Délibération n° 2023-108 du 5 octobre 2023 portant avis sur un projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel relatif à la sécurité des établissements, ouvrages, installations et activités nucléaires dénommé « traitement d'optimisation des données et informations d'intérêt nucléaire »

N° de demande d’avis : 21021329 Texte concerné : projet de décret portant autorisation d’un traitement automatisé de données à caractère personnel relatif à la sécurité des établissements, ouvrages, installations et activités nucléaires dénommé " traitement d’optimisation des données et informations d’intérêt nucléaire " Thématiques : sécurité nucléaire, sûreté de l’État, intérêts fondamentaux de la Nation, demandes d’autorisation et d’habilitation dans le secteur du nucléaire Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés L’essentiel : Le projet de décret autorise la mise en œuvre d’un " traitement d ’ optimisation des donn é es et informations d ’ intérêt nucléaire ". Ce traitement vise à prévenir les atteintes à la sécurité nucléaire et à assurer la gestion des demandes d’autorisation et d’habilitation dans le secteur du nucléaire. La Commission nationale de l’informatique et des libertés (CNIL) estime que ces finalités sont légitimes. En outre, elle accueille favorablement la mise en œuvre de marqueurs spécifiques permettant d’identifier les données considérées comme intéressant la sûreté de l'État. Néanmoins, la CNIL estime que les durées de conservation des dossiers d’habilitation au titre de la protection du secret de la défense nationale n’apparaissent pas suffisamment justifiées. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Créé par le décret n° 2017-588 du 20 avril 2017, le commandement spécialisé pour la sécurité du nucléaire (CoSSeN) est un service à compétence nationale placé sous la double tutelle du ministre de l’intérieur et du ministre chargé de l’énergie. Il est rattaché au directeur général de la gendarmerie nationale du ministère de l’intérieur. Ce service est venu compléter le dispositif de protection des sites nucléaires civils, dans un contexte sécuritaire exposant le secteur du nucléaire à des risques de malveillance (intrusion, sabotage, vol, etc.). Il a vocation à favoriser la mise en synergie d’un nombre élevé d’acteurs œuvrant pour la sécurité nucléaire. Au sein du CoSSeN : le bureau du renseignement nucléaire (BRN) est chargé de collecter, centraliser, exploiter, analyser, synthétiser et diffuser le renseignement relatif aux menaces à la sécurité nucléaire ; le bureau des accédants au nucléaire (BAN) réalise les enquêtes administratives relatives aux demandes d’autorisation d’accès aux établissements, ouvrages, installations ou activités impliquant des matières nucléaires ou des sources de rayonnement ionisant, et a accès, dans ce cadre, au traitement " Automatisation de la consultation centralisée de renseignements et de données " (v. le décret n° 2017-1224 du 3 août 2017 portant création du traitement ACCReD) ; le bureau des habilitations (BHAB) instruit les demandes d’habilitation au secret de la défense nationale des personnes physiques ou morales dans le cadre de leur activité au sein de la filière nucléaire civile. B. L’objet de la saisine Le ministère de l’intérieur a saisi la Commission nationale de l’informatique et des libertés (CNIL), sur le fondement de l’article 31 de la loi du 6 janvier 1978 (ci-après loi " informatique et libertés "), d’un projet de décret portant autorisation d’un traitement relatif à la sécurité des établissements, ouvrages, installations et activités nucléaires dénommé " traitement d’optimisation des données et informations d’intérêt nucléaire " (ci-après " ODIINuc "). Ce traitement sera mis en œuvre par la direction générale de la gendarmerie nationale. Il s’inscrit dans une perspective de prévention des atteintes à la sécurité nucléaire d’une part, et de gestion des demandes d’autorisation et d’habilitation dans le secteur du nucléaire d’autre part. II. L’avis de la CNIL A. Sur les finalités et le régime juridique du traitement Le traitement ODIINuc poursuit trois finalités distinctes. Il vise à : prévenir les atteintes à la sécurité nucléaire à partir de l’exploitation, par le BRN, d’informations concernant les personnes " impliquées " dans certains événements ; permettre le contrôle et le suivi, par le BAN, des demandes d’autorisation dans le secteur du nucléaire ; permettre le traitement et le suivi, par le BHAB, des demandes d’habilitation réalisées au titre de la protection du secret de la défense nationale dans le domaine du nucléaire. Le traitement centralisera les informations collectées au titre de ces finalités pour : disposer d’une vue d’ensemble sur les événements susceptibles de porter atteinte à la sécurité nucléaire ainsi que sur les personnes accédant aux installations nucléaires et faisant l’objet d’une habilitation ; rapprocher des informations pour la production de notes de renseignement à destination des services ayant à en connaitre, en vue de prévenir des atteintes à la sécurité nucléaire. L’accès aux données enregistrées au titre de chaque finalité fait l’objet d’habilitations spécifiques au personnel de chaque bureau. En ce qui concerne plus spécifiquement les agents du BRN, ceux-ci pourront avoir accès, au-delà des données auxquelles ils sont les seuls à avoir accès, aux données relatives aux décisions d’autorisation ou d’habilitation qui concernent les seules personnes impliquées dans des événements susceptibles de porter atteinte à la sécurité nucléaire. Le traitement sera régi par les dispositions du titre III de la loi " informatique et libertés " sauf pour ce qui concerne les données relatives aux événements susceptibles de porter atteinte à la sûreté de l’État. Le traitement de ces données relèvera du titre IV de la même loi. Selon les précisions apportées, les traitements relevant du titre IV correspondent aux traitements portant sur une partie des données traitées aux fins de prévention des " atteintes à la sécurité nucléaire susceptibles de provenir d’actes de malveillance, d’agressions ou de menaces ". Il s’agit, plus précisément, des données relatives aux événements susceptibles de porter atteinte : à la sécurité nucléaire, et à la sûreté de l’Etat (soit à l’un des intérêts fondamentaux énumérés à l’article L. 811-3 du code de la sécurité intérieure). Le projet de décret a été modifié pour préciser que ces données sont celles qui sont traitées au titre de la première finalité du traitement et qui révèlent des activités de nature à porter atteinte aux intérêts fondamentaux de la Nation ou constituer une menace terroriste portant atteinte à ces mêmes intérêts ; font l’objet d’une identification dans le traitement, de façon isolée ou groupée (marquage spécifique au sein du fichier). La CNIL accueille favorablement la mise en œuvre de marqueurs spécifiques permettant de déterminer précisément les données considérées comme intéressant la sûreté de l'État, sur la base de critères précis. Une telle identification permet au responsable de traitement saisi d'une demande d'exercice des droits sur le fondement du titre III de la loi " informatique et libertés " de n'exclure de sa réponse que les données identifiées par avance, et sur la base de critères précis, comme relevant du régime du titre IV (en ce sens, v. par exemple CNIL, SP, 25 juin 2020, avis sur projet de décret, PASP, n° 2020-064, publié ). B. Sur l’inscription de personnes impliquées dans des événements susceptibles de porter atteinte à la sécurité nucléaire a) Le périmètre des personnes concernées Le projet de décret autorise, au titre de la prévention des atteintes à la sécurité nucléaire, l’enregistrement de " données relatives aux personnes physiques impliquées dans des événements susceptibles de porter atteinte à la sécurité nucléaire ". Selon les précisions apportées, l’" implication " d’une personne pourra être déduite d’un rôle actif joué dans le déroulé de l’événement (participation, directe ou indirecte à la réalisation de l’événement) ou d’une abstention fautive (absence de contrôle volontaire d’un badge par une personne chargée de s’assurer du droit d’accès à certaines installations, par exemple). Une personne victime d’un événement pourra, également, être inscrite au titre de personne " impliquée " (par exemple, en cas de vol d’un ordinateur contenant des données classifiées). Ainsi, des personnes présentant des liens de nature et d’intensité variables avec l’événement pourront être enregistrées dans ODIINuc. La CNIL recommande au ministère, dans la mise en œuvre du traitement, de bien caractériser le lien établi entre la personne et l’événement (distinction, en particulier, des personnes ayant joué un rôle actif dans la réalisation de l’événement et des victimes d’un tel événement). b) Les données relatives à ces personnes i) Catégories de données Le projet de décret prévoit l’enregistrement de photographies de la personne impliquée dans l’événement, en tant qu’élément d’identification de cette personne. Il autorise également le traitement de " photographies de l’événement ". Ces dernières permettront d’illustrer l’événement, et notamment les modes d’action mis en œuvre. Elles pourront être issues de sources ouvertes. La CNIL prend acte de l’absence de dispositif de reconnaissance faciale, dès lors que le décret ne prévoit pas le traitement de données biométriques. S’agissant en particulier des photographies de l’événement, des modalités d’anonymisation seront mises en place pour protéger la vie privée des personnes non impliquées dans l’événement mais figurant sur la photographie (floutage irréversible des éléments d’identification – visage, plaque d’immatriculation – des personnes présentes sur la photographie mais non impliquées dans l’événement, avant enregistrement au sein du traitement). La CNIL accueille favorablement la mise en place de tels mécanismes. ii) Provenance des données Les données relatives aux personnes impliquées dans un événement pourront provenir de différentes sources (contenus librement accessibles, informations transmises par des services de renseignement ou d’autres services, données issues d’autres traitements, etc.). La CNIL prend acte de ce que le traitement sera alimenté de façon manuelle et non automatisée, après filtrage et analyse des éléments pertinents par les agents spécialement habilités du BRN. c) Les durées de conservation de ces données Les données relatives aux personnes impliquées dans un événement seront conservées au maximum cinq ans " après l’intervention du dernier événement révélant un risque pour la sécurité nucléaire ayant donné lieu à un enregistrement ". Selon le ministère, cette durée a été déterminée au regard de l’existence de plusieurs événements survenus dans un intervalle de plusieurs années. Le ministère précise que la conservation des données sur un temps long permettrait de garantir un suivi efficace des personnes, et notamment celles susceptibles de porter atteinte à la sécurité nucléaire de façon répétée. Or les informations relatives aux personnes impliquées dans un événement seront rattachées à une grande diversité d’événements – de nature et aux degrés de gravité qui diffèrent. Ainsi, des mesures devront être mises en place pour que soient supprimées, avant l’expiration du délai de cinq ans, les données relatives aux événements pour lesquels le service estimerait qu’il n’y a plus de risque subsistant pour la sécurité nucléaire. C. Sur le traitement de données relatives aux demandes d’autorisation S’agissant des demandes d’autorisation, la procédure actuelle repose sur une transmission de la demande au traitement ACCReD. Après criblage au sein de ce traitement et analyse des résultats, le BAN dépose sur le portail ACCReD un avis à destination du service demandeur. Sur la base de cet avis, le service demandeur prend la décision d’autoriser ou de refuser à la personne un accès à certains sites ou activités. Le traitement ODIINuc constituera un portail permettant la saisie et la transmission des données vers ACCReD et dans lequel seront également centralisés les demandes d’autorisation et les avis afférents. Dans cette perspective, pourront être enregistrées dans ODIINuc des informations relatives au motif d’enregistrement, à l’identification de la personne (données d’état civil, immatriculation du véhicule, niveau d’habilitation, etc.), à la demande (date, motif, etc.) ainsi qu’à l’avis et à la décision d’autorisation (sens de l’avis, date de transmission, date et sens de la décision, recours éventuels). Les éléments relatifs aux enquêtes administratives ne seront pas enregistrés dans ODIINuc et sont conservés dans le traitement ACCReD. Les données relatives aux personnes faisant ou ayant fait l’objet d’une demande d’autorisation seront conservées dans ODIINuc pendant une durée maximale de cinq années. La CNIL relève que ces données sont également conservées dans le traitement ACCReD, auquel le CoSSeN a accès. Le ministère indique que la conservation de ces données lui permettra de disposer d’un historique des demandes en cas de nouvelle enquête. D’autre part, la conservation des données relatives aux demandes d’autorisation lui permettra d’identifier et de se prémunir d’une menace interne provenant de personnes titulaires d’une autorisation. En effet, certaines de ces données pourront être traitées pour générer des alertes à des fins de prévention des menaces à la sécurité nucléaire. En particulier, il s’agira d’alerter le BRN qu’un individu inscrit au titre de personne impliquée dans un événement est également enregistré au titre d’une demande d’autorisation. Des mesures devront être mises en place pour que soient supprimées, avant l’expiration du délai de cinq ans, les catégories de données dont la conservation ne serait pas nécessaire au suivi des demandes d’autorisation, ou aux alertes ci-dessus évoquées. D. Sur la conservation des données relatives aux demandes d’habilitation Pour les demandes d’habilitation, pourront être enregistrées des informations relatives au motif de l’enregistrement, à l’avis et à la décision d’habilitation, ainsi que les données figurant dans le dossier de demande d’habilitation annexé à l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale. Ces données apparaissent pertinentes pour permettre au BHAB de traiter et de suivre les demandes d’habilitation réalisées au titre de la protection du secret de la défense nationale dans le domaine du nucléaire. Le décret prévoit que ces données seront conservées pendant un an à compter de l’expiration de la durée de validité de la dernière habilitation (qui peut atteindre sept ans) ou, en cas de refus, cinq ans à compter de la décision de refus. Par dérogation, les informations suivantes seront conservées cinq ans après l’expiration de la durée de validité de la dernière habilitation : le motif de l’enregistrement, les informations liées à l’avis et à la décision d’habilitation, certains éléments d’identification renseignés dans le dossier de demande d’habilitation. Ces durées sont apparues nécessaires pour assurer : un traitement fluide des demandes de renouvellement (lorsqu’une demande intervient après l’expiration du délai de validité de l’habilitation) ; le suivi de personnes ayant eu à connaître d’informations classifiées dans le domaine du nucléaire ou dont les vulnérabilités ont fait obstacle à leur habilitation. La CNIL ne remet pas en cause la nécessité de conserver, pendant plusieurs années, le motif de l’enregistrement, les informations liées à l’avis et à la décision d’habilitation, ainsi que certains éléments d’identification de la personne concernée. Par ailleurs, elle accueille favorablement le principe d’une durée de conservation réduite pour la majorité des données issues du dossier de demande d’habilitation. Elle observe néanmoins que ces données pourront, selon la durée de validité de l’habilitation en cause, être conservées pendant huit ans. La CNIL estime qu’une conservation de ces données pendant plusieurs années n’apparait pas suffisamment justifiée. En effet, ODIINuc vise à permettre l’envoi de la demande d’habilitation au service enquêteur et la réception de l’avis de sécurité résultant de l’enquête. Le dossier de demande d’habilitation nécessaire à l’enquête par la direction générale de la sécurité intérieure (DGSI) ne devrait être conservé que le temps de l’instruction de la demande. Par ailleurs, la DGSI conserve déjà les données relatives aux dossiers de demande d’habilitation dans ses propres traitements y compris lorsqu’ils concernent la sécurité nucléaire. Dès lors, la conservation de ces données à caractère personnel dans une autre base de données n’apparaît pas conforme au principe de minimisation. E. Sur les accédants au traitement Le projet de décret prévoit que seuls les agents du CoSSeN ont accès à tout ou partie des données du traitement. Or certains de ces accédants ne seront pas seulement chargés d'accéder aux données, mais pourront aussi enregistrer des données dans le traitement. Pour éviter toute ambiguïté, le projet de décret devrait préciser que ces accédants pourront de façon plus générale accéder " au traitement ", c’est-à-dire avoir accès aux données mais également enregistrer certaines données. F. Sur l’exercice des droits Les personnes seront informées du traitement de leurs données dans les conditions prévues par les articles 104 et 116 de la loi " informatique et libertés ". Le droit à l’information pourra faire l’objet de restrictions, dans les conditions prévues au 1 du II de l’article 107 et au III de l’article 116 de la loi " informatique et libertés " (pour, respectivement, les traitements relevant des titres III et IV). La CNIL souligne que, lorsqu’il s’agit d’instruire une demande d’habilitation ou d’autorisation, la mise en œuvre de telles restrictions n’apparaît pas nécessaire. S’agissant du traitement des données relevant du titre IV, les restrictions ne devront être utilisées que lorsque cela est nécessaire aux finalités du traitement. G. Sur les mesures de sécurité Concernant la traçabilité des accès et des actions, le projet de décret prévoit que les données de traçabilité seront conservées pendant trois ans. Cette durée de conservation apparait pertinente au regard de la sensibilité des données traitées. Néanmoins, la CNIL rappelle l’importance de la mise en œuvre d’outils de détection automatisés permettant une réaction rapide en cas d’actions malveillantes qui seraient réalisées sur le traitement. Concernant les modalités d’accès aux fonctionnalités de partage de fichiers du portail, la CNIL rappelle le besoin impérieux d’assurer l’intégrité et la confidentialité des phases de réception, d’envoi, de lecture et d’extraction des données issues des pièces transmises et d’en limiter l’accès au seul droit d’en connaître. S’agissant des mots de passe, elle rappelle le besoin de se conformer à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n° 2017-012 du 19 janvier 2017. Par ailleurs, la CNIL prend acte : de ce que les données en transit font l’objet d’un chiffrement permettant d’assurer le respect de la confidentialité des échanges ; de ce que les environnements de non-production n’utilisent pas de données réelles ; de ce qu’une gestion des accès logiques sera mise en œuvre sur la base du droit d’en connaître en cohérence avec un cloisonnement d’accès aux données intégrant une gestion par profils des utilisateurs. Enfin, elle préconise la mise en œuvre de sauvegardes au repos chiffrées. La Présidente Marie-Laure DENIS


Décision DR-2024-182 du 18 septembre 2024 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la survie des patients, de la récidive tumorale et des facteurs de risque associés, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2022. (Demande d’autorisation n° 923193v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juillet 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernés. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données du recensement national histologique des tumeurs primitives du système nerveux central (RnhTPSNC) (demande d’autorisation n° 911013) seront réutilisées dans le cadre de la présente étude et chaînées avec celles du Système national des données de santé (SNDS) de façon probabiliste. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2006 à 2022, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Information et droits des personnes Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Une note d’information sera également rendue publique sur le site web du responsable de traitement, de l’Institut National du Cancer, du réseau français des registres des cancers, de la société française de neurochirurgie et du registre des tumeurs de l’Hérault. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. Observations particulières La CNIL rappelle ses exigences en matière de formalités préalables à la constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche. De telles bases ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du recensement national histologique des tumeurs primitives du système nerveux central relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel "entrepôt de données de santé" ou dépôt d’une demande d’autorisation). Par conséquent, le recensement national histologique des tumeurs primitives du système nerveux central devra faire l’objet d’une nouvelle formalité auprès de la CNIL. Durée d’accès Cinq ans à compter de la mise à disposition des données. Transparence du traitement Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. AUTORISE L’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-190 du 24 juillet 2024 autorisant le CENTRE HOSPITALIER DE BORDEAUX à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le développement et la validation d’indicateurs de qualité de parcours de patients victimes d’accident vasculaire cérébral et de syndrome coronarien chronique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « DELIQUA-CNV ». (Demande d’autorisation n° 923082v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2014 à 2022 pour la cohorte "SCC" ; 2016 à 2022 pour la cohorte "Orientation AVC" ; 2019 à 2023 pour la cohorte "Consultation post-AVC" . Elles seront accessibles pendant cinq ans à compter de leur dernière mise à disposition. Les données seront hébergées au sein d’un espace projet dédiée à l’étude "DELIQUA-CNV" ayant fait l’objet d’une homologation par le responsable de traitement pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 20 mars 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au Centre hospitalier de Bordeaux de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-184 du 19 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS  à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le développement d’un algorithme d’aide à la décision pour l’admission en réanimation des personnes âgées atteintes d’infection respiratoire aigüe, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2021, intitulée « Genially ». (Demande d’autorisation n° 924084)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Observations liminaires sur le déploiement de la plateforme Ouest Data Hub et la responsabilité de traitement Chaque établissement du Groupement de coopération sanitaire des Hôpitaux universitaires du Grand Ouest (GCS HUGO) a développé un entrepôt de données de santé (EDS) à partir d’une plateforme technique identique : le système eHOP ( "entrepôt-Hôpital"). Le GCS HUGO s’est doté d’une plateforme technique pour le traitement des données massives en santé, dénommée plateforme Ouest Data Hub (ODH). Il est responsable de l’intégration des données sur la plateforme technique, de la pseudonymisation des données de la base projet (deuxième pseudonymisation), de la création de la base projet, de la gestion des comptes utilisateurs projet, de l’attribution des droits sur la base projet, du suivi des traces d’activité des gestionnaires HUGO et des utilisateurs sur l’espace projet. Dans le cadre du déploiement de la plateforme ODH, le CHU de Nantes : est responsable de l’hébergement des données et de l’exploitation technique de la plateforme ; met à disposition un espace projet dédié, des outils de gestion des comptes et de gestion des traces d’activité sur la plateforme ; est responsable de la gestion des comptes gestionnaires. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et, d’autre part, que le responsable de traitement souhaite traiter des données du Système national des données de santé (SNDS) mises à disposition par la CNAM. Ainsi, ce traitement devra être mis en œuvre conformément à la MR-004, à l’exception des modalités d’information des personnes concernées et de la nature des données traitées. Réutilisation des données d’une base existante Les données des entrepôts suivants seront réutilisées dans le cadre de la présente étude : l’entrepôt du Centre hospitalier universitaire d’Angers dénommé eHop Angers (demande d’autorisation n°2215237 - Décision DT-2020-003 du 24 août 2020) ; l’entrepôt du Centre hospitalier universitaire de Brest (demande d'autorisation n° 2217775) ; l’entrepôt du Centre hospitalier universitaire de Nantes dénommé eHop (demande d’autorisation n°2129203 – délibération n° 2018-295 du 19 juillet 2018) ; l’entrepôt du Centre hospitalier universitaire de Rennes, dénommé eHop Rennes (demande d’autorisation n° 2212496 - délibération n°2020-028 du 27 février 2020) ; l’entrepôt du Centre hospitalier universitaire de Tours (demande d’autorisation n° 2212853) Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2011 à 2021, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes S’agissant des patients ayant reçu une note d’information individuelle lors de leur admission dans les centres participants comportant un dispositif spécifique d’information auquel ils peuvent se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir de leurs données : Une note d’information qui devra comporter l’ensemble des mentions prévues par le RGPD sera diffusée sur le site web du responsable de traitement, des centres participants, ainsi que sur celui de la plateforme "Ouest Data Hub" S’agissant des autres patients : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle de ces personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD, par voie d’affichage au sein des centres participants et sur les sites web : du Centre hospitalier universitaire de Tours ; de chaque centre participant ; de la plateforme "Ouest Data Hub". S’agissant des professionnels de santé : Les utilisateurs de la plateforme ODH sont informés de la collecte d'informations à caractère personnel les concernant et de leurs traces d’accès lors de la remise de la charte utilisateur de la plateforme. La note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD. S’agissant des modalités d’exercice des droits des personnes : Conformément aux principes de transparence et de loyauté prévus par l’article 5 du RGPD et précisés dans les lignes directrices sur la transparence adoptées par le groupe de travail Article 29 le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD. Les personnes concernées seront informées du fait qu’elles disposeront d’un délai de trois mois pour exercer leurs droits, et notamment leur droit d’opposition, à compter de la publication de l’information relative à l’étude. Lors du gel de la base de données en vue de son analyse, les secrets de pseudonymisation seront effacés pour des raisons de sécurité. Par conséquent, les personnes souhaitant exercer leurs droits après cette étape devront fournir des informations permettant de les ré- identifier, conformément à l’article 11.2 du RGPD. Mesure de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "Genially " Un espace projet sur la solution technique de la Plateforme "ODH" sera dédié au projet "Genially" , afin de permettre la centralisation des données issues des centres de données cliniques locaux (CDC), avant leur appariement avec les données du SNDS sur le portail de la CNAM. Les utilisateurs se connecteront à la plateforme ODH à l’aide d’un certificat et d’un mot de passe ; l’authentification multifacteurs pour l’accès aux espaces projet a été mise en place. Les traces seront centralisées dans un système mis à disposition par l’hébergeur. Un mécanisme proactif de contrôle automatique des données de journalisation contribuant à la sécurité du traitement par la génération automatique d’alertes a été mis en place. Les exports de données depuis l’espace projet ne pourront être constitués que de données anonymes. À cet égard, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. Cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques. Durée d’accès/ Durées de conservation en base active et en archivage Données du SNDS : trois ans à compter de la mise à disposition des données. Autres données : trois ans en base active. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières concernant le développement et le déploiement de l’outil La phase de déploiement de l’outil devra respecter les dispositions spécifiques applicables, notamment les articles L. 4001-3 du code de la santé publique et 14 du règlement européen sur l’intelligence artificielle. Le dossier mentionne que cette étude a pour finalité le développement d’un algorithme d’aide à la décision et qu’il n’a pas pour objet de conduire au développement d’un outil de décision exclusivement automatisée. Il appartiendra au responsable de traitement de préciser les conditions de déploiement de l’outil attendues ainsi que de proposer des mesures permettant aux utilisateurs de préserver leur indépendance et de demeurer libres de leurs actes et prescriptions. Enfin, lorsque, comme c’est le cas en l’espèce, la finalité du traitement d’intelligence artificielle en phase de déploiement étant identifiée dès son développement, les risques associés au déploiement de cet outil d’aide à la décision devraient être documentés dans l’AIPD. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-188 du 22 juillet 2024 autorisant la société PERFUZE LTD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’examen des caractéristiques de performance et de sécurité du système Millipede lorsqu’il est utilisé pour la revascularisation de patients ayant subi un accident vasculaire cérébral ischémique aigu dû à une occlusion des gros vaisseaux, intitulée « MARRS ». (Demande d’autorisation n° 924134)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est IV du 9 janvier 2024 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Transferts hors Union européenne Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ( data privacy framework , ci-après "DPF" ). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère américain du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Durées de conservation en base active et en archivage Base active : trois ans. Archivage : dix ans. AUTORISE la société PERFUZE LTD à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-145 du 17 juin 2024 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de la santé des personnes sans emplois en France, intitulée « ESSE » (Demande d’autorisation n° 924102)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsable de traitement Agence Nationale de Santé Publique – Santé publique France Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données de l’échantillon démographique permanent Santé "EDP-Santé" (demande d’autorisation n° 918335) collectées entre 2008 et 2021 et mis en œuvre par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES), sous réserve qu’elles soient diffusables par le Centre d’accès sécurisé aux données (CASD), seront réutilisées dans le cadre de cette étude. Utilisation de données issues du SNDS historique Modalités de consultation : CASD. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de la DREES d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Six ans et six mois à compter de la mise à disposition des données par le CASD. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-150 du 19 juin 2024 autorisant l’Institut GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le profilage moléculaire pour stratification du traitement des enfants et jeunes adultes porteurs d’un cancer, intitulée « MAPPY ACT 2 ». (Demande d’autorisation n° 923306).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est IV du 16 novembre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. Destinataires des données directement identifiantes Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie. Les personnes concernées en seront préalablement informées. Information des personnes S’agissant des participants majeurs : Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. S’agissant des participants mineurs : Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle. Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information et un formulaire de consentement spécifiques en vue de la poursuite de leur participation à l’étude. Mesures de sécurité La solution technique permettant le contrôle des consentements électronique à distance consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents de consentements (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur. Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’ "envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée" . La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé. Le dépôt des documents de consentement numérisés sur la plateforme est réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur les recommandations de l’Agence européenne du médicament sur les essais décentralisés dans mes essais cliniques et sur le règlement eIDAS. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement sont uniquement consultables en ligne, la solution met en œuvre une visualisation web en propre afin d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché d’étude clinique. Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation. Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage À la fin de l’étude, les échantillons biologiques seront soit versés dans une collection, lorsque le participant y aura consenti, soit détruits. Les données nominatives et la date de naissance du patient seront conservées six jours puis détruits. Autres données : Base active : quatorze ans Archivage : vingt-cinq ans. Réutilisation des données / échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE L’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DT-2020-002 refusant au laboratoire AMGEN la mise en oeuvre d’un traitement de données ayant pour finalité la collecte, l'enregistrement, l'analyse, le suivi, la documentation, la transmission et la conservation des données ainsi que la gestion des contacts, par le laboratoire, avec le notificateur (patient, membre d'une association agréée de patients, professionnels de santé, membre d'une autorité de santé), dans le cadre de la pharmacovigilance des médicaments postérieurement à leur mise sur le marché. (Demande d’autorisation n° 2215581)