AgentPublic/cnil huggingface dataset:
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. La CNIL relève également que les modalités envisagées d’information des personnes ne sont pas conformes à la MR001.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé) 
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ces enregistrements devront être recueillis dans des conditions conformes aux dispositions applicables en matière de droit à l'image.
Par ailleurs, les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes 
Les mineurs participant à l’étude recevront une note d’information individuelle.
Lorsqu’ils sont présents au moment de l’inclusion, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur. Dans les autres cas, une dérogation à l'obligation d'information du second titulaire de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés". Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Durées de conservation en base active et en archivage 
Les enregistrements vidéo seront conservés pendant quatre ans puis détruits.
 
Autres données :
Base active : trois ans
Archivage : quinze ans
 
AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 décembre 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société RESMED à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
Les deux responsables de traitement, le centre hospitalier universitaire de Nancy et Madame Clotilde CAILLET GIPEAUX déterminent conjointement les finalités et les moyens du traitement. 
Conformément à l'article 26 du RGPD, ils doivent définir de manière transparente leurs obligations respectives.
Avis du comité
Avis favorable du Comité de protection des personnes Ouest II du 5 novembre 2024
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que données de santé)
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants et de leurs représentants légaux, le cas échéant, pour la réalisation des enregistrements sera recueilli. Afin de recueillir ce consentement, les nom, prénom et coordonnées postales des représentants légaux seront collectées. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Les participants recevront une note d’information individuelle. Par ailleurs, une note d’information dédiée sera remise au tuteur du patient. Le responsable de traitement a également prévu la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle.
Durées de conservation en base active et en archivage
Les enregistrements vidéo seront conservés pendant dix ans puis détruits.
 
Autres données :
Base active : dix ans
Archivage : quinze ans.
 
AUTORISE le 
centre hospitalier universitAIRE de nancy et Madame CLOTILDE CAILLET GIPEAUX à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ouest III du 19 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (traitements de données relatives aux condamnations pénales).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégorie particulière de données traitées (autres que données de santé)
La collecte de données relatives aux condamnations pénales a été scientifiquement justifiée dans le dossier de demande.
Le centre hospitalier Le Vinatier, en tant que personne morale gérant un service public et agissant dans le cadre de ses attributions légales (article L. 6112-1 du code de la santé publique), est fondé à collecter des données relatives aux condamnations pénales, aux infractions ou aux mesures de sûretés connexes conformément à l’article 10 du RGPD et à l’article 46-1 de la loi informatique et libertés modifiée.
Les données seront exclusivement collectées auprès des personnes concernées prises en charge au sein des établissements participant à l’étude dans le cadre de leurs attributions légales. Ces données seront renseignées dans le cahier d’observation.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
 
S’agissant des participants bénéficiant d’une mesure de protection :
Une note d’information dédiée sera remise au tuteur.
S’agissant des majeurs protégés dont l'état ne leur permet pas de prendre seuls une décision personnelle éclairée, conformément aux dispositions de l’article 70 de la loi informatique et libertés , est destinataire de l'information et exerce les droits de la personne concernée la personne chargée d'une mission de représentation dans le cadre d'une tutelle, d'une habilitation familiale ou d'un mandat de protection future. Le responsable de traitement devra prévoir également la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle.
Durées de conservation en base active et en archivage
Base active : quatre ans
Archivage : quinze ans
 
AUTORISE le CENTRE HOSPITALIER LE VINATIER à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile-de-France II du 12 août 2024
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence vitale).
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé)
Seront réutilisées dans le cadre de la présente étude les données de la base de données constituée, en application de l’article L. 6113-7 du code de la santé publique (CSP) par le responsable de traitement, à des fins d’analyse de leur activité et collectées entre 2025 et 2028.
Ces données sont conservées au sein l’entrepôt de données de santé de l’Assistance publique – Hôpitaux de Paris ayant fait l’objet d’une autorisation de la Commission (délibération n° 2017-013 du 19 janvier 2017).
Catégorie particulière de données traitées (autres que données de santé)
Les données collectées dans le cahier d’observation électronique (eCRF) seront appariées aux données du dossier médical des patients inclus présentes dans l’EDS. A cette fin, l’identifiant permanent patient (IPP) sera extrait de l’eCRF et transmis au responsable "Datascience" de l’EDS, qui extraira les données correspondantes de l’EDS et les déposera dans un espace projet dédié à l’étude. En parallèle, les données de l’étude seront extraites de l’ eCRF et transmises au responsable "Recherche" de l’EDS qui les déposera dans l’espace projet. Le responsable de l’étude réalisera le rapprochement des données grâce à un numéro d’accrochage non signifiant commun aux deux extractions, qui sera remplacé par un nouvel identifiant pour la base appariée.
 
Afin de limiter les risques de réidentification, l’IPP est stocké dans l’eCRF de manière cloisonnée par rapport aux données de l’étude et au numéro d’inclusion. Seuls les investigateurs de chaque centre auront accès aux données nominatives de leurs patients.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du CSP ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du CSP.
Durées de conservation en base active et en archivage
L’identifiant permanent du patient ne sera pas conservé après l’appariement. 
 
Autres données :
Base active : cinq ans
Archivage : quinze ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
Décision DR-
2025
-023 du 5 février 2025 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le suivi de l’allaitement maternel chez les femmes vivant avec le virus de l’immunodéficience humaine en France, intitulée LACTAVIH . (Demande d’autorisation n° 924150)
 
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. 
Point de non-conformité à la méthodologie de référence concernée 
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des destinataires des données directement identifiantes
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données
La collecte du pays de naissance des participantes a été scientifiquement justifiée dans le dossier de demande. 
Destinataires des données directement identifiantes
Un technicien d’études cliniques (TEC) de l’AP-HP aura accès aux données nominatives des participantes afin d’assurer leur suivi centralisé auprès des professionnels de santé participant à leur prise en charge. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Toutes les participantes recevront une note d’information individuelle.
Mesures de sécurité
Seules les informations nécessaires à l’étude seront transmises au TEC par les professionnels assurant la prise en charge des participantes via une plateforme sécurisée "tampon". Les données ne seront conservées sur cette plateforme que pour la durée strictement nécessaire au remplissage de l’eCRF par le TEC et supprimées de manière automatique dans un délai de trente jours maximum. 
S’agissant du recours à la plateforme, les mesures suivantes devront être mises en place avant le début de l’étude : 
 un accès par double authentification ;
une traçabilité complète des actions (ajouts de fichiers, consultations) ;
l’impossibilité de télécharger une copie des données présentes sur celle-ci. 
Par ailleurs, l’eCRF doit garantir un cloisonnement effectif entre l’espace contenant les données de santé pseudonymes et celui contenant la correspondance avec les données nominatives.
Durée de conservation en base active et en archivage
Les données nominatives des participantes seront détruites à la fin du suivi.
Autres données :
Base active : sept ans.
Archivage : dix ans.
 
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ouest V du 19 décembre 2023.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des destinataires des données directement identifiantes. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit l’utilisation d’une solution de contrôle qualité à distance. 
Cela implique que le sous-traitant puisse être destinataire de certaines données administratives d’identification des participants (nom, prénom, date de naissance complète et coordonnées).
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Mesures de sécurité
La solution technique permettant le contrôle qualité à distance consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les données nécessaires au contrôle qualité à distance par les attachés de recherche clinique du promoteur.
Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’"envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée". La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé.
L’envoi des documents sur la plateforme utilisera un mode "boîte aux lettres", sans possibilité de consultation et de modification de documents, où les utilisateurs externes des centres investigateurs pourront uniquement envoyer leurs documents sans aucune possibilité d’y accéder ensuite. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification comprenant au moins deux facteurs d’authentification différents.
Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs.