AgentPublic/cnil huggingface dataset:
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ( data privacy framework , ci-après "DPF" ).
 
Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi :
figurer sur la liste publiée par le ministère américain du commerce ;
mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF.
A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
 
En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Durées de conservation en base active et en archivage
Base active : trois ans.
Archivage : dix ans.
 
AUTORISE 
la société PERFUZE LTD à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du Règlement général sur la protection des données (RGPD).
Avis du comité
Avis favorable du Comité de protection des personnes Ouest II du 21 mars 2023.
Points de non-conformité à la méthodologie de référence concernée 
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. 
Réutilisation d’une base de données
Les données issues de la base du Centre Régional de Coordination des Dépistages des Cancers de la Région Centre Val de Loire (CRCDC – CVL) seront réutilisées dans le cadre de cette étude.
Catégories particulières de données traitées (autres que données de santé) 
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
La collecte des nom, prénom ainsi que des coordonnées postales, téléphoniques et électroniques est nécessaire pour assurer le suivi des participants qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
 
S’agissant de la réalisation d’enregistrements vocaux : 
Des enregistrements vocaux ne permettant pas l’identification directe des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli.
 
S’agissant des zones de commentaires libres :
Les données contenues dans des zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès.
Information et droits des personnes
S’agissant des patients et des professionnels de santé inclus dans l’étude ancillaire qualitative :
Ils recevront par voie postale ou électronique une note d’information spécifique à cette étude ancillaire.
 
S’agissant des autres participants :
Les participants majeurs ainsi que, le cas échéant, leur représentant légal ont
 
reçu une note d’information individuelle par voie postale.
Les notes d’informations devront contenir l’ensemble des mentions prévues par le RGPD.
 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage
Les données administratives d’identification seront supprimées à la fin du suivi des personnes. 
Les adresses postales seront supprimées par le sous-traitant une fois le géocodage effectué.
Les enregistrements vocaux seront supprimés une fois la retranscription effectuée. 
 
Autres données : 
Base active : huit ans.
Archivage : quinze ans.
 
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur adjoint de l’accompagnement juridique 
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé.
Le traitement porte désormais sur les années 2014 à 2022 pour la cohorte "SCC" ; 2016 à 2022 pour la cohorte "Orientation AVC" ; 2019 à 2023 pour la cohorte "Consultation post-AVC" .
Elles seront accessibles pendant cinq ans à compter de leur dernière mise à disposition.
Les données seront hébergées au sein d’un espace projet dédiée à l’étude "DELIQUA-CNV" ayant fait l’objet d’une homologation par le responsable de traitement pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 20 mars 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au Centre hospitalier de Bordeaux de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité 
Avis favorable du Comité de protection des personnes Sud Méditerranée I du 13 mars 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé.
Le traitement porte désormais sur les années 2018 à 2026. Elles seront accessibles pendant trois ans à compter de leur dernière mise à disposition.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Est III du 24 juin 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées.
Information et droits des personnes
Dans l’hypothèse où les participants à l’étude ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que, l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche.
Durées de conservation en base active et en archivage
Base active : deux ans.
Archivage : quinze ans.
Réutilisation des données 
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur la durée de conservation des données qui est prolongée d’une année supplémentaire.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE 
la société NOVARTIS
PHARMACEUTICALS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est IV du 7 mars 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données collectées en raison de l’appariement des données cliniques avec celles du Système national des données de santé (SNDS). 
Catégories particulières de données traitées (hors données de santé)
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS selon plusieurs modalités décrites dans le dossier de demande.
 
Ce rapprochement sera effectué par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants lorsque ces informations sont disponibles.
Ces données seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. 
Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. A cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
 
En cas d’indisponibilité du NIR ou d’erreur de saisie de celui-ci, le rapprochement sera effectué de manière probabiliste (indirecte) au moyen des variables décrites dans le dossier de demande. 
Utilisation de données issues du SNDS historique
Les données du SNDS seront uniquement traitées à des fins de rapprochement avec les données cliniques de l’étude.
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2010 à 2032.
Modalités de consultation : portail de la CNAM 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
 
Les participants à l’étude recevront par voie postale une note d’information individuelle relative à l’appariement de leurs données cliniques avec celles contenues dans le SNDS. 
Durée d’accès aux données
Données du SNDS : cinq ans à compter de la dernière mise à disposition des données.
 
Autres données :
Base active : dix-huit ans
Archivage : quinze ans.
Transparence du traitement
Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est 1 du 18 juin 2024.
Modifications du traitement de données
Les modifications envisagées portent sur :
les destinataires des données pseudonymisées de l’étude qui seront, en l’absence d’opposition des participantes dûment informées, partagées avec le consortium SOLACE à des fins de réalisation d’un autre projet de recherche ;
l’ajout de nouvelles modalités de recrutement des participantes.
Points de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé demeure aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc