Délibération de la formation restreinte n°SAN-2022-024 du 20 décembre 2022 concernant la société x.

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Madame Christine MAUGÜÉ et Messieurs Bertrand du MARAIS et Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n°2018-020C du 24 janvier 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement relatif au domaine " [...]" et/ou à l’extension pour navigateurs Chrome et Chromium dénommée " […] " ; Vu les décisions n° 2019-228C, 2019-231C et 2019-232C du 17 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir des applications "[...]", "[...]" et "[...]" ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X. le 15 juin 2022 ; Vu les observations écrites versées par le conseil de la société X. le 30 août 2022 ; Vu la réponse du rapporteur à ces observations notifiée à la société X. le 30 septembre 2022 ; Vu les nouvelles observations écrites versées par le conseil de la société X., reçues le 7 novembre 2022 ; Vu les observations orales formulées lors de la séance de la formation restreinte du 24 novembre 2022 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte : - Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société X. : - […] ; La société X. ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. Créée en avril 2016 et ayant son siège social […] (Etats-Unis), la société X. (ci-après " la société ") est une filiale à 100% de la société Y, située en Israël. Elle ne dispose pas d’établissement sur le territoire de l’Union européenne. En 2021, la société a réalisé un chiffre d’affaires de […] dollars. 2. La société assure la commercialisation d’une extension (ci-après " l'extension [...]"), disponible à partir du site " [...]", fonctionnant sur les navigateurs Chrome et Chromium et permettant à ses utilisateurs d’obtenir les coordonnées professionnelles (numéro de téléphone et adresse électronique) de personnes dont ils visitent le profil sur le réseau social LinkedIn ou sur la plateforme de relation clients Salesforce.com (ci-après " Salesforce "). 3. La société édite également, via les sociétés YY, XY. et YZ qu’elle détient en totalité, les applications pour ordiphones appelées "[...]", "[...]" et "[...]", qui étaient disponibles depuis le territoire français sur les systèmes Android et iOS jusqu’en août 2022 et qui se présentaient comme offrant un service à l’utilisateur de " gestion des contacts ". 4. Les 24 janvier et 1er février 2018, faisant suite à un signalement reçu en janvier 2018, une délégation de la CNIL a effectué un contrôle en ligne sur le site web " [...]" en vertu de la décision n° 2018-020C du 24 janvier 2018 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission "). 5. Cette mission avait pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " " ou " loi du 6 janvier 1978 "), en lien avec les traitements relatifs au domaine " [...]" et/ou à l’extension pour navigateurs Chrome et Chromium dénommée " […] ". 6. Le 6 mars 2019, la délégation de contrôle a opéré un nouveau contrôle en ligne pour vérifier la conformité des traitements relatifs au domaine " [...]" et à l’extension [...], en particulier aux fins de vérifier l’instruction de deux plaintes reçues par les services de la CNIL respectivement le 22 octobre 2018 et le 14 février 2019. 7. Des représentants de la société ont été auditionnés dans les locaux de la Commission le 18 juillet 2019. 8. Les 19 et 20 décembre 2019, en vertu des décisions n° 2019-228C, 2019-231C et 2019-232C du 17 décembre 2019 de la présidente de la CNIL, les services de la Commission ont effectué, à partir d’un terminal mobile, trois contrôles en ligne sur les applications "[...]", "[...]" et "[…]". 9. Ces contrôles avaient pour objet de vérifier la conformité des traitements accessibles à partir de ces applications mobiles, ou portant sur des données à caractère personnel collectées à partir de ces dernières auprès de tout organisme concerné par leur mise en œuvre, aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après " le RGPD " ou " le Règlement ") et de la loi Informatique et Libertés. 10. Par des courriers électroniques envoyés entre juillet 2019 et mai 2020, la société a fait parvenir à la CNIL plusieurs documents et éléments de réponse sollicités par les services de la Commission dans le cadre des investigations. 11. Le 29 mars 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978, la présidente de la Commission a désigné Monsieur François PELLEGRINI en qualité de rapporteur aux fins d’instruction de ces éléments. 12. Le 15 juin 2022, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Le courrier de notification du rapport indiquait à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites au titre des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019 modifié, pris pour l'application de la loi Informatique et Libertés (ci-après " le décret du 29 mai 2019 "). 13. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction de mettre en conformité le traitement avec les articles 6 et 15 du RGPD à titre principal et les articles 14 à 15 à titre subsidiaire, assortie d’une astreinte à l’issue d’un délai de trois mois suivant la notification de la délibération. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 14. Par courrier du 22 juin 2022, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse au rapport du rapporteur, qui lui a été accordé le 24 juin suivant, sur le fondement de l’article 40, alinéa 4, du décret du 29 mai 2019. 15. Le 30 août 2022, la société a produit des observations en réponse. 16. Le 30 septembre 2022, le rapporteur a répondu aux observations de la société. 17. Le 7 novembre 2022, la société a présenté de nouvelles observations en réponse à celles du rapporteur. 18. Par courrier du 8 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019. 19. Par courrier du même jour, la société a été informée de l’inscription du dossier à l’ordre du jour de la formation restreinte du 24 novembre 2022. 20. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte. II. Motifs de la décision A. Sur le traitement en cause et la qualité de la société X vis-à-vis de ce traitement 1. Sur le traitement de données à caractère personnel en cause : l’extension [...] 21. En vertu de l’article 4, alinéa 2), du RGPD, constitue un traitement de données à caractère personnel " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ". 22. En l’espèce, la formation restreinte relève qu’une fois installée sur un navigateur Chrome ou Chromium et après création d’un compte " […] ", l’extension commercialisée par la société permet à un utilisateur naviguant sur le réseau social LinkedIn ou sur la plateforme Salesforce.com d’obtenir des informations sur une personne dont le profil est visité par l’utilisateur (ci-après " la personne cible "), à savoir les coordonnées professionnelles de cette personne (numéro(s) de téléphone et/ou adresse(s) électronique(s)), lesquelles s’afficheront dans une fenêtre flottante sur la page visitée. 23. Lorsque l’utilisateur consulte le profil LinkedIn ou la page Salesforce de la personne cible, l'extension comparera le nom de la personne cible avec les noms éventuellement identiques stockés dans la base de données de la société. Dans l’éventualité où au moins un résultat est retourné, l'extension vérifiera que l’entreprise renseignée comme étant l’employeur de la personne cible sur le profil LinkedIn ou Salesforce visité correspond bien à celle qui est recensée dans sa base de données. Si les critères précédents renvoient un résultat et que le numéro de téléphone et / ou l’adresse électronique associés à la personne cible apparaissent dans les carnets d’adresses numériques d’au moins deux personnes distinctes enregistrées dans la base de la société, le numéro et / ou l’adresse électronique associés seront affichés dans la fenêtre flottante de l’utilisateur visitant la page de la personne cible. 24. Les représentants de la société ont précisé lors de l’audition du 18 juillet 2019 que l’extension fonctionne en version gratuite, avec un crédit de cinq contacts, et en version payante, avec un nombre de contacts dépendant de la quantité de crédits souscrits. 25. Entre 2016 et août 2022, les données constituant la base de données de contacts de la société étaient collectées grâce aux trois applications mobiles de gestions de contacts "[...]", "[...]" et "[...]", développées par des filiales de la société, qui aspiraient les carnets d’adresses numériques de leurs utilisateurs pour les transférer à la société X. 26. Plus concrètement, à l’ouverture initiale des applications une fenêtre surgissante apparaissait pour informer les utilisateurs qu’en créant leur compte ils s’apprêtaient à partager leurs contacts avec la " communauté des applications pour aider à la vérification d’identité ". La société opérait alors un filtrage des données transmises pour ne conserver que des données de contacts " professionnelles " (numéro(s) de téléphone et/ou adresse(s) électronique(s)), en excluant les données de contacts à usage personnel. Pour opérer ce filtrage, la société recourait, d’une part, à des informations accessibles au public pour comprendre la structure de l’adresse électronique et/ou du numéro de téléphone d’une société (p. ex. : prenom.nom@societe.com et pour une société française basée à Paris : + 33 1) et, d’autre part, à une liste blanche de noms de contacts professionnels établie par la société ZZ comprenant, à la date des contrôles, les contacts de 5 à 7 millions d'entreprises. Seuls les contacts appartenant à cette liste blanche étaient intégrés dans la base de données de la société X. 27. Les applications précitées ayant été retirées du marché français en août 2022, le fonctionnement de l’extension faisait donc intervenir auparavant trois catégories distinctes de personnes : - d’abord, les utilisateurs des applications mobiles, soit les personnes dont les carnets d’adresses contenant les données de contacts des personnes concernées étaient aspirés par les applications mobiles puis transmises dans la base de données […] ; - ensuite, les personnes concernées, dites également personnes cibles, soit les personnes dont les données de contacts sont présentes dans la base de données […] et qui font l’objet du traitement en cause ; - enfin, les utilisateurs de l’extension [...], c’est-à-dire les clients de la société, utilisant l’extension en version gratuite ou payante, qui visitent les profils LinkedIn ou Salesforce des personnes cibles afin, notamment, d’obtenir leurs coordonnées professionnelles pour les démarcher. 28. Ainsi, les personnes concernées (au sens où ce terme sera utilisé ci-après), dont les données sont consultées par les clients de […], ne sont ni utilisatrices de l’extension [...], ni utilisatrices des applications développées par les filiales de la société, leur présence dans la base de données […] s’expliquant uniquement par le fait que leurs coordonnées figuraient dans le carnet d’adresses d’un ou de plusieurs de leurs contacts (ami, famille, collègue, etc.) ayant téléchargé les applications "[…]", "[...]" ou "[...]". 29. La formation restreinte relève que la circonstance que la base de données en cause servant au fonctionnement de l'extension [...]soit, en principe, seulement constituée des coordonnées " professionnelles " des personnes demeure sans incidence sur le caractère " personnel " de ces données, selon une jurisprudence bien établie de la Cour de justice de l’Union européenne (voir, notamment, CJUE, 9 novembre 2010, Volker e. a., aff. C-92/09 et C-93/09, pt. 59). 30. Elle relève, au demeurant, qu’il ressort de ce qui précède que les opérations d’aspiration des carnets d’adresses des utilisateurs des applications mobiles puis de filtrage de ces données amènent nécessairement la société à traiter également les coordonnées dites " personnelles " des contacts figurant dans les carnets d’adresses aspirés (coordonnées personnelles et autres données telles que les notes de contacts), quand bien même ces données ne seraient par la suite pas versées dans la base de données servant au fonctionnement de l’extension [...]. 31. La société indique que l’extension a pour finalité de lutter contre la fraude en ligne en permettant à ses utilisateurs de s’assurer que la personne cible dont ils visitent le profil " est bien la personne qu’elle prétend être ou travaille bien pour la société à laquelle elle prétend appartenir " (audition du 18 juillet 2019). 32. La formation restreinte note également qu’il a été constaté sur le site web de la société, lors du contrôle en ligne du 6 mars 2019, que la société présente son service comme permettant à ses utilisateurs de " remplir le défi de permettre un véritable contact avec vos clients, en connaissant [leurs] bons numéros de téléphone, adresse courriel et données de société. Accéder aux données dont vous avez besoin pour contacter vos prospects via les réseaux sociaux, le web, Saleforces ou l’API " et cite le témoignage d’un de ses utilisateurs, selon lequel il s’agirait de " la meilleure application pour trouver des numéros de téléphones et des informations relatives à des individus, rapide et facile d’usage " (traduction libre). 33. Il résulte de ce qui précède que l’ensemble des différentes opérations de traitement évoquées ci-avant, toutes indispensables au fonctionnement de l’extension [...], et qui consistent, notamment, en la collecte, la conservation, la structuration, le croisement et la diffusion de données à caractère personnel, notamment des données de contacts " brutes " des utilisateurs des applications "[...]", "[...]" et "[...]" et des données issues de la liste blanche ZZ, participent à un seul et même traitement de données à caractère personnel poursuivant les finalités de lutte contre la fraude en ligne et de mise à disposition de coordonnées de prospects (ci-après " le traitement en cause "). 2. Sur la qualité de la société X 34. Au titre de l’article 4, alinéa 7), du RGPD, est responsable de traitement " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ". 35. En l’espèce, la société a déclaré à la CNIL être " responsable des traitements résultant de l’utilisation de [l’extension [...]] " et que les sociétés YY, XY et YZ étaient responsables de traitement des applications mobiles qu’elles développent (à savoir les applications "[...]", "[...]" et "[...]"). 36. Indépendamment de cette répartition, la formation restreinte considère que la société doit être considérée comme responsable de l’ensemble des opérations de traitement nécessaires au fonctionnement de son extension. 37. Ainsi, la responsabilité de la société s’étend également à l’égard des opérations de collecte des données de contacts des personnes figurant dans les carnets d’adresses des utilisateurs des applications mobiles et de transmission de ces données vers la base […], dès lors que ces deux opérations étaient, à la date des contrôles, indispensables à l’alimentation de la base de données de contacts sans laquelle l'extension [...]ne pouvait pas fonctionner. 38. Si, dans les faits, ces deux opérations de traitement étaient menées au sein des applications mobiles développées par les filiales de la société, la formation restreinte souligne que la société en était nécessairement à l’origine via le pouvoir décisionnel qu’elle exerce sur ces trois sociétés qu’elle détient à 100 % et qui ne disposent d’aucun employé. Dès lors, et sans qu’il soit besoin de déterminer si les filiales ont la qualité de seules responsables de traitement pour l’opération d’aspiration des données tandis que la société X serait seule responsable pour l’opération de transmission des données vers sa base, de coresponsables de traitement avec la société X pour les deux opérations, ou de sous-traitantes de la société X pour ces deux opérations, la formation restreinte estime que la société mère détermine, au moins en partie, les finalités et les moyens de ces opérations de traitement et est donc responsable de traitement. 39. Il résulte de ce qui précède que la société est responsable du traitement en cause. B. Sur l’applicabilité du RGPD 40. Le rapporteur soutient que la CNIL était compétente au titre de la loi Informatique et Libertés, puis au titre du RGPD, pour engager une procédure de contrôle puis une procédure de sanction à l’encontre de la société. Plus particulièrement, il considère que le RGPD est applicable au traitement en cause au titre de son article 3, paragraphe 2, b), dès lors que le traitement concerne des données à caractère personnel relatives à des personnes concernées sur le territoire de l’Union européenne et qu’il est lié au suivi du comportement de ces personnes. 41. La société considère que la CNIL est incompétente depuis l’engagement de la procédure de contrôle. Elle estime notamment que le RGPD ne lui est pas applicable dans la mesure où elle ne traiterait pas de données à caractère personnel liées au " comportement " des personnes concernées et ne mettrait pas en œuvre d’activités de " suivi ", ni de " profilage " et joint à ce soutien les conclusions d’un rapport d’expertise diligenté à son initiative. Elle ajoute que l’inapplicabilité du RGPD à ses activités aurait été confirmée par la Commission nationale pour la protection des données, l’autorité luxembourgeoise de protection des données (ci-après " la CNPD "), qui se serait prononcée sur le sujet dans un courrier électronique en date du 9 juin 2022. 42. L’article 3 du RGPD, relatif au champ d’application territorial, prévoit que ce texte s’applique : " 1. […] au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. 2. […] au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées : a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes ; ou b) au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union ". 43. Selon l’article 4, alinéa 4, du RGPD, le profilage est défini comme " toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ". 44. Le considérant 24 du RGPD précise à cet égard que " Le traitement de données à caractère personnel de personnes concernées qui se trouvent dans l’Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’Union devrait également être soumis au présent règlement lorsque ledit traitement est lié au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union. Afin de déterminer si une activité de traitement peut être considérée comme un suivi du comportement des personnes concernées, il y a lieu d’établir si les personnes physiques sont suivies sur Internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit ". 45. À titre d’éclairage, dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD dans leur version du 12 novembre 2019, le Comité européen de protection des données (ci-après " le CEPD ") relève que, " contrairement à la disposition de l’article 3, paragraphe 2, point a), ni l’article 3, paragraphe 2, point b), ni le considérant 24 n’introduisent expressément un degré nécessaire d’" intention de cibler " de la part du responsable du traitement ou du sous-traitant pour déterminer si l’activité de surveillance déclencherait l’application du RGPD aux activités de traitement. Toutefois, l’utilisation du mot " suivi " implique que le responsable du traitement poursuit un objectif spécifique en vue de la collecte et de la réutilisation ultérieure des données pertinentes relatives au comportement d’une personne au sein de l’Union. Le comité n’estime pas que la collecte ou l’analyse en ligne de données à caractère personnel relatives à des personnes dans l'Union serait automatiquement considérée comme un " suivi ". Il sera nécessaire de tenir compte de la finalité du traitement des données par le responsable du traitement et, en particulier, de toute analyse comportementale ou technique de profilage ultérieure impliquant ces données. Le comité tient compte du libellé du considérant 24, qui indique que pour déterminer si le traitement implique le suivi du comportement d'une personne concernée, le suivi des personnes physiques sur Internet, y compris l’utilisation ultérieure potentielle de techniques de profilage, constitue un facteur important ". 46. En l’espèce, dès lors que la société ne dispose d’aucun établissement dans l’Union européenne et que l'extension [...]n’est pas liée à une offre de biens ou de services aux " personnes concernées " telles que définies au § 28 de la présente décision, la formation restreinte relève que ni le critère de l’établissement prévu au paragraphe 1 de l’article 3 du RGPD, ni celui relatif à l’offre de services aux personnes concernées dans l’Union prévu au paragraphe 2, a) du même article ne sont applicables. 47. En ce qui concerne le critère relatif au suivi de comportement des personnes concernées, prévu au paragraphe 2, b) de ce même article 3 et dont l’applicabilité est invoquée par le rapporteur, la formation restreinte relève que si la société traite effectivement des données à caractère personnel de personnes situées dans l’Union européenne et, en particulier, en France, il n’est pas établi que ces personnes fassent l’objet d’un suivi de comportement par la société. En effet, la formation restreinte relève que la constitution de la base de données par la société repose uniquement sur le rapprochement entre des données de contacts professionnels (téléphone, adresse électronique) avec l’identité des personnes dont le profil est visité sur LinkedIn afin d’en vérifier la véracité. Il ne s’agit donc pas, en l’espèce, d’un traitement qui consiste à analyser ou prédire un comportement, les préférences personnelles ou les déplacements d’une personne, ses intérêts, sa situation économique ou son état de santé. La formation restreinte considère que la société n’utilise pas de techniques de traitement de données à caractère personnel qui consistent en un profilage d’une personne physique. 48. Il résulte de ce qui précède que le RGPD n’est pas applicable au traitement en cause. Par conséquent, il n’entre pas dans les pouvoirs de la formation restreinte de prononcer une sanction. 49. Il apparaît opportun que l’ensemble des utilisateurs des applications en cause soient informés que les traitements mis en œuvre par la société X ne sont pas soumis au RGPD. Il convient en conséquence d’ordonner la publication de la présente délibération. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : • qu’il n’y a pas lieu au prononcé d’une sanction ; • de rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.


Décision DR-2024-238 du 18 octobre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l'évolution des paramètres du vieillissement artériel, intitulée « EPP3-2 ». (Demande d’autorisation n° 924198)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France IV du 15 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires de données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données de l’étude "EPP3-1" (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) La collecte de l’origine ethnique des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Le secrétariat de médical du centre des investigations pré cliniques de Paris sera destinataire des données nominatives ainsi que des coordonnées postales, téléphoniques et électroniques des participants aux fins de leur adresser les notes d’information ainsi que les formulaires de participation et d’organiser les rendez-vous d’inclusion. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant quinze ans au sein d’une collection d’échantillons biologiques puis détruits. Sauf opposition des participants dûment informés, leurs données administratives d’identification seront archivées durant quinze ans à l’issue de leur suivi. Les données administratives d’identification des participants détenues par le secrétariat médical du centre des investigations pré cliniques de Paris seront conservées trois ans, correspondant au délai nécessaire à la réalisation du recrutement des participants à l’étude, puis seront détruites. Autres données : Base active : sept ans. Archivage : quinze ans. Réutilisation des données et des échantillons biologiques La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation). Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-239 du 18 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les caractéristiques sociodémographiques, clinico-biologiques et socio-anthropologiques des gliomes diffus à la Réunion, intitulée « GLIORUN ». (Demande d’autorisation n° 924168)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer II du 29 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Sur la réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données de l’ensemble des patients diagnostiqués de gliome diffus depuis le 1er janvier 2018 au sein du CHU de la Réunion, collectées dans le cadre de leur suivi médical seront réutilisées dans le cadre de cette étude. Catégories particulières de données traitées (autres que données de santé) Les coordonnées postales des participants, le jour du diagnostic de leur pathologie ainsi que durant les vingt dernières années, seront collectées afin de calculer les Ilots Regroupés pour l'Information Statistique (IRIS). Durées de conservation en base active et en archivage Les adresses complètes des personnes concernées seront conservées le temps nécessaire au calcul de l’IRIS puis seront supprimées. Autres données : Base active : sept ans Archivage : quinze ans AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-231 du 30 septembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les expositions chimique et microbiologique des femmes dans les exploitations bovines laitières, intitulée « DAISY-Expo ». (Demande d’autorisation n° 924176)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est VI du 7 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom ainsi que des coordonnées postales et téléphoniques est nécessaire pour proposer aux personnes de participer à l’étude, leur adresser la note d’information ainsi que pour assurer leur suivi. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données administratives d’identification nom, prénom, coordonnées téléphoniques et postales seront détruites à la fin du suivi. Les échantillons biologiques seront conservés pendant quinze ans au sein d’une collection d’échantillons biologiques puis détruits. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données / échantillons biologiques La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Délibération de la formation restreinte n° SAN-2024-009 du 22 juillet 2024 concernant la commune de KOUROU

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux li-bertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2023-018 du 12 décembre 2023 adoptée par la formation restreinte à l’encontre de la commune de KOUROU ; Vu la délibération n°SAN-2024-005 du 4 avril 2024 adoptée par la formation restreinte à l’encontre de la commune de KOUROU ; Après en avoir délibéré, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. Par décision du 12 décembre 2023, notifiée le 18 décembre 2023, la formation restreinte a adopté des mesures correctrices dans les termes suivants : - " prononcer à l’encontre de la commune de KOUROU une amende administrative d’un montant de cinq mille (5 000) euros au regard des manquements constitués aux articles 31 et 37 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ; - prononcer à l’encontre de la commune de KOUROU une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent-cinquante (150) euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte ". 2. En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 4 avril 2024, notifiée le 10 avril 2024, porté à la connaissance de la commune que, compte tenu de l’absence de réponse de la commune relative à la désignation d’un délégué à la protec-tion des données dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024, et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la commune qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observa-tions écrites. 3. La commune n’a formulé aucune observation écrite. II. MOTIFS DE LA LIQUIDATION ET MONTANT 4. Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre ". 5. L’article 44, paragraphe 3, du décret précité prévoit que " En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée " et que " Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité ". 6. Enfin, selon les paragraphes 4 et 5 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ". A. Sur les motifs de la liquidation 7. La formation restreinte relève que la commune ne lui a transmis aucun élément permettant d’attester de la désignation d’un délégué à la protection des données. 8. Par conséquent, la formation restreinte considère que la commune n’a pas satisfait à l’injonction prononcée par la délibération n° SAN-2023-018 du 12 décembre 2023. B. Sur le montant de l’astreinte à liquider 9. Compte tenu de l’absence de mise en conformité de la commune de Kourou, la formation restreinte considère qu’il y a lieu de liquider l’astreinte à hauteur de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024. C. Sur la publicité 10. Il convient de rendre publique la présente délibération afin d’informer des suites données au prononcé de l’injonction de la sanction n°SAN-2023-018 du 12 décembre 2023, elle-même publiée. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : - procéder à la liquidation de l’astreinte prononcée à l’encontre de la commune de KOUROU pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024 ; - rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la commune de KOUROU à l’expiration d’un délai d’un an à compter de sa publication ; Le président Philippe-Pierre CABOURDIN Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de trois mois à compter de sa notification.


Décision DT-2024-020 du 13 septembre 2024 autorisant la société GERS SAS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé " THIN ". (Demande d’autorisation n° 2234363)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé THIN , qui met à disposition des données de vie réelle de suivi des patients, collectées chez les médecins libéraux de ville, à des fins de recherche et d’études non interventionnelle portant notamment sur : l’analyse de l’usage du traitement, des indicateurs d’observance et de persistance, de la prise en charge et des schémas thérapeutiques, des changements de traitements et des parcours des patients ; la réduction de l’errance de diagnostic par analyse prédictive de survenue des maladies ; l’évaluation de la bonne utilisation des médicaments (interactions médicamenteuses, effets secondaires, posologies prescrites respectant les recommandations de la Haute autorité de santé, etc. ) ; l’évaluation de la consommation de soins et de coûts de prise en charge des patients à des fins d’études médico-économiques ; les calculs de prévalence, d’incidence et évaluant le fardeau de la pathologie ; le suivi des campagnes de vaccination et de dépistage au cabinet médical ; le suivi de crises épidémiques. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Les données contenues dans cet entrepôt ne devront pas être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées. La CNIL relève néanmoins que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Sur les sous-traitants Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel entrepôt de données de santé . Sur les données traitées et leur profondeur historique Les différentes données conservées dans l’entrepôt sont listées dans le dossier de demande. Les données relatives à l’historique des remboursements de santé effectués par l’assurance maladie ne seront pas conservées au sein de l’entrepôt. S’agissant des données relatives aux patients : Sous réserve de l’exercice du droit d’opposition des patients suivis par un médecin partenaire, les données suivantes seront conservées au sein de l’entrepôt : données administratives : code patient pseudonymisé non signifiant ; année de naissance et sexe du patient ; le cas échéant, mois et année de décès ; nombre de mois au moment de l’évènement médical pour les patients de trois ans et moins ; nombre d’enfants si le patient est une femme âgée de 18 ans ou plus ; visites (date et type) ; diagnostics/pathologies (antécédents médicaux et date, type de diagnostic et date, facteurs de risque, allergies, effets secondaires, échelles et scores de sévérité des maladies, affection de longue durée) ; traitement (produit prescrit et délivré, date de prescription, diagnostic associé, posologie prescrite, risque associé à la délivrance…) ; examens (date, mesure biologique, résultat…) ; actes médicaux (prescription d’examens complémentaires, acte médical, date de l’acte…) ; arrêts de travail (date, durée…) ; hospitalisation (date, durée, label…) ; autres données (prescription de vaccins, adressage aux spécialistes, prescriptions de soins paramédicaux, transports médicaux). S’agissant des patients dont la dernière consultation est antérieure à 2018 : Eu égard à l’ancienneté de la date de la dernière consultation, le dossier de demande mentionne que leurs données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : Le dossier de demande distingue plusieurs hypothèses. Premièrement, les patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : le suivi de ces patients étant impossible suite à la rupture du contrat avec le médecin et les consultations uniques pour ces spécialités étant fréquentes, leurs données seront conservées pendant une durée de trois mois à compter de la présente autorisation aux seules fins de calcul d’indicateurs agrégés anonymes puis supprimées. Elles seront marquées avec un indicateur spécifique. Deuxièmement, les patients ayant eu une seule consultation avec un médecin généraliste, un endocrinologue, un gynécologue, un pédiatre, un psychiatre, un rhumatologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : leurs données ne seront pas conservées dans l’entrepôt. Troisièmement, les patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin ou est toujours en cours : leurs données, correspondant à une profondeur historique maximale de dix ans à compter de la dernière consultation, seront conservées au sein de l’entrepôt afin de pouvoir assurer la qualité du suivi longitudinal des patients. Par ailleurs, certaines données collectées (date d’enregistrement du diagnostic, le libellé du diagnostic enregistré et les antécédents médicaux personnels) durant les cinq années précédant cette profondeur historique seront conservées pendant trois mois aux seules fins de calcul d’indicateurs clés liés au parcours diagnostic des patients puis supprimées. Elles seront marquées avec un indicateur spécifique. La conservation des indicateurs calculée à partir de ces données devra être scientifiquement justifiée et être autorisée par la CNIL. Les autres données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients ayant une consultation à partir de septembre 2024 (en cours de suivi ou nouvellement inclus) : Dans la limite d’une profondeur historique de quinze ans à compter de la dernière consultation, leurs données pourront être conservées au sein de l’entrepôt. S’agissant des professionnels de santé : Seront conservés au sein de l’entrepôt : le code médecin pseudonymisé, la spécialité médicale, le département du lieu d’exercice, l’année de naissance, le sexe et l’année d’obtention du diplôme du médecin. Sur l’information des personnes La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi informatique et libertés . Tous les documents d’information (individuelle ou collective) devront : comporter l’ensemble des mentions prévues par le RGPD ; préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées. S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement : Le dossier de demande d’autorisation mentionne : d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ; d’autre part, que des notes d’information collective seront affichées dans le cabinet de chaque professionnel de santé partenaire, ainsi que sur le site web du responsable de traitement. S’agissant plus spécifiquement des modalités d’information des patients : Le dossier de demande mentionne : d’une part, que les médecins partenaires ont l’obligation contractuelle d’informer le patient de sa participation à l’entrepôt THIN et de leur transmettre la notice d’information mise à leur disposition via le logiciel ; d’autre part, que le responsable de traitement entend faire application de l’article 14,5,b) du RGPD afin de déroger au principe d’information individuelle pour les patients dont la dernière consultation est antérieure à la présente autorisation. La CNIL relève que l’information délivrée jusqu’alors aux patients était incomplète au regard des exigences de la loi informatique et libertés en vigueur et du RGPD. Il appartient à la société GERS SAS de remédier à l’absence de conformité des modalités d’information des patients dont les données ont été collectées selon les modalités suivantes. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de suivi des patients collectées chez les médecins libéraux de ville, à des fins de recherches et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement. S’agissant des patients qui consulteront un professionnel de santé partenaire à compter la présente autorisation : Ils recevront une note d’information individuelle. En tant que responsable de traitement, la société GERS SAS devra transmettre aux professionnels de santé partenaires une note d’information à destination des patients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les professionnels de santé partenaires sont contractuellement chargés d’informer leurs patients du traitement de données les concernant. S’agissant des professionnels de santé partenaires : Une note d’information devra leur être transmise par la société Gers SAS. Sur les droits des personnes Les patients pourront exercer leurs droits directement auprès des professionnels de santé partenaires. Les professionnels de santé devront pouvoir exercer leurs droits conformément au RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données, les personnels salariés de la société GERS SAS et les acteurs externes (universités ; centres et équipes de recherche hospitaliers ; instituts de recherche médicale…) et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Ces accès seront réalisés dans des espaces projets hébergés auprès de l’entrepôt. Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel entrepôt de données dans le domaine de la santé . Un des points de non-conformité est la conservation du sexe et de l’année de naissance des patients dans la base de données principale de l’entrepôt. Cette absence de cloisonnement apparaît conforme eu égard aux caractéristiques du traitement. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’intégrer l’amélioration des mesures liées au respect des finalités interdites, et en particulier : lors de la création du projet, l’obligation pour le responsable de projet de s’engager sur la non-poursuite des finalités interdites ; lors de l’extraction de données, l’obligation pour le data-analyste ou data-scientiste de s’engager à utiliser les données uniquement dans le cadre du projet ; un contrôle manuel supplémentaire afin de vérifier qu’aucun résultat n’est restitué au niveau d’un agrégat si celui-ci concerne moins de dix professionnels de santé. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, à la fin du premier trimestre 2025. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer dans un délai d’un an à compter de l’autorisation la réalité des mesures de sécurité mises en œuvre par la société GERS SAS. Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur la conservation des données Les données faisant l’objet d’un marquage spécifique seront conservées pendant trois mois pour les seules finalités décrites dans la présente autorisation puis détruites. Dans l’hypothèse où la présente autorisation serait renouvelée : les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la date de la présente autorisation et dont le contrat a pris fin seront conservées dix ans ; les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la présente autorisation dont le contrat n’a pas pris fin seront conservées dix ans dans l’hypothèse où ils ne pourraient pas être informés individuellement, faute de nouvelle consultation chez ce médecin ; les autres données ne pourront être conservées que pour une durée maximale de quinze ans à compter de leur collecte auprès des professionnels de santé partenaires. Sur la réutilisation des données de l’entrepôt Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées devront être informées de chacun de ces traitements conformément au RGPD et à la loi informatique et libertés . Observations complémentaires Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter : les modalités de réalisation du plan d’actions ; les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ; la description des indicateurs calculés à partir des données ayant fait l’objet d’un marquage spécifique ; la démonstration du caractère anonyme au regard des critères susmentionnés des indicateurs calculés à partir des données des patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin. Il appartiendra à la société GERS SAS de documenter l’effectivité de la suppression des données conformément aux termes de la présente décision. AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus, pendant une durée d’un an. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-019 du 30 août 2024 autorisant la société GERS SAS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé " SOG HEALTH ". (Demande d’autorisation n° 2234230)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement a pour finalité la mise en œuvre d’un entrepôt de données à caractère personnel. Cet entrepôt, dénommé " Sog Health ", a pour finalité la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles portant sur : l’analyse de l’efficacité d’un traitement (durée du traitement, indicateurs d’observance et de persistance, charge thérapeutique, schémas thérapeutiques, changements de traitements, effets secondaires, etc.) ; l’évaluation de la bonne utilisation des médicaments et l’analyse des interactions médicamenteuses ; l’étude de ressources consommées (consommation de soin) et de coûts de prises en charge des patients intégrables dans des études médico-économiques ; les outils de régulation sur l’automédication et les traitements alternatifs ; le suivi des campagnes de vaccination et de dépistage en officine ; le suivi des ruptures des produits de santé et l’évaluation des alternatives thérapeutiques ; le suivi de crises épidémiques. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités " interdites " d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement mis en œuvre est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de la base légale du traitement. La CNIL relève néanmoins que la nature des données traitées ainsi que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Sur les sous-traitants Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel " entrepôt de données de santé ". Sur les données traitées Les données à caractère personnel conservées dans l’entrepôt sont : les données des clients de la pharmacie partenaire (code client de la pharmacie pseudonymisé ; année de naissance du client ; sexe du client) ; les données relatives aux factures et produits délivrés/vendus (identifiant facture pseudonymisé ; date de facture ; nature de l’acte : délivrance, vaccination, préparation magistrale, location de matériel, etc. ; nature de la vente : sur ordonnance, vente conseil ; origine de prescription : ville ou hôpital ; codes et libellés des produits ; remboursable/non remboursable ; quantités délivrées et prescrites ; prix et taux de TVA) ; les données du professionnel de santé prescripteur : code prescripteur pseudonymisé ; la spécialité médicale ; l’unité géographique d’analyse du lieu de prescription ; honoraires de dispensation ; le code point de vente de la pharmacie. La profondeur historique des données conservées au sein de l’entrepôt ne pourra excéder dix ans à compter de la date du passage en pharmacie. Sur l’information des personnes concernées La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi " informatique et libertés ". Tous les documents d’information (individuelle ou collective) devront : comporter l’ensemble des mentions prévues par le RGPD ; préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées. S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement : Le dossier de demande d’autorisation mentionne : d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ; d’autre part, que des notes d’information collective seront affichées dans chaque pharmacie partenaire. Le responsable de traitement devra compléter les mesures d’information collective prévues par d’autres canaux d’information visant les prescripteurs, par exemple en diffusant une information via les bulletins des ordres professionnels. S’agissant plus spécifiquement des modalités d’information des clients des officines : La société GERS SAS ne leur a fourni aucune information avant 2021 et, entre 2021 et 2024, l’information collective délivrée est incomplète au regard des exigences du RGPD. Il appartient à la société GERS SAS de remédier à l’absence d’information individuelle d’une partie conséquente des personnes dont les données ont été collectées selon les modalités suivantes. S’agissant des clients dont le dernier passage en pharmacie est antérieur à l’année 2021 (absence totale d’information) : Le dossier de demande mentionne que les données contenues dans l’entrepôt seront gelées et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation. Ce délai a été justifié par le fait, qu’en moyenne, 70% des clients reviennent à la même pharmacie dans un délai de deux ans. S’agissant des clients dont le dernier passage en pharmacie a eu lieu entre janvier 2021 et août 2024 (information collective incomplète) : La société GERS SAS souhaite pouvoir conserver au sein de l’entrepôt : les données collectées entre 2021et 2024 ; les données collectées durant les quatre ans précédant le premier passage en pharmacie du client durant cette période afin de pouvoir assurer la qualité des résultats des analyses et mettre en œuvre certaines études longitudinales. Pour ces clients, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement. Les autres données collectées (dans la limite de la profondeur historique maximale de dix ans) seront gelées par la société GERS SAS et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation. S’agissant des clients qui passeront dans une pharmacie partenaire à compter de septembre 2024 : Ils recevront une note d’information individuelle. En tant que responsable de traitement, la société GERS SAS devra transmettre aux pharmacies partenaires une note d’information à destination des clients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les pharmaciens partenaires sont contractuellement chargés d’informer leurs clients du traitement de données les concernant. S’agissant des pharmaciens partenaires : Une note d’information individuelle est remise au pharmacien lors de la conclusion du contrat de partenariat avec la société GERS SAS. S’agissant des prescripteurs : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement. Sur les droits des personnes Les clients pourront exercer leurs droits d’opposition et d’effacement directement auprès des pharmacies partenaires. Les autres droits (accès, rectification et limitation) pourront être exercés auprès du responsable de traitement. S’agissant du droit à la limitation, toutes les factures du patient issues de la pharmacie où il a exercé son droit seront marquées avec un indicateur spécifique et ne seront plus visibles par l’outil d’extraction alimentant l’entrepôt de la société GERS SAS. Les autres personnes concernées par ce traitement devront pouvoir exercer leurs droits conformément au RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données uniquement les personnels salariés de la société GERS SAS et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. En dehors des personnes visées ci-dessus, les organismes à l’initiative des études et des analyses ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel " entrepôt de données dans le domaine de la santé ". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel " entrepôt de données dans le domaine de la santé ". Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures liées au respect des finalités interdites, et en particulier : intégrer la dimension " finalités interdites " dans les mesures d’exploitations des traces, pour la surveillance et l’audit des projets ; élargir la surveillance et la gestion des conflits d’intérêts jusqu’à la composition des équipes de recherche. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par la société GERS SAS. Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur la conservation des données Dans l’hypothèse où la présente autorisation serait renouvelée : les données ne pourront être conservées que pour une durée maximale de dix ans à compter de leur collecte au sein des officines ; les données gelées seront conservées dans la même limite de profondeur historique et devront être détruites à l’issue d’un délai de deux ans à compter de la présente autorisation si aucune information individuelle n’a pu être délivrée aux clients concernés durant cette période. Sur la réutilisation des données de l’entrepôt Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées devront être informées de chacun de ces traitements conformément au RGPD et à la loi " informatique et libertés ". S’agissant des conditions spécifiques liées à la réutilisation des données de l’entrepôt : Après échanges avec les représentants de la société GERS SAS, et comme indiqué dans le dossier de demande : les données gelées ne pourront être réutilisées en l’absence d’information individuelle des personnes concernées ; les données non gelées conservées dans l’entrepôt qui concerneraient des clients informés collectivement ne seront utilisées que par la société GERS. Ces données seront identifiées et filtrées au sein de l’entrepôt via des indicateurs spécifiques. Observations complémentaires Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter : les modalités de réalisation du plan d’actions et la résolution d’incidents éventuels ; les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement. AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus pendant une durée d’un an. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-116 autorisant l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la comparaison entre une échocardiographie et une absence d’échocardiographie chez les personnes présentant une bactériémie à staphylococcus aureus et un score VIRSTA <3, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2025 à 2029, intitulée « Virsta-Val». (Demande d’autorisation n° 924086)


Délibération n° 2018-286 du 21 juin 2018 portant avis sur un projet de décret en Conseil d'Etat du ministère de l'action et des comptes publics pris en application de l'article L. 135 ZH du livre des procédures fiscales (demande d'avis n° 18012607)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre des comptes et de l'action publique d'une demande d'avis concernant un projet de décret en Conseil d'Etat pris en application de l'article L. 135 ZH du livre des procédures fiscales ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; Vu le livre des procédures fiscales, notamment son article L. 135 ZH ; Vu le code de la construction et de l'habitation, notamment ses articles L. 411-10, L. 441-2-1 et R. 441-2-1 à R. 441-2-8 ; Vu l'arrêté du 24 juillet 2013 relatif au nouveau formulaire de demande de logement locatif social et aux pièces justificatives fournies pour l'instruction de la demande de logement locatif social ; Vu l'arrêté du 15 novembre 2013 portant création d'un traitement de données à caractère personnel relatif à l'enregistrement des demandes de logement locatif social dénommé numéro unique ; Vu la délibération n° 2013-351 du 7 novembre 2013 de la commission portant avis sur un projet d'arrêté du ministre de l'égalité des territoires et du logement portant création d'un téléservice de l'administration, dénommé numéro unique , permettant de dématérialiser les demandes de logement locatif social ; Vu la délibération n° 2017-132 du 27 avril 2017 de la commission portant avis sur un projet de décret en Conseil d'Etat du ministère du logement et de l'habitat durable relatif au traitement de données à caractère personnel permettant l'enregistrement des demandes de logement locatif social dénommé numéro unique Vu le dossier et ses compléments ; Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l'avis suivant : La commission a été saisie pour avis par le ministre des comptes et de l'action publique d'une demande d'avis concernant un projet de décret en Conseil d'Etat pris en application de l'article L. 135 ZH du livre des procédures fiscales. La loi n° 2017-1775 du 28 décembre 2017 de finances rectificative pour 2017 a créé l'article L. 135 ZH du livre des procédures fiscales, lequel prévoit que l'administration fiscale communique, chaque année, aux services du ministère chargé du logement les informations nécessaires à la détermination et au contrôle de l'éligibilité des demandeurs d'accès à un logement social et à lutter contre la fraude aux demandes de logements sociaux. Ce texte autorise ces ministères à utiliser le NIR des personnes concernées dans le cadre de ces échanges de données et mentionne qu'un décret en Conseil d'Etat pris après avis de la CNIL précise les informations pouvant être échangées dans ce cadre. L'article 1er du projet de décret énumère, d'une part, les éléments que peuvent contenir les demandes du ministère chargé du logement adressés à l'administration fiscale et, d'autre part, les éléments de la situation fiscale des personnes concernées communicables au ministère chargé du logement. Sous réserve d'une concordance suffisante des éléments d'identification des personnes concernées avec ceux détenus par la direction générale des finances publiques, les demandes d'informations nominatives que doivent adresser les services du minière chargé du logement peuvent comporter tout ou partie des informations suivantes, relatives aux demandeurs de logement social : le nom de famille et les prénoms ; le sexe ; la date et le lieu de naissance ; l'adresse ; le NIR et un numéro de liaison. La commission estime que la composition du numéro de liaison pourrait être précisée afin de lever toute ambiguïté quant à son articulation avec le NIR et quant à la capacité des ministères à identifier, sur cette base, les personnes concernées qui ne disposeraient pas de NIR. Sous cette réserve, la commission estime que ces informations sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et du besoin d'identification des personnes concernées. Elle relève que ces données n'excèdent pas le périmètre de celles collectées par les bailleurs sociaux dans le cadre des traitements liés à l'enregistrement et à 1"instruction des demandes de logements sociaux dans le système numéro unique . Les informations communiquées, en retour, par la direction générale des finances publiques aux demandes des services du ministère chargé du logement sont les suivantes : le revenu fiscal de référence ; l'adresse fiscale de taxation. La commission estime que ces données sont pertinentes au regard des finalités poursuivies. Elle estime que les autres dispositions du présent projet de décret n'appellent pas d'observation et souligne, enfin, qu'en raison de la nature des données traitées, de la vulnérabilité des personnes concernées et des caractéristiques des traitements des bailleurs sociaux, ceux-ci ne pourront être mis en œuvre qu'après l'accomplissement d'analyses d'impact sur la protection des données, conformément aux dispositions de l'article 35 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. La présidente, I. Falque-Pierrotin


Délibération n° HABS-2024-002 du 21 mars 2024 habilitant des agents de la Commission nationale de l'informatique et des libertés à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi n° 78-17 du 6 janvier 1978 modifiée

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ; Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Décide : Article 1 Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée : Mme Rose-Marie ABEL ; Mme Sophie BRIET ; Mme Madeleine CAZETTES DE SAINT LEGER ; Mme Virginie CLAUDE-LOONIS ; Mme Audrey DANEL ; Mme Caroline DEROUET ; Mme Rosine DOLBEC ; M. Lionel FERREIRA ; Mme Marie GAILLARDON ; M. Rodolphe GÉNISSEL ; Mme Sarah GUILLOU ; Mme Marion JABOT ; M. Jérémie KOUZMINE ; Mme Morgane LE HIR ; Mme Isabelle MANTZ ; Mme Clothilde MAULIN ; Mme Oriane MAURICE ; Mme Nina MCEVOY ; Mme Lauren SERAN. Article 2 La délibération n° HABS-2024-001 du 25 janvier 2024 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Décision DR-2024-263 du 28 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NICE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le développement d'un outil numérique d'évaluation de la douleur aigue par reconnaissance de l'expression faciale, intitulée « ETUDE-DEF-1 ». (Demande d’autorisation n° 919135v2)

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France X du 22 mai 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée de conservation des données. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autre que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Les personnes concernées seront informées de la modification apportée au traitement selon les modalités prévues dans l’autorisation précédente. Durées de conservation en base active et en archivage Les vidéos seront conservées pendant 10 ans puis détruites. Autres données : 10 ans Archivage : 15 ans Observations complémentaires Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE NICE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-262 du 28 octobre 2024 autorisant l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les apports de la médiation animale en dispositif Ulis-collège, dénommée « Ma-Ulis » (Demande d’autorisation n° 924285)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Avis du comité Avis favorable du Comité de protection des personnes Ile de France X du 4 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées (enregistrements vidéo). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Une note d’information adaptée aux participants mineurs et comportant l’ensemble des mentions prévues par le RGPD devra leur être remise. Durée d’accès/ Durées de conservation en base active et en archivage Les enregistrements vidéo seront conservés pendant quatre ans puis détruits. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT