Archivage : deux ans.
Observations complémentaires au sujet du registre CNR-MAT
Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou, en cas de non-conformité au référentiel, autorisation de la CNIL).
 
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Sur le point de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception des durées de conservation des données.
En dehors de ce point, qui a fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel.
Sur les données traitées
Cet entrepôt sera alimenté par des données à caractère personnel issues de :
l’étude "ALARM3" dont le responsable de traitement est l’Assistance publique – Hôpitaux de Paris (AP-HP). Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ;
l’étude "MyeCHILD01" dont le responsable de traitement est l’AP-HP. Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ;
l’étude "OSCARE" dont le responsable de traitement est le Centre hospitalier universitaire de Bordeaux. Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 ;
l’étude "LEA" dont le responsable de traitement est l’AP-HP (demande d’autorisation n°904547) ;
l’étude "co-DOREMy" dont le responsable de traitement est l’AP-HP. Cette étude a été a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ;
l’étude "observatoire post-ELAM02" dont le responsable de traitement est le Centre hospitalier universitaire de Rennes (demande d’autorisation n°1923380). 
Sur la conservation des données
Les données, dont les données directement identifiantes et les dates de naissance, sont conservées vingt ans à compter de leur versement dans l’entrepôt. 
Sur la sécurité des données 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par le f) du 1 de l’article 5 et de l’article 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement (ANSM) du 30 septembre 2024 établissant un cadre de prescription compassionnelle pour la spécialité Qarziba (dinutuximab beta) 4,5 mg/ml, solution à diluer pour perfusion dans l’indication "Traitement des patients âgés de 12 mois et plus atteints d’un neuroblastome à haut risque :
en association à la chimiothérapie d’induction de type TOTEM ou TEMIRI en rechute/progression après chimiothérapie de première ligne ;
en association à la chimiothérapie d’induction en seconde rechute/progression (ou plus) après chimiothérapie de type TOTEM ou TEMIRI".
Points de non-conformité au référentiel concerné 
Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception :
du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle, 
de la source des données ; 
des organismes qualifiés de sous-traitants ;
des modalités d’exercice des droits ; 
des durées de conservation.
 
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par le référentiel RS-004.
Finalité du traitement
Le traitement est mis en œuvre à des fins de :
collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ;
gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité.
Réutilisation des données d’une base existante
Les données de l’étude "SACHA" mise en œuvre par l’Institut Gustave Roussy (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) seront réutilisées dans le cadre du présent traitement, s’agissant uniquement des patients bénéficiant du médicament visé par la décision de l’ANSM.
 
La société Recordati Rare Diseases n’aura accès qu’aux rapports de synthèse mentionnés à l’article R. 5121-76 du code de la santé publique (CSP), produits par l’Institut Gustave Roussy. Elle n’aura pas accès aux données traitées dans le cadre de l’étude SACHA.
 
Sous-traitant
L’Institut Gustave Roussy interviendra en qualité de sous-traitant pour la mise en œuvre de ce traitement, notamment s’agissant de l’extraction des données issues du registre SACHA et de l’analyse de ces données en vue de la production des rapports de synthèse mentionnés à l’article R. 5121-76 du CSP.
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article28 du Règlement général sur la protection des données.
 
Information et droits des personnes
Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD.
 
Il est rappelé que chacun des titulaires de l’exercice de l’autorité parentale devra recevoir une note d’information individuelle en vue du traitement des données à caractère personnel d’un patient mineur.
 
Les droits des personnes pourront s’exercer auprès : 
du responsable de traitement ;
du professionnel de santé ayant prescrit la spécialité ;
de l’Institut Gustave Roussy.
Durées de conservation
Les rapports de synthèse mentionnés à l’article R. 5121-76 du CSP seront conservées pendant dix ans à compter de leur production.
 
Autres données :
Base active : pendant la durée de validité de la décision de l’ANSM 
Archivage : les données seront archivées en base intermédiaire jusqu’à 25 ans, à compter de :
l'expiration de la décision de l'ANSM établissant le cadre de prescription compassionnelle ;
la date de la décision de l'ANSM prononçant la suspension ou le retrait du cadre de prescription compassionnelle.
Ces durées de conservation n’excédent pas celles nécessaires à la poursuite des finalités pour lesquelles les données sont collectées. 
Observations particulières
Une analyse d’impact relative à la protection des données (AIPD) a été transmise à l’appui de la demande d’autorisation. 
 
Conformément à l’article 35 du RGPD, lu à la lumière des lignes directrices du Comité européen sur la protection des données, cette AIPD devra être complétée afin de tenir compte de l’intervention d’un sous-traitant et des mesures techniques et organisationnelles mises en œuvre à cet égard.
 
AUTORISE la 
société recordati rare dieseases à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
des durées de conservation des données ;
des mesures de sécurité.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "UroCCR".
 
La constitution de cet entrepôt multicentrique spécifique au cancer du rein aura pour finalités :
de favoriser les recherches, études ou évaluations en structurant les ressources et capacités nationales ;
de créer une base de données associée à une collection d’échantillons biologiques annotée multicentrique.
 
Sont concernés par cet entrepôt de données de santé tous les patients présentant une tumeur du rein et consultant ou ayant consulté dans un centre participant à UroCCR, à l’exception des majeurs protégés et des mineurs.
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Le traitement mis en œuvre par le responsable de traitement est nécessaire à l'exécution d'une mission d'intérêt public dont il est investi. Ce traitement est licite au regard de l’article 6-1-e) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’article 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée.
 
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur la conservation des données
Les données versées dans l’entrepôt sont conservées vingt ans à compter du dernier suivi du patient puis supprimées ou anonymisées.
Sur les transferts de données
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions
La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel "entrepôt de données dans le domaine de la santé".
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . L’entrepôt comporte le point de non-conformité suivant vis-à-vis des mesures de sécurité : l’inclusion du mois de naissance, de l’année de naissance, de l’année et du sexe dans la base de données principale de l’entrepôt.
 
Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures relatives à certaines exigences du référentiel "entrepôt de données dans le domaine de la santé", et en particulier :
le cloisonnement des données directement identifiantes par rapport aux données de santé contenues dans l’entrepôt ;
la génération d’un identifiant pseudonyme unique par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr ;
l’hébergement des données chez un hébergeur certifié HDS en cas d’externalisation de l’hébergement.
Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par le responsable de traitement et qu’un bilan lui soit transmis à cette fin.
 
Les mesures de sécurité, renforcées par ce plan d’actions, sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit néanmoins procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE, dans ces conditions, le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. 
 
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
de la base légale du traitement ;
de la nature des données traitées ;
des mesures de sécurité.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, ayant pour finalités la réalisation de recherches, études ou évaluations dans le domaine de la santé et d’études relatives au pilotage d’établissement.
 
Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. 
Sur les données traitées 
Les données alimentant l’entrepôt seront issues uniquement des logiciels de gestion mentionnés dans le dossier de demande et utilisés par les professionnels du réseau STANE.
 
Les données dont le traitement n’est pas conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" sont les identifiants locaux des professionnels de santé dans ces logiciels de gestion. 
 
La CNIL relève que le responsable de traitement s’est engagé à réévaluer régulièrement la pertinence de la collecte des données d’identification (notamment directement identifiantes) des patients et des professionnels de santé.
Cette évaluation devra également tenir compte du déploiement progressif de l’INS au sein des logiciels des professionnels de santé partenaires.
Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire qu’un bilan de cette évaluation lui soit transmis.