Délibération n° 2026-069 du 2 juillet 2026 autorisant la Régie autonome des transports parisiens (RATP) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le suivi des trajectoires des agents et ex-agents de la RATP en matière de santé, intitulée « Cohorte STARS ». (Demande d’autorisation n°9-360)

Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du comité de protection des personnes Sud Méditerranée III du 3 mars 2026 ;
Sur la proposition de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
Le service de prévention et de santé au travail de la RATP s’est engagé dans un partenariat avec l’Agence nationale de santé publique, ayant conduit à la mise en place d’un système de surveillance épidémiologique de la santé des salariés et anciens salariés de la RATP, portant plus particulièrement sur l’analyses des causes de décès.
 
Le service de prévention et de santé au travail de la RATP souhaite à présent compléter son système de surveillance épidémiologique de la santé de ses salariés, notamment par la mise en œuvre d’enquêtes en population professionnelle.
Sur la finalité du traitement et son caractère d’intérêt public :
Le traitement de données a pour finalité une recherche dans le domaine de la santé visant à décrire l’état de santé des travailleurs et ex-travailleurs de la RATP et d’étudier son évolution tout au long de la vie professionnelle et post-professionnelle, afin d’aider à proposer et hiérarchiser des mesures de prévention.
 
La Cohorte STARS regroupera des agents et ex-agents ayant travaillé au moins un an à la RATP, quel que soit leur mode de contrat, depuis le 1er janvier 1980. Les participants seront invités à compléter des auto-questionnaires au format électronique à leur inclusion, puis annuellement, pendant une durée de vingt ans.
 
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément au b) du 1 de l’article 5 du RGPD et que ce traitement présente une finalité d’intérêt public, conformément à l’article 66 I de la loi informatique et libertés .
Sur la licéité des traitements et l’exception permettant de traiter des données concernant la santé :
Le traitement mis en œuvre est nécessaire aux fins des intérêts légitimes poursuivis par la RATP. Ce traitement est, à ce titre, licite au regard du f) du 1 de l’article 6 du RGPD.
 
Ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue au j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé.
Sur la nature des données traitées :
S’agissant des données de la recherche :
Les catégories de données à caractère personnel dont la collecte est envisagée ont été décrites dans le dossier de demande. Cette collecte a été scientifiquement justifiée et a fait l’objet d’un avis favorable du comité de protection des personnes.
S’agissant des modalités d’identification des participants :
Par principe, la première connexion à la plateforme de l’étude s’effectue par le biais d’un code non signifiant généré de manière aléatoire (code 1). Par exception, la première connexion à la plateforme de l’étude s’effectuera par le biais d’un code dérivé à partir du matricule, du sexe, du mois et de l’année de naissance de la personne concernée au moyen d'une fonction de hachage (code 1b).
 
Les réponses aux questionnaires sont conservées sous forme pseudonymisée et indexées à l’aide d’un code non signifiant généré de manière aléatoire (code 2).
 
La consultation, par le participant à l’étude, des données qu’il a préalablement saisies est conditionnée à la création d’un compte et soumise à une authentification multifacteur faisant intervenir a minima deux facteurs d'authentification distincts. À défaut, la plateforme électronique permettra uniquement une saisie de données en ligne sans possibilité de compléter les questionnaires en plusieurs sessions, ni de consulter les données préalablement saisies.
 
Des rappels peuvent être adressés aux participants par courrier électronique, pour les informer du lancement des campagnes de suivi annuelles et les inviter à compléter les questionnaires en ligne. Les personnes concernées sont préalablement informées du traitement de leurs données à cette fin et peuvent s’y opposer.
 
Les données administratives (coordonnées électroniques, coordonnées téléphoniques) nécessaires à l’authentification multifacteur et/ou à l’envoi de rappels annuels sont indexées au moyen d’un code non signifiant généré de manière aléatoire (code 3).
Sur l'information et les droits des personnes :
Les agents et ex-agents de la RATP sont informés de l’existence du projet de recherche dans le cadre de campagnes de recrutement individuelles ou collectives, menées par le médecin du travail, investigateur principal de l’étude.
 
Cette première modalité d’information doit contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail de l’Article 29 (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. Elle doit également contenir un renvoi vers la note d’information relative à l’étude, comportant l’ensemble des mentions prévues par le RGPD, disponible sur la plateforme électronique dédiée à l’étude.
 
La note d’information relative à la présente étude sera, par ailleurs, mise à disposition des personnes concernées à la première connexion à la plateforme de l’étude et accessible pendant toute la durée de l’étude.
 
Les personnes concernées pourront exercer leurs droits conformément aux dispositions du RGPD. Par ailleurs, les supports d’information devront indiquer que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence à leur égard, en particulier vis-à-vis de leur employeur.
 
Des campagnes de recrutement pourront être menées annuellement selon les modalités décrites dans le dossier de demande. Les personnes ayant manifesté le souhait de ne pas participer à l’étude ne seront pas recontactées.
Sur les accédants et les destinataires des données :
La CNIL prend acte de l’engagement du responsable de traitement de mettre en œuvre des mesures pour garantir :
la séparation physique et organisationnelle entre les personnes chargées d’une part, de l’analyse des données et d’une part, de la gestion des comptes utilisateurs et de l’envoi des rappels annuels (équipes et procédures d’habilitation séparées) ;
un cloisonnement entre les données traitées dans le cadre de chaque mission (bases de données et applications disjointes, avec des droits d’accès différents).
 
Chaque personne chargée de réaliser une mission n’a accès qu’aux données nécessaires à la réalisation de sa mission.
 
La table de correspondance entre le prénom et le nom des personnes concernées d’une part et leur code d’accès à la plateforme (code 1 ou 1b) d’autre part, est conservée par le médecin investigateur.
 
Les réponses aux questionnaires sont conservées dans une bulle sécurisée au Centre d'accès sécurisé aux données (CASD) et accessibles à un nombre strictement limité de personnes habilitées et soumises au secret professionnel. Seules des données agrégées issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, seront extraites de la base de données cliniques et rendues accessibles au service de prévention et de santé au travail de la RATP. Une analyse permettant de démontrer que les processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014 sera réalisée préalablement à l’extraction. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
 
Des indicateurs agrégés et anonymisés, établis par le service de prévention et de santé au travail, pourront alimenter des rapports à destination de la RATP.
Sur la durée de conservation des données :
Les codes d’accès à la plateforme (code 1 et 1b) n’ayant pas été utilisés par les personnes concernées seront rendus inactifs et supprimés au terme de la période d’inclusion. Les personnes concernées en sont informées.
 
Les données administratives (coordonnées électroniques, coordonnées téléphoniques) nécessaires à la gestion des comptes utilisateurs ou à l’envoi de rappels annuels sont supprimées en cas d’opposition de la personne concernée au traitement de ses données ou à sa participation à l’étude, ou au terme de quatre campagnes consécutives de suivi auxquelles la personne concernée n’a pas participé.
 
Les données cliniques sous forme pseudonymisée sont conservées en base active pendant une durée de vingt-deux ans, puis font l’objet d’un archivage intermédiaire pendant une durée de quinze ans.
 
Le traitement envisagé devra être conforme, dans ses autres caractéristiques, aux dispositions de la délibération n° 2026-051 du 19 mars 2026 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé et ne nécessitant pas le recueil du consentement de la personne concernée en vue de la participation à la recherche (MR-003) et abrogeant la délibération n° 2018-154.
 
Dans ces conditions, la CNIL autorise la Régie autonome des transports parisiens à mettre en œuvre le traitement de données à caractère personnel.
 
 
La présidente,
 
 
 
M.-L. Denis