Décision DR-2024-278 du 12 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BREST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la réévaluation des performances métrologiques d’un algorithme d’identification des accidents vasculaires cérébraux hospitalisés, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2017 à 2020, intitulée « ALIA ». (Demande d’autorisation n° 924212)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 avril 2022. Sur le rôle du groupement d’intérêt public "Plateforme des données de santé" Le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par le GIP PDS. Tous les filtrages et les appariements de données seront réalisés en amont de la transmission des données vers la solution technique du GIP PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM. Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que le GIP PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le CHU de Brest et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par cette méthodologie de référence. Réutilisation des données d’une base existante Les données portant sur les années 2018 à 2019 du registre des accidents vasculaires cérébraux du pays de Brest (demande d’autorisation n° 908085) seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2017 à 2020, sous réserve qu’elles soient diffusables par la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information sur : le site web du responsable de traitement de l’étude ; les sites web des centres participants au registre. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. Ce traitement devra être enregistré dans le répertoire public mis à disposition par le GIP PDS. Mesures de sécurité et modalités d’hébergement La sécurité des données de l’espace projet dédié au projet "ALIA" dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique du GIP PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet "ALIA". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "ALIA" et intégrant les éléments fournis par le GIP PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 15 avril 2023, pour une durée de trois ans sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation devra donc être renouvelée avant l’expiration de ce délai si le projet est toujours en cours. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au CHU de Brest de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Transferts hors Union européenne Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durées de conservation Un an à compter de la mise à disposition des données. Observations particulières La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du registre des accidents vasculaires cérébraux du pays de Brest relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou demande d’autorisation). Par conséquent, le registre des accidents vasculaires cérébraux du pays de Brest devra faire l’objet d’une nouvelle formalité auprès de la Commission. AUTORISE le centre hospitalier universitaire de brest à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-280 du 12 novembre 2024 autorisant la société JANSSEN-CILAG à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’épidémiologie et la prise en charge thérapeutique de la maladie de Crohn et de la rectocolite hémorragique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2009 à 2023, intitulée « EPITHERA » (Demande d’autorisation n° 922123v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé (CESREES) du 18 juillet 2024. Modification substantielle du traitement de données La modification envisagée concerne l’ajout d’un objectif secondaire relatif à la description des complications liées aux maladies inflammatoires chroniques de l'intestin et les arrêts de travail associés aux séquences de traitements. Les autres conditions de mise en œuvre de l’étude demeurent inchangées. AUTORISE la société JANSSEN-CILAG à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-274 du 13 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le sevrage de la thérapie d’épuration extra-rénale chez les patients de réanimation atteints d’insuffisance rénale aigüe, intitulée « WECAN ». (Demande d’autorisation n° 924295)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile-de-France X du 30 août 2023 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. L’ensemble de ces notes d’information devra comporter les mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : trois ans Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-275 du 8 novembre 2024 autorisant la société JANSSEN CILAG à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la description des parcours de soin des patients atteints d’un cancer bronchique non à petites cellules de stade avancé ou métastatique avec mutation EGFR, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2024, intitulée « MONARCH ». (Demande d’autorisation n° 924217)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004. Réutilisation des données d’une base existante Les données de l’étude "cohorte LUCC" (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2014 à 2024, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : Centre d’accès sécurisé aux données Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Seul ce dernier aura accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Durée d’accès Trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières La constitution d’une base de données pérenne en vue de sa réutilisation à des fins de recherche relève, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation). AUTORISE la société JANSSEN CILAG à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-276 du 8 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE POITIERS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la caractérisation de la marginalité des greffons rénaux issus de donneurs en mort encéphalique grâce aux données hautes définitions en soins critiques, intitulée « High Definition Kidney Donor Profile Index - HD-KDPI ». (Demande d’autorisation n° 924260)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données issues du registre CRISTAL (délibération n°96-025 du 19 mars 1996) mises en œuvre par l’Agence de la biomédecine seront réutilisées dans le cadre de cette étude. Information et droits des personnes En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD : sur les sites web du responsable de traitement de l’étude et de l’Agence de la biomédecine ; par voie d’affichage au sein des centres participants ; auprès des associations concernées de patients. S’agissant des données de personnes décédées : Les informations concernant les personnes décédées peuvent faire l’objet d’un traitement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, sauf si l’intéressé a, de son vivant, exprimé son refus par écrit conformément aux dispositions de l’article 86 de la loi "informatique et libertés". Durées de conservation en base active et en archivage Base active : trois ans Archivage : dix ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE POITIERS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-281 du 14 novembre 2024 autorisant la société BRISTOL MYERS SQUIBB à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation des immunosuppresseurs en vie réelle chez les patients avec une transplantation rénale et la comparaison des coûts de prise en charge, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2025, intitulée « BELADONE ». (Demande d’autorisation n° 924306)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2006 à 2025. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site internet du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durée d’accès Trois ans après la dernière mise à disposition des données. AUTORISE la société BRISTOL MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-285 du 20 novembre 2025 autorisant le CENTRE HOSPITALIER D'ANGERS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur un programme d'entrainement à la marche chez l’enfant avec paralysie cérébrale, dénommée « EMBRIN ». (Demande d’autorisation n° 924275)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est I du 13 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Information et droits des personnes Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés" en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER D'ANGERS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-284 du 15 novembre 2024 autorisant SORBONNE UNIVERSITE et la société HEVA à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la description et la compréhension de l'épidémiologie globale ainsi que des soins médicaux et paramédicaux reçus la première année après l'accident de personnes ayant subi un traumatisme crânien en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2023, intitulée « EPI-TC-SNDS ». (Demande d’autorisation n° 924290)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2012 à 2023. Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site web de chaque responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durée d’accès Trois ans après la dernière mise à disposition des données. AUTORISE SORBONNE UNIVERSITE et la société HEVA à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-283 du 14 novembre 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les caractéristiques cliniques et socioéconomiques des conduites suicidaires des enfants et adolescents durant la période pandémique liée à la Covid-19 en Auvergne-Rhône-Alpes, intitulée « TSPedCovid » (Demande d’autorisation n° 924166)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest I du 13 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire pour assurer un suivi centralisé des patients qui en sont informés. La collecte du code postal et de la ville de résidence a été scientifiquement justifiée dans le dossier de demande. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Ce dernier sera également individuellement informé. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées postales, téléphoniques, électroniques) seront détruites à la fin du suivi des participants. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-282 du 14 novembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’accès au traitement de l’hépatite C au Cameroun, intitulée « ACCESS+ ». (Demande d’autorisation n° 924299)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité national d’éthique de la recherche pour la santé humaine (CNERSH) du Ministère de la santé publique de la République du Cameroun du 17 septembre 2024. Points de non-conformité à la méthodologie de référence concernée Les participants à la présente étude sont inclus au Cameroun. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal et, d’autre part, des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vocaux ne pouvant pas permettre l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. La collecte de données relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Des enquêteurs intervenant sous la responsabilité du responsable de traitement auront accès aux données nominatives ainsi qu’aux coordonnées téléphoniques des participants aux fins d’assurer leur suivi. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Transferts hors Union européenne Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. S’agissant du transfert de données pseudonymisées vers les Etats-Unis : Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ("data privacy framework", ci-après "DPF"). A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats- Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. S’agissant du transfert de données pseudonymisées au Cameroun : Le responsable de traitement envisage d’encadrer ce transfert de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté au Cameroun afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durées de conservation en base active et en archivage Les enregistrements audios seront conservés le temps de leur retranscription, pour une durée maximale d’un an, puis seront détruits. Les données nominatives ainsi que les coordonnées téléphoniques collectés par les enquêteurs seront détruites à l’issue des entretiens. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-287 du 30 novembre 2024 autorisant l’UNIVERSITE DE ROUEN NORMANDIE et l’UNIVERSITE PARIS 8 à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le diagnostic, les thérapeutiques, les parcours de soin et d’inclusion des jeunes sourds en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CépiDc et aux données médico-sociales des maisons départementales des personnes handicapées visées par l’article L. 1461-1 4° du code de la santé publique, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2026, intitulée « SIGNES ». (Demande d’autorisation n° 924332)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI, CépiDc et données des maisons départementales des personnes handicapées, sous réserve qu’elles soient diffusables par la CNAM. Années concernées : 2010 à 2026. Modalités de consultation : portail de la CNAM Information et droits des personnes En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement. Le traitement sera également enregistré au sein du portail de transparence de la Plateforme des données de santé. Durée d’accès Trois ans après la dernière mise à disposition des données. AUTORISE l’UNIVERSITE DE ROUEN NORMANDIE et l’UNIVERSITE PARIS 8 à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-288 du 27 novembre 2024 autorisant l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’identification des antécédents d’arrêt de grossesse, notamment de fausse couche précoce dans les dossiers médicaux en médecine générale, intitulée « DMG-FAUSSE COUCHE ». (Demande d’autorisation n° 924205)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud méditerranée III du 22 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires de données directement identifiantes L’attaché de recherche clinique (ARC) de l’Université de Reims Champagne Ardenne aura accès aux données nominatives des participantes aux fins de procéder au recueil des données dans leur dossier médical de médecine générale. Une documentation tenue à jour indique les personnes compétentes pour le responsable de traitement pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Le recueil de données dans des dossiers médicaux de médecine générale des patientes par l’ARC sera réalisé sous la direction et la surveillance d'un professionnel de santé prenant en charge les patientes. Les patientes devront en être informées Information et droits des personnes Toutes les participantes recevront une note d’information individuelle. Durées de conservation en base active et en archivage Les données nominatives traitées par l’ARC seront détruites à l’issue du recueil de données dans les dossiers médicaux des patientes. Autres données : Base active : trois ans Archivage : quinze ans. AUTORISE L’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-286 du 20 novembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le suivi scolaire des enfants inclus dans la cohorte « EPIPAGE 2 » à partir des évaluations nationales de l’enseignement secondaire. (Demande d’autorisation n° 924247)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données de la cohorte "EPIPAGE 2" (demande d’autorisation n° 911009) et des évaluations scolaires à l’entrée en classes de sixième et de seconde (enquêtes menées par la Direction de l’évaluation, de la prospective et de la performance du Ministère de l’Education nationale (DEPP)) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) et destinataires des données directement identifiantes Les données de la cohorte "EPIPAGE 2" feront l'objet d'un rapprochement avec les données des évaluations scolaires par l’utilisation de l’INE des élèves. Le numéro identifiant enfant "EPIPAGE 2", les noms et prénoms de l’enfant, de la mère et du père, sexe, date et commune de naissance de l’enfant ainsi que la commune de résidence seront transmis à la DEPP qui effectuera le rapprochement avec le numéro INE. Les évaluations scolaires des participants seront ensuite transmises à l’équipe d’"EPIPAGE 2" sans le numéro INE de l’élève. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seuls les agents habilités de la DEPP recevront communication des données directement identifiantes afin de réaliser le rapprochement avec le numéro INE Information et droits des personnes Les titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude et du traitement de leurs données à caractère personnel, s’ils peuvent être contactés lors de l’inclusion. En cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés". Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Les mineurs participant à l’étude recevront une note d’information individuelle. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé. Mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. L’analyse des données des participants s’effectuera sur la plateforme de France Cohortes. Les mesures de sécurité devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité Durée de conservation en base active et en archivage Les données administratives d’identification (numéro identifiant enfant "ELFE", noms et prénoms de l’enfant, de la mère et du père, sexe, date et commune de naissance de l’enfant, commune de résidence) seront détruites après appariement. Autres données : Base active : six mois Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du Service de la santé Hélène GUIMIOT


Décision DR-2024-289 du 27 novembre 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de la valeur prédictive pour le diagnostic de narcolepsie de type 1 de la prise en compte de réaction comportementale lors de la passation de l’échelle de somnolence d’epworth, intitulée « ESS_Smile ». (Demande d’autorisation n° 924339)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest I du 12 août 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la collecte d’enregistrements vidéo directement identifiants et leur transmission à un sous-traitant du responsable de traitement. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) et leurs destinataires Des enregistrements vidéo permettant l’identification des participants seront réalisés dans le cadre de cette étude. Leur consentement en vue de la réalisation des enregistrements sera recueilli. Ces enregistrements, scientifiquement justifiés, seront conservés dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra y accéder. Information et droits des personnes Les participants recevront une note d’information individuelle. Durées de conservation en base active et en archivage Base active : six ans Archivage : quinze ans. AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-291 du 30 novembre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’optimisation et le management des opérations médicales, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2019 à 2022, intitulée « GRO2M ». (Demande d’autorisation n° 924335)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Nature des données traitées Certaines données de l’entrepôt de données de santé de l’AP-HP autorisé par la CNIL (demande d’autorisation n° 198012 - délibération n°2017-013 du 19 janvier 2017) seront réutilisées dans le cadre de cette étude et appariées de façon probabiliste (indirecte) aux données du SNDS. S’agissant du traitement de données du SNDS : Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2019 à 2022, sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM). Modalités de consultation : portail de la CNAM. Information et droits des personnes En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement. Durée d’accès Les données appariées seront accessibles pendant cinq ans sur le portail de la CNAM. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-292 du 2 décembre 2024 autorisant la société ETHYPHARM à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation du Baclocur en vie réelle, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2024, intitulée « BACLOLIFE ». (Demande d’autorisation n° 924338)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Nature des données traitées Les données recueillies dans le cadre de la première partie de l’étude (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) seront réutilisées et appariées de façon probabiliste (indirecte) aux données du SNDS. S’agissant du traitement de données du SNDS : Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2021 à 2024, sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM). Modalités de consultation : portail de la CNAM. Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Les participants sont individuellement informés de la présente étude et du chaînage de leurs données avec celles du SNDS. Durée d’accès Les données appariées seront accessibles pendant un an sur le portail de la CNAM. AUTORISE la société ETHYPHARM à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-293 du 2 décembre 2024 autorisant l’INSTITUT DE RECHERCHE ET DE DOCUMENTATION EN ECONOMIE DE LA SANTE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’état de santé, l’accès à la couverture santé et aux soins des personnes en situation de prostitution présents sur les sites internet spécialisés en France, intitulée « Enquête TESSA ». (Demande d’autorisation n° 924214)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernée. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) S’agissant des données administratives d’identification : La collecte des coordonnées téléphoniques est nécessaire pour proposer aux personnes de participer à l’étude, leur adresser la note d’information, ainsi que pour assurer leur suivi. Elles doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant des autres catégories particulières de données : La collecte de la nationalité, du pays de naissance, de l’origine ethnique, de la vie sexuelle et de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Par ailleurs, conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’enquête ne devront pas être contactées à nouveau. Mesures de sécurité Les données de l’étude seront collectées par l’intermédiaire d’un questionnaire envoyé aux participants grâce à une plateforme tierce en ligne. Eu égard aux caractéristiques du traitement, les mesures suivantes devront être opérationnelles lors de sa mise en œuvre : la mise en place d’une authentification multifacteur pour l’administrateur de la plateforme en ligne hébergeant le questionnaire ; le chiffrement des réponses au questionnaire au repos et en transit. Les réponses transiteront temporairement par les serveurs de la plateforme et seront supprimées au moment de leur extraction vers le Centre d’accès sécurisé aux données (CASD) toutes les 48 heures. Les autres mesures de sécurité décrites par le responsable de traitement paraissent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La CNIL rappelle toutefois que cette obligation nécessite la mise à jour de l’analyse d’impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les coordonnées téléphoniques seront détruites après la constitution de l’échantillon d’enquête et au plus tard dans les six mois suivant le début de l’étude. Autres données : Base active : cinq ans Archivage : quinze ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’INSTITUT DE RECHERCHE ET DE DOCUMENTATION EN ECONOMIE DE LA SANTE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-273 du 8 novembre 2024 autorisant la société LFB-BIOTECHNOLOGIES à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la polyneuropathie inflammatoire démyélinisante chronique en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CepiDc et de l’échantillon des données du SNDS (ESND), composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023. (Demande d’autorisation n° 924112v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Modification substantielle du traitement de données La modification envisagée concerne les modalités d’appariement des données de la BNDMR avec les données du SNDS. Pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date de naissance du patient (mois et année), son éventuelle date de décès (mois et année), son sexe, sa région de résidence, les dates d’hospitalisation et de consultation, ainsi que le code CCAM correspondant à la ponction lombaire. Les autres conditions de mise en œuvre de l’étude demeurent inchangées. AUTORISE la société LFB-BIOTECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-271 du 15 novembre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’amélioration de l’adhésion thérapeutique des patients à leurs traitements chroniques, par la mise en place d’un message simple, standardisé et redondant délivré par les professionnels de santé, intitulée « MAPS ». (Demande d’autorisation n° 924312)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France IV du 10 octobre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. Destinataires des données directement identifiantes La collecte des nom, prénom, ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer le suivi centralisé des participants par le service de pharmacie à usage intérieur de l’hôpital européen Georges Pompidou. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées seront détruites à la fin du suivi. Autres données : Base active : six ans Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-290 du 11 décembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES et l’HOPITAL UNIVERSITAIRE SPECIALISE D'IRRUA à mettre en œuvre un traitement de données ayant pour finalité une étude portant l’évaluation de l’efficacité des alternatives thérapeutiques pour le traitement de la fièvre de Lassa, en comparaison avec le médicament de référence, sur la prévention des décès ou d’une défaillance d'organe chez les patients hospitalisés intitulée « ISTH-ANRS 0409s INTEGRATE ». (Demande d’autorisation n° 924249)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement En tant que responsables conjoints de traitement, l’Hôpital universitaire spécialisé d’Irrua et l’Institut national de la santé et de la recherche médicale – ANRS – maladies infectieuses émergentes (INSERM-ANRS MIE) doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du RGPD. Avis du comité Avis favorable du comité d’éthique du ministère fédéral de la santé du Nigéria du 27 juin 2024. Points de non-conformité à la méthodologie de référence concernée Les participants à la présente étude sont inclus au Nigéria. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Information et droits des personnes Tous les participants recevront une note d’information individuelle. S’agissant des majeurs protégés dont l'état ne leur permet pas de prendre seuls une décision personnelle éclairée, conformément aux dispositions de l’article 70 de la loi informatique et libertés , leur représentant légal se verra remettre un support d’information adapté. En outre, dans l’hypothèse où l’état de santé de ces participants s’améliorerait, ces derniers devront être informés de l’étude et de leurs droits. Transferts hors Union européenne Le responsable de traitement envisage de transférer certaines données pseudonymisées au Nigéria, en Côte d’Ivoire et au Japon. Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. En l’espèce, le responsable de traitement envisage d’encadrer ces transferts de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté au Nigéria, en Côte d’Ivoire et au Japon afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation de ces pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES et l’HOPITAL UNIVERSITAIRE SPECIALISE D'IRRUA à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-302 du 4 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité d’un suivi diététique familial pendant la grossesse sur le poids gestationnel chez les femmes enceintes dans un essai contrôlé randomisé, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du système national des données de santé (SNDS), pour les années 2024 à 2027, intitulée « FAM-DIET » . (Demande d’autorisation n° 924177)


Décision DR-2024-303 du 5 décembre 2024 autorisant l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact de la mise à disposition au pharmacien d’officine de la fonction rénale
des patients traités par anticoagulants oraux directs en milieu ambulatoire sur la survenue de saignements, intitulée « Hemorrag-Ir ». (Demande d’autorisation n° 924342)


Décision DR-2024-304 du 5 décembre 2024 autorisant la société PHYSIO-ASSIST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'effet d’une prise en charge par télésoin de kinésithérapie sur la qualité de vie et les exacerbations pulmonaires des patients atteints de bronchectasie hors mucoviscidose, intitulée « HOME-BRAC ». (Demande d’autorisation n° 924174)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest IV du 9 août 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes Le responsable de traitement envisage de recueillir le consentement des participants par voie dématérialisée au moyen d’une signature électronique. Le sous-traitant mettant à disposition la solution sera destinataire de certaines données administratives d’identification des participants (nom, prénom et coordonnées électroniques), ainsi que du contenu de la note d’information et du formulaire de consentement mentionnant leur pathologie. Il appartient au responsable de traitement de de s’assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Mesures de sécurité Le responsable de traitement a transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet HOME-BRAC . Afin d’assurer la confidentialité des informations sensibles échangées entre le personnel des centres investigateurs et les participants à l’étude : les sessions ne seront pas enregistrées par la solution de télésoin ; les accès aux données, pour les professionnels et les participants, devront se faire via une authentification multifacteur. Les données de l’étude seront stockées chez un hébergeur certifié hébergeur de données de santé . Les solutions de télésoin et de suivi patient, permettant la saisie de questionnaires, ne contiendront que des données pseudonymisées. Les données devront être cloisonnées par rapport à celles issues de la solution de consentement électronique. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Transferts hors Union européenne Le responsable de traitement prévoit de transférer au Royaume-Uni certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 28 juin 2021, ces transferts peuvent s’effectuer sans encadrement spécifique. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées électroniques seront détruites après la signature du formulaire de consentement pour participer à l’étude. Autres données : Base active : sept ans Archivage : quinze ans. AUTORISE la société PHYSIO-ASSIST à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-299 du 4 décembre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation d’un réglage du niveau de pression expiratoire positive (PEP) selon le résultat d’un test de réponse à la PEP et l’évaluation d'une curarisation au cours du décubitus ventral dans le syndrome de détresse respiratoire aiguë modérée à sévère, intitulée « PEPER ». (Demande d’autorisation n° 924346)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France X du 8 octobre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Durées de conservation en base active et en archivage Base active : six ans. Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT