AgentPublic/cnil huggingface dataset:
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information relative au projet de recherche sur les sites web des responsables conjoints de traitement de l’étude.
Ces supports d’information devront comporter l’ensemble des mentions prévues par le RGPD.
Mesures de sécurité
Les données seront hébergées au sein de la Plateforme de cancérologie de l’INCa.
Au vu de l’acceptation des risques résiduels par le responsable de traitement dans sa décision d’homologation datant du 3 avril 2023, le traitement paraît conforme aux exigences prévues par les articles 5-1-f et 32 du RGPD, ainsi qu’au référentiel de sécurité applicable au SNDS.
Cette décision d’homologation est valable jusqu’au 3 avril 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à l’INCa de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. 
Durées de conservation en base active 
Trois ans à compter de la mise à disposition des données.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. 
AUTORISE 
l’institut national du cancer et
l’UNIVERSITE AIX-MARSEILLE
 à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2006 à 2023 sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Le responsable de traitement n’aura pas accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. 
Une note d’information devra également être rendue publique sur le site web du responsable de traitement.
L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès 
Trois ans à compter de la dernière mise à disposition des données.
 
AUTORISE la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Réutilisation des données d’une base existante 
Les données de l’étude APOLLO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude.
Information et droits des personnes
 
 
 
 
En application de l'article 69 de la loi et de l’article 14-5-b) du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude VIRIS ainsi que sur celui du responsable de traitement de l’étude APOLLO d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
Durée de conservation en base active et en archivage
Base active : deux ans
Archivage : quinze ans.
Réutilisation des données 
Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité 
Avis favorable du Comité de protection des personnes Ile de France V du 10 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes 
La collecte des données nominatives et des coordonnées téléphoniques est nécessaire au suivi des participants qui en sont informés. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. 
Durées de conservation en base active et en archivage 
 
Les données administratives d’identification (nom, prénom et coordonnées téléphoniques) seront détruites à la fin du suivi. 
 
Autres données :
Base active : quatre ans.
Archivage : quinze ans. 
Réutilisation des données 
 
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Est III du 22 janvier 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données de l’étude CONSTANCES autorisée par la CNIL (demande d’autorisation n° 910486, délibération n°2011-067) seront réutilisées dans le cadre de la présente étude.
Catégories particulières de données traitées (autres que données de santé)
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
S’agissant de la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques :
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. 
 
S’agissant de l’examen des caractéristiques génétiques des participants :
Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés .
 
S’agissant des autres catégories de données traitées :
La collecte de l’origine ethnique, des lieux de naissance des parents et grands-parents des participants, ainsi que de l’adresse exacte de l’ensemble des lieux de vie, d’étude et de travail des participants a été scientifiquement justifiée dans le dossier de demande. 
 
S’agissant des zones de commentaires libres :
Les données contenues dans des zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2014 à 2028, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : Centre d’accès sécurisé aux données
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
Transferts hors Union européenne
Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude.
 
Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ).
 
Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi :
figurer sur la liste publiée par le ministère américain du commerce ;
mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF.
A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
 
En l’espèce, l’organisme vers lequel les données pseudonymisées des participants à l’étude seront transférées ne figure pas sur liste publiée par le ministère américain du commerce.
Les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
 
Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques/électroniques/postales) seront détruites à la fin du suivi des participants.
Les échantillons biologiques seront conservés pendant quinze ans après la fin de la recherche puis détruits.
Les NIR et les dates de naissance complètes des participants seront détruits après l’appariement.
 
Autres données :
Base active : six ans
Archivage : quinze ans.
Réutilisation des données / échantillons biologiques
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest III du 19 octobre 2022.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001 à l’exception des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégories particulières de données traitées 
S’agissant de la collecte de données directement identifiantes :
La collecte des données nominatives ainsi que des coordonnées postales, téléphoniques, électroniques des participants est nécessaire pour assurer leur suivi. Ils en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
S’agissant de la réalisation d’enregistrements vocaux :
Des enregistrements vocaux indirectement identifiants des participants des personnes se prêtant à la recherche seront réalisés dans le cadre d’un entretien qualitatif. Les participants seront informés de ce traitement et leur consentement sera recueilli en vue de la réalisation de ces enregistrements.
 
S’agissant des zones de commentaires libres dans les questionnaires adressés aux participants :
Les données contenues dans ces zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès. 
Information et droits des personnes
S’agissant de l’information des participants majeurs :
Ils recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant de l’information des participants mineurs :
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. 
Les mineurs participants à l’étude recevront une note d’information individuelle :
une note d’information spécifique pour les mineurs âgés de huit à onze ans,
une note d’information spécifique pour les mineurs âgés de douze à dix-sept ans.
 
 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé ou sur celui de leur enfant mineur.
Mesures de sécurité