Décision DR-2024-189 du 22 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’expérimentation d’un envoi postal direct à domicile du kit de dépistage du cancer colorectal sans commande préalable, intitulée « EXPEDIT ». (Demande d’autorisation n° 924089)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du Règlement général sur la protection des données (RGPD). Avis du comité Avis favorable du Comité de protection des personnes Ouest II du 21 mars 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. Réutilisation d’une base de données Les données issues de la base du Centre Régional de Coordination des Dépistages des Cancers de la Région Centre Val de Loire (CRCDC – CVL) seront réutilisées dans le cadre de cette étude. Catégories particulières de données traitées (autres que données de santé) S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des nom, prénom ainsi que des coordonnées postales, téléphoniques et électroniques est nécessaire pour assurer le suivi des participants qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant de la réalisation d’enregistrements vocaux : Des enregistrements vocaux ne permettant pas l’identification directe des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. S’agissant des zones de commentaires libres : Les données contenues dans des zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès. Information et droits des personnes S’agissant des patients et des professionnels de santé inclus dans l’étude ancillaire qualitative : Ils recevront par voie postale ou électronique une note d’information spécifique à cette étude ancillaire. S’agissant des autres participants : Les participants majeurs ainsi que, le cas échéant, leur représentant légal ont reçu une note d’information individuelle par voie postale. Les notes d’informations devront contenir l’ensemble des mentions prévues par le RGPD. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données administratives d’identification seront supprimées à la fin du suivi des personnes. Les adresses postales seront supprimées par le sous-traitant une fois le géocodage effectué. Les enregistrements vocaux seront supprimés une fois la retranscription effectuée. Autres données : Base active : huit ans. Archivage : quinze ans. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-190 du 24 juillet 2024 autorisant le CENTRE HOSPITALIER DE BORDEAUX à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le développement et la validation d’indicateurs de qualité de parcours de patients victimes d’accident vasculaire cérébral et de syndrome coronarien chronique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « DELIQUA-CNV ». (Demande d’autorisation n° 923082v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2014 à 2022 pour la cohorte SCC ; 2016 à 2022 pour la cohorte Orientation AVC ; 2019 à 2023 pour la cohorte Consultation post-AVC . Elles seront accessibles pendant cinq ans à compter de leur dernière mise à disposition. Les données seront hébergées au sein d’un espace projet dédiée à l’étude DELIQUA-CNV ayant fait l’objet d’une homologation par le responsable de traitement pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 20 mars 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au Centre hospitalier de Bordeaux de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-191 du 24 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en œuvre la modification d’un traitement de données ayant pour finalité étude portant sur le suivi des sujets âgés chuteurs recrutés au sein des filières gériatriques de plusieurs hôpitaux français, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2026, intitulée « PREMOB ». (Demande d’autorisation n° 921365v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud Méditerranée I du 13 mars 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2018 à 2026. Elles seront accessibles pendant trois ans à compter de leur dernière mise à disposition. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-192 du 24 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de la synergie entre l'élévation de la tête et du thorax et l'occlusion endovasculaire de l'aorte par ballonnet dans le traitement de l’arrêt cardiaque extrahospitalier, intitulée « GRAVITY 2 ». (Demande d’autorisation n° 924197)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est III du 24 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes Dans l’hypothèse où les participants à l’étude ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que, l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche. Durées de conservation en base active et en archivage Base active : deux ans. Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-193 du 24 juillet 2024 autorisant la société NOVARTIS PHARMACEUTICALS à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'impact des crises vaso-occlusives chez les patients atteints de drépanocytose, nécessitant un accès aux données du SNIIRAM et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2018, intitulée « EVOC » (Demande d’autorisation n° 919281v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Modification substantielle du traitement de données La modification envisagée porte sur la durée de conservation des données qui est prolongée d’une année supplémentaire. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société NOVARTIS PHARMACEUTICALS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-194 du 24 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les asthmes sévères, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2032, intitulée « RAMSES ». (Demande d’autorisation n° 924187)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est IV du 7 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données collectées en raison de l’appariement des données cliniques avec celles du Système national des données de santé (SNDS). Catégories particulières de données traitées (hors données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS selon plusieurs modalités décrites dans le dossier de demande. Ce rapprochement sera effectué par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants lorsque ces informations sont disponibles. Ces données seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. A cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. En cas d’indisponibilité du NIR ou d’erreur de saisie de celui-ci, le rapprochement sera effectué de manière probabiliste (indirecte) au moyen des variables décrites dans le dossier de demande. Utilisation de données issues du SNDS historique Les données du SNDS seront uniquement traitées à des fins de rapprochement avec les données cliniques de l’étude. Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2010 à 2032. Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Les participants à l’étude recevront par voie postale une note d’information individuelle relative à l’appariement de leurs données cliniques avec celles contenues dans le SNDS. Durée d’accès aux données Données du SNDS : cinq ans à compter de la dernière mise à disposition des données. Autres données : Base active : dix-huit ans Archivage : quinze ans. Transparence du traitement Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-163 du 4 juillet 2024 autorisant l’INTERGROUPE FRANCOPHONE DU MYELOME à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur comparabilité des centres participant à l’alimentation de la cohorte portant sur l’épidémiologie du myélome multiple (EmmY), nécessitant un accès aux données du PMSI, composante du Système national des données de santé (SNDS), pour les années 2015 à 2023.  (Demande d’autorisation n° 924179)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Utilisation de données issues du SNDS historique Composantes concernées : PMSI MCO. Années concernées : 2015 à 2023 Modalités de consultation : plateforme sécurisée du Centre d’accès sécurisé aux données (CASD). Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera également rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Deux ans à compter de la mise à disposition des données. AUTORISE l’INTERGROUPE FRANCOPHONE DU MYELOME à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-183 du 23 septembre 2024 AUTORISANT LA SOCIETE CLINITYX ET LA SOCIETE BOEHRINGER INGELHEIM FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la persistance aux traitements anti-fibrosant en vie réelle, nécessitant un accès à certaines données du Système national des données de santé (SNDS) contenues dans l’entrepôt de données de santé Magellan, intitulée « REPEAT ». (Demande d’autorisation n° 924199)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement La société Clinityx et la société Boehringer Ingelheim France déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), elles doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données réutilisées dans le cadre de cette étude proviendront exclusivement de l’entrepôt de données de santé dénommé Magellan autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Utilisation de données issues du SNDS historique Les données traitées, décrites dans le dossier de demande, concerneront : la durée d’exposition aux traitements anti-fibrosants ; la fin d’exposition ; la persistance aux anti-fibrosants ; l’observance aux anti-fibrosants ; l’analyse par indication ; les facteurs associés à une non-persistance. Seule la société Clinityx traitera les données individuelles des personnes concernées dans le cadre de cette étude. L’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP). Information et droits des personnes S’agissant des modalités d’information : Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la société Clinityx afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le portail de transparence dédié à l’entrepôt Magellan (via l’outil Sémaphore ) mis en place par la société Clinityx ainsi que sur le site web de la société Boehringer Ingelheim France. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. S’agissant des modalités d’exercice des droits : Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx. Mesures de sécurité L’infrastructure technique de la société Clinityx utilisée pour l’hébergement de systèmes fils du SNDS (notamment l’entrepôt Magellan ) a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation. Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à la société Clinityx de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données manipulées par cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront cloisonnés entre eux grâce à l’utilisation de ces solutions. L’accès à l’outil de requêtage et aux espaces projet de la présente étude ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel de la société Clinityx, à l’exclusion de toute autre personne extérieure. Des mesures techniques et organisationnelles devront être mises en œuvre dans la solution technique afin de différencier les personnels pouvant accéder à la base de données de l’entrepôt Magellan contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et ceux ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets. L’exportation de données hors de l’entrepôt Magellan et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. Á cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. Pour se prévaloir de l’anonymat d’un jeu de données, les responsables de traitement devront réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, les responsables de traitement doivent démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par eux-mêmes ou par toute autre personne, est négligeable. Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Durées de conservation en base active et en archivage Base active : un an Archivage : deux ans. AUTORISE LA SOCIETE CLINITYX ET LA SOCIETE BOEHRINGER INGELHEIM FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-182 du 18 septembre 2024 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la survie des patients, de la récidive tumorale et des facteurs de risque associés, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2022. (Demande d’autorisation n° 923193v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juillet 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernés. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données du recensement national histologique des tumeurs primitives du système nerveux central (RnhTPSNC) (demande d’autorisation n° 911013) seront réutilisées dans le cadre de la présente étude et chaînées avec celles du Système national des données de santé (SNDS) de façon probabiliste. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2006 à 2022, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Information et droits des personnes Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Une note d’information sera également rendue publique sur le site web du responsable de traitement, de l’Institut National du Cancer, du réseau français des registres des cancers, de la société française de neurochirurgie et du registre des tumeurs de l’Hérault. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. Observations particulières La CNIL rappelle ses exigences en matière de formalités préalables à la constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche. De telles bases ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du recensement national histologique des tumeurs primitives du système nerveux central relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Par conséquent, le recensement national histologique des tumeurs primitives du système nerveux central devra faire l’objet d’une nouvelle formalité auprès de la CNIL. Durée d’accès Cinq ans à compter de la mise à disposition des données. Transparence du traitement Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. AUTORISE L’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-162 du 4 juillet 2024 autorisant l’INSTITUT NATIONAL DU CANCER et LA SOCIÉTÉ MSD FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les délais et les coûts des parcours diagnostiques du cancer du poumon primitif, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2019, contenues dans la Plateforme des données en cancérologie, intitulée « LUCIEN ». (Demande d’autorisation n° 924141)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les deux responsables de traitement, l’Institut national du cancer (INCa) et la société MSD France déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (rapprochement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Des données issues de la Plateforme des données en cancérologie autorisée par la CNIL (délibération n°2023-040) seront réutilisées dans le cadre de la présente étude et plus précisément : les données issues du SNDS (SNIIRAM et PMSI des années 2013 à 2019) ; les données issues des dossiers communicant en cancérologie (comptes-rendus de génétique moléculaire et fiches de concertation pluridisciplinaires des années 2013 à 2019). Utilisation de données issues du SNDS historique Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui La société MSD France n’aura pas accès aux données individuelles du SNDS. Information et droits des personnes En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Ces mesures appropriées consisteront dans la diffusion d’une information relative au projet de recherche sur les sites web des responsables conjoints de traitement de l’étude. Mesures de sécurité Les données seront hébergées au sein de la Plateforme de cancérologie de l’INCa. Au vu de l’acceptation des risques résiduels par le responsable de traitement dans sa décision d’homologation datant du 3 avril 2023, le traitement paraît conforme aux exigences prévues par les articles 5-1-f et 32 du RGPD, ainsi qu’au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 3 avril 2026 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Durées de conservation en base active et en archivage Trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’institut national du cancer et la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-154 du 24 juin 2024 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant les changements de connectivité cérébrale associés à la perception et la mémoire du temps entre individus jeunes et âgés, intitulée « TIMES ». (Demande d’autorisation n° 924110)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est I du 8 janvier 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes Destinataires des données La collecte des nom, prénom ainsi que des coordonnées téléphoniques, électroniques ou postales est nécessaire pour proposer aux volontaires de participer à l’étude, leur adresser la note d’information et assurer leur suivi. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle par voie électronique ou postale comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage L’ensemble des données collectées concernant des personnes qui ne seront pas incluses dans l’étude (absence d’intérêt ou détection de critères de non inclusion) seront immédiatement détruites, à la suite de l’échange téléphonique de pré-inclusion. Les données nominatives et les coordonnées postales, électroniques ou téléphoniques des participants seront détruites à la suite de la communication des résultats globaux. Autres données : Base active : huit ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-158 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la dynamique de transmission des bactéries résistantes aux antibiotiques entre le chien et l’homme. (Demande d’autorisation n° 924053)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VIII du 23 novembre 2023 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, ainsi que des coordonnées électroniques est nécessaire pour assurer le suivi des patients qui en sont informés. En outre, des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant dix ans puis détruits. Les enregistrements vidéo seront conservés pendant deux ans puis archivés pendant quinze ans, dans un format ne permettant pas la réidentification des personnes. Autres données : Base active : huit ans Archivage : quinze ans. Réutilisation des données et échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-159 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact respiratoire et psychologique de la chirurgie élective des malformations pulmonaires congénitales, intitulée « MALFPULM2 ». (Demande d’autorisation n° 924160)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est V du 16 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. Destinataires des données directement identifiantes La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire afin d’assurer le suivi des participants qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les courriers électroniques adressés aux titulaires de l’exercice de l’autorité parentale ne devront révéler aucune information sur l’état de santé réel ou supposé de leur enfant. Information et droits des personnes Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information en vue de la participation de l’enfant mineur à l’étude. Ce dernier recevra également une note d’information individuelle. Durée de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées postales, téléphoniques et électroniques) seront détruites à la fin du suivi des participants. Autres données Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-169 du 9 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique du parcours de soins en médecine générale des sujets à haut risque cardiovasculaire basée sur le dépistage de l'artériopathie oblitérante des membres inférieurs asymptomatique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2025, intitulée « DAMAGE ». (Demande d’autorisation n° 924111).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes du Sud-Ouest et Ouest Mer IV du 29 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données collectées (rapprochement des données cliniques avec les données du Système national des données de santé (SNDS) grâce à un appariement déterministe). Catégories particulières de données traitées (autres que données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d'identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Le tiers de confiance devra avoir été désigné avant le début de la collecte du NIR. Ce tiers de confiance devra être indépendant juridiquement et économiquement du responsable de traitement et des sous-traitants (centres investigateurs, etc.). Enfin, le tiers de confiance ne devra pas se trouver en situation de conflit d’intérêts vis-à-vis du responsable de traitement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2022 à 2025, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Information et droits des personnes Tous les participants seront individuellement de l’appariement de leurs données. Cette note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durée d’accès et de conservation des données en base active et en archivage Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. Données du SNDS : quatre ans à compter de la mise à disposition des données. Autres données : Base active : deux ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-165 du 4 juillet 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la recherche de facteurs de gravité lors de la prise en charge initiale et du suivi de l’évolution du syndrome du bébé secoué. (Demande d’autorisation n° 924087).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : deux ans Archivage : quinze ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-166 du 9 juillet 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITÄTSKLINIKUM ESSEN et l’AARHUS UNIVERSITY HOSPITAL à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les effets à long terme des techniques contemporaines de radiothérapie externe pour le traitement de cancers diagnostiqués chez l’enfant, l’adolescent et le jeune adulte, intitulée « Cohorte d’enfants, adolescents et jeunes adultes traités par radiothérapie ». (Demande d’autorisation n° 924115).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les trois responsables de traitement, l’INSERM, l’Universitätsklinikum Essen et l’Aarhus University Hospital déterminent conjointement les finalités et les moyens du traitement. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) en vue d’un appariement ultérieur avec les données du Système national des données de santé (SNDS), commune de résidence et identifiant permanent (IPP)) et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données de l’entrepôt Pedia-RT (mis en œuvre dans le cadre d’une déclaration de conformité au référentiel relatif aux entrepôts de données dans le domaine de la santé, déclaration n °2231699) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) Le NIR devra être traité et transmis de façon séparée des données de santé et être enregistré dans une base de données distincte dans les centres investigateurs. Il devra être chiffré et des mesures de sécurité renforcées devront être mises en place, notamment pour la conservation des tables de correspondance. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra y accéder. La collecte de la commune de résidence des participants a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes S’agissant des personnes suivies : Les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des personnes n’étant plus suivies régulièrement dans un centre de traitement : En application de l'article 14 du Règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Durée d’accès/ Durées de conservation en base active et en archivage Les NIR des participants ne seront pas conservés après l’appariement. Faute d’appariement avant le premier janvier 2029, les NIR devront être détruits. Autres données : Base active : 20 ans Archivage : 15 ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITÄTSKLINIKUM ESSEN et l’AARHUS UNIVERSITY HOSPITAL à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-167 du 9 juillet 2024 autorisant la société PFIZER INC à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la surveillance de la sécurité à long terme et en vie réelle du somatrogon chez les patients pédiatriques en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2032. (Demande d’autorisation n° 923271)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 21 septembre 2023. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc. Années concernées : 2021 à 2032, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Information et exercice des droits des personnes Seules des données issues du SNDS seront traitées dans le cadre de cette étude. Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R. 1461- 9 du code de la santé publique. Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement , des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information comportant l’ensemble des mentions prévues par l’article 14 du Règlement général sur la protection des données sera également rendue publique sur le site internet du responsable de traitement. Transferts de données en dehors de l’Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée d’accès Trois ans à compter de la dernière mise à disposition des données. AUTORISE la société PFIZER INC à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-171 du 9 juillet 2024 autorisant la SOCIETE ROCHE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les parcours thérapeutiques des patients atteints de cancer du poumon aux Etats-Unis, intitulée « Charleston ». (Demande d’autorisation n° 923186)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitant Des sous-traitants, dont la société F. Hoffman-La Roche Ltd interviendront dans la mise en œuvre de cette étude. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données d’une base mise en œuvre par la société Flatiron Health seront réutilisées dans le cadre de la présente étude. Cette base de données concerne exclusivement des personnes ayant été prises en charge par un établissement de santé établi aux Etats-Unis. La CNIL relève que le dossier de demande mentionne que cette base de données a été constituée conformément au droit étatsunien. Information et droits des personnes En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Cette note d’information sera rédigée en français et en anglais. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée de conservation en base active Base active : un an et demi. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE la société Roche à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-172 du 11 juillet 2024 autorisant l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la santé reproductive des femmes après cancer du sein, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2022, intitulée « ISIS ». (Demande d’autorisation n° 924045)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les sous-traitants Le projet fait partie des lauréats de l’appel à manifestation d’intérêt UNIBASE ouvert en 2021 par la Plateforme des données de santé (PDS). Une convention conforme à l’article 28 du Règlement général sur la protection des données (RGPD), répartissant les rôles et responsabilités de chacune des parties sera conclue entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes. Par ailleurs, la répartition des rôles et responsabilités entre le responsable de traitement et UNICANCER, concernant le contrôle qualité des données cliniques, sera formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et données du Système national des données de santé (SNDS) et des modalités d’information des personnes. Réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données issues des dossiers médicaux de patients pris en charge par quatre centres de lutte contre le cancer (CLCC) seront réutilisées dans le cadre de la présente étude. Ces données seront rapprochées des données du SNDS au moyen d’un appariement déterministe. Les données des personnes atteintes d’un cancer survenu entre 2010 et 2018 dans l’un des quatre CLCC et identifié via la base de données en cancérologie CONSORE, utilisée par les quatre établissements, seront traitées dans le cadre de cette étude. Les données des enfants des patientes incluses nés après le diagnostic de cancer du sein seront également traitées dans le cadre de cette étude. Enfin, les données d’une population issue du SNDS seront également traitées dans le cadre de cette étude (cohorte témoin). Catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du SNIIRAM, du PMSI et du CépiDc des années 2010 à 2022. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. Les données issues des dossiers médicaux feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Les centres participants à l’étude devront transférer les NIR exclusivement à la CNAM. Information et droits des personnes S’agissant des patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : Les patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers un portail de transparence pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude nécessitant la réutilisation de leurs données. Une note d’information relative à la présente étude sera diffusée sur ces sites web dédiés. Pour les patients de la cohorte témoin ou n’ayant pas reçu de note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web de chacun des centres participant, d’UNICANCER, ainsi que de la Plateforme des données de santé d’une information relative au projet de recherche. Sur la population associée (enfants) : Conformément aux dispositions de l’article 70 de la loi informatique et libertés , les deux titulaires de l’exercice de l’autorité parentale devront être informés individuellement de la participation de leur enfant mineur. Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD. Sur la sécurité des données et leurs modalités d’hébergement A titre liminaire, la CNIL prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude. La sécurité des données de l’espace projet dédié au projet ISIS dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet ISIS . Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet ISIS et intégrant les éléments fournis par la PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 2 février 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 2 février 2027 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Lors du transfert des données vers UNICANCER, les serveurs SFTP procèderont, dès réception des données, à leur copie sur un serveur interne du destinataire, et ce, afin de les supprimer sans délais sur les serveurs exposés. UNICANCER conservera les données cliniques en base active uniquement pour le contrôle qualité et jusqu’à leur versement dans la solution technique de la PDS. Les données seront alors archivées pendant deux ans maximum. Ces archives devront faire l'objet de mesures spécifiques impliquant un cloisonnement dans un espace de stockage dédié, des habilitations limitées à un nombre restreint de personnes et des accès exceptionnels strictement justifiés. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée d’accès aux données appariées de l’étude Les NIR, les dates de naissance complètes et le sexe seront détruits après l’appariement. Données du SNDS : quatre ans à compter de la mise à disposition des données. AUTORISE l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-173 du 10 juillet 2024 autorisant la société GILEAD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la quantification et la caractérisation de la population à haut risque de séropositivité au virus de l’immunodéficience humaine en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « EpiPrEP ».  (Demande d’autorisation n° 924191)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Utilisation de données issues du SNDS historique Composantes et profondeurs historiques concernées : SNIIRAM et PMSI pour les années 2008 à 2023 Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera également rendue publique sur le site web du responsable de traitement et sur celui du bureau d’études. Elle devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès aux données Trois ans à compter de la mise à disposition des données. AUTORISE la société GILEAD à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-178 du 19 juillet 2024 autorisant la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le suivi clinique post-commercialisation de prothèses de hanche, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2031 intitulée « HYPE-SNDS ». (Demande d’autorisation n° 924165)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes et de la nature des données traitées (appariement probabiliste des données cliniques avec celles du Système national des données de santé). Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2012 à 2031 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Information et droits des personnes S’agissant des personnes dont les données seront extraites des dossiers médicaux : Elles recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des personnes dont les données seront exclusivement issues du SNDS : En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude, comportant l’ensemble des mentions prévues par le RGPD. Durée d’accès Données du SNDS : 3 ans à compter de la dernière extraction des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD