Décision DR-2024-265 du 28 octobre 2024 autorisant SANTÉ PUBLIQUE FRANCE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de la santé des personnes sans emplois en France, intitulée « ESSE ». (Demande d’autorisation n° 924102V1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données de l’échantillon démographique permanent Santé EDP-Santé , réutilisées dans le cadre de cette étude, qui porte désormais sur la période 2008 à 2022. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE SANTÉ PUBLIQUE FRANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


NoDécision DR-2024-245 du 18 octobre 2024 autorisant le SAMUSOCIAL DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évolution des caractéristiques socio-démographiques et médicales des populations précaires atteintes de tuberculose en Ile-de-France. (Demande d’autorisation n° 924210)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Les données issues des deux bases de données suivantes seront réutilisées dans le cadre de la présente étude : les données de la base de données E-DO mise en œuvre par l’Agence nationale de santé publique (délibération n° 2019-002 du 10 janvier 2019) ayant pour finalité un traitement de surveillance du VIH et de la tuberculose par un dispositif dématérialisé de déclaration obligatoire, les données collectées entre 2004 et 2024 par l’Equipe Mobile de Lutte contre la Tuberculose du Samusocial de Paris dans le cadre de la prise en charge des patients. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et par voie d’affichage au sein du local de l’Equipe mobile de lutte contre la tuberculose d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durées d’accès et de conservation Les données mises à disposition par l’Agence nationale de santé publique seront conservées un an et trois mois puis seront supprimées. Les autres données collectées seront conservées durant trois ans et trois mois en base active puis seront supprimées. AUTORISE le SAMUSOCIAL DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-266 du 28 octobre 2024 autorisant ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude de cohorte française sur l’infarctus du Myocarde, dénommée « FRENCHIE », nécessitant un accès aux données du SNIIRAM, du PMSI et du CepiDC, composantes du Système national des données de santé (SNDS), pour les années 2017 à 2030. (Demande d’autorisation n° 918073v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest VI du 16 avril 2024. Modifications substantielles du traitement de données Les modifications portent sur : la profondeur historique des données dont le traitement est envisagé, qui porte désormais sur les années 2017 à 2030 ; l’allongement de la durée d’accès aux données qui est désormais de cinq ans, à compter de la dernière mise à disposition des données. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-246 du 18 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la prévalence du portage digestif des entérobactéries productrices de bêta-lactamases à spectre étendu et de carbapénèmase en établissement d'hébergement pour personnes âgées dépendantes, nécessitant l’accès aux données du système national d’information inter-régime de l’assurance maladie (SNIIRAM), composante du Système national des données de santé (SNDS), pour les années 2017 à 2024. (Demande d’autorisation n° 917255v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Méditerranée I du 28 août 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR003, à l’exception de la nature des données traitées (traitement de données du Système national des données de santé (SNDS). En dehors de ce point, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2017 à 2024. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-251 du 22 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BREST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la combinaison des données issues de cohortes européennes afin d’identifier des biomarqueurs prédictifs de la maladie veineuse thromboembolique dans le cadre du projet européen « MORPHEUS », intitulée « MC MORPHEUS ». (Demande d’autorisation n° 924207)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Seront réutilisées dans le cadre de cette étude, les données issues des bases de de données suivantes : des études FARIVE (dont le traitement a fait l’objet de la demande d’autorisation n°902266) et PEITHO (dont le traitement a fait l’objet de la formalité CNIL n°1217614) mises en œuvre par l’Assistance publique-Hôpitaux de Paris ; de l’étude MARTA mise en œuvre par l’Assistance publique-Hôpitaux de Marseille (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ; ; de l’étude MEGA STUDY mise en œuvre par le centre médical universitaire de Leiden ; de l’étude PEAGE mise en œuvre par le Centre hospitalier universitaire de Saint-Etienne (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ; des études EDITH , BREIZH COHORTE , PEAGE (pour la bio banque), RENOVE PADIS-EP et PADIS-TVP mises en œuvre par le Centre hospitalier universitaire de Brest (dont les traitements ont été réalisés dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) ; de l’étude PADIS EXTENSION mise en œuvre par le centre hospitalier universitaire de Brest (dont le traitement a fait l’objet de la demande d’autorisation n°913038) ; des études FOCUS et PEITHO 2 (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) mises en œuvre par l’hôpital universitaire Johannes Gutenberg de Mayence ; de l’étude BFC FRANCE REGISTERY mise en œuvre par le centre hospitalier universitaire de Besançon (dont le traitement a fait l’objet de la demande d’autorisation n°2216065) ; de l’étude REMOTEV mise en œuvre par les hôpitaux universitaires de Strasbourg (dont le traitement a fait l’objet d’une déclaration normale n°2167960). Information et droits des personnes S’agissant des patients dont le suivi est terminé : En application de l'article 69 de la loi du 6 janvier 1978 modifiée et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes dont le suivi est terminé et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information sur le site web du responsable de traitement de la présente étude, des responsables de traitements initiaux dont les données seront réutilisées ainsi que par voie d’affichage. Les notes d’information devront être complétées afin de comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Les échantillons biologiques centralisés et analysés dans le cadre de la présente recherche seront conservés pendant une durée de quinze ans. Base active : cinq ans. Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BREST à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-252 du 17 octobre 2022 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité d’un programme de formation à la communication pour améliorer le traitement des appels pour suspicion d’arrêt cardiaque aux SAMU-Centre 15, intitulée « COM-ARM » (Demande d’autorisation n° 924024v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 23 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France X du 13 décembre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes, ainsi que des modalités d’information des personnes concernées (collecte des bandes d’appel au service d’urgence ; inclusion de personnes se trouvant en situation d’urgence vitale immédiate). En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégorie particulière de données traitées (autres que données de santé) La collecte des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. La collecte des bandes d’appel aux services d’urgence, susceptibles de comporter des données relatives aux appelants tiers, a été scientifiquement justifiée dans le dossier de demande. Seules les données strictement nécessaires à l’étude pourront être collectées. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche. Une note d’information sera également diffusée dans des journaux locaux, ainsi que sur les sites web des centres participants. Elle devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Mesures de sécurité Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durées de conservation en base active et en archivage Base active : trois ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-257 du 22 octobre 2024 autorisant l’AGENCE NATIONALE DE SECURITE SANITAIRE DE L’ALIMENTATION DE L’ENVIRONNEMENT ET DU TRAVAIL à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le développement de méthodes d’évaluations des risques basées sur des données de biosurveillance pour permettre une meilleure surveillance des risques liés aux expositions aux substances chimiques, seules et en mélange. (Demande d’autorisation n° 924200)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante (étude précédente) Les données de l’étude de SanTé sur l’Environnement, la Biosurveillance, l’Activité physique et la Nutrition – ESTEBAN (autorisée par le décret n° 2013-742 du 14 août 2013 portant création d'un traitement de données à caractère personnel relatif à la biosurveillance, à la surveillance de la santé et à la nutrition dénommé Esteban ) seront réutilisées dans le cadre de la présente étude. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et de Santé publique France, d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : dix ans. Archivage : dix ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’AGENCE NATIONALE DE SECURITE SANITAIRE DE L’ALIMENTATION DE L’ENVIRONNEMENT ET DU TRAVAIL à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-255 du 22 octobre 2024 autorisant la société MSD FRANCE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’utilisation en vie réelle du pembrolizumab chez des patients atteints d’un carcinome épidermoïde de la tête et du cou métastatique ou récidivant non résécable en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2026. (Demande d’autorisation n° 923020v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Modifications substantielles du traitement de données Les modifications envisagées portent sur : l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires ; la profondeur historique des données du SNDS dont le traitement est envisagé : le traitement porte désormais sur les années 2018 à 2026, sous réserve qu’elles soient diffusables par la CNAM. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-256 du 22 octobre 2024 autorisant les SOCIETES MEMBRES DU CONSORTIUM VALPORATE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la caractérisation des troubles neurodéveloppementaux chez les enfants exposés in utero au valproate et/ou aux autres antiépileptiques avec un suivi à long terme, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) pour les années 2009 à 2021, intitulée « AVALON ». (Demande d’autorisation n° 924007v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Modification substantielle du traitement de données La modification envisagée porte sur la mise à jour de la liste des sociétés composant les membres du consortium VALPORATE, dont fait dorénavant partie la société AUROBINDO PHARMA B.V. La note d’information collective, diffusée sur le site web de chacun des membres du consortium, sera mise à jour en conséquence. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE les sociétés susmentionnées à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-258 du 22 octobre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’intérêt du séquençage haut débit du génome entier dans le diagnostic et la prise en charge des patients atteints de formes atypiques de diabète, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2032, intitulée « GLUCOGEN ». (Demande d’autorisation n° 923191v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est IV du 23 juillet 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’inclusion de patients sous tutelle ou curatelle. Une note d’information dédiée sera remise au tuteur du patient. S’agissant des majeurs protégés dont l'état ne leur permet pas de prendre seuls une décision personnelle éclairée, conformément aux dispositions de l’article 70 de la loi informatique et libertés , est destinataire de l'information et exerce les droits de la personne concernée la personne chargée d'une mission de représentation dans le cadre d'une tutelle, d'une habilitation familiale ou d'un mandat de protection future. Le responsable de traitement devra prévoir également la remise d’un support d’information adapté aux représentants des majeurs sous curatelle. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-259 du 24 octobre 2024 autorisant la société PHOENIX NEST INC à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évolution de la maladie, la symptomatologie, et l’histoire naturelle des participants atteints du syndrome de Sanfilippo de type C. (Demande d’autorisation n° 924271).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord Ouest III du 20 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) S’agissant de la réalisation d’enregistrements vidéo identifiants : Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ce traitement a été scientifiquement justifié dans le dossier de demande et le consentement éclairé et exprès des participants sera recueilli par écrit pour la réalisation de ces vidéos. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes S’agissant de l’information des majeurs protégés : Le responsable de traitement devra prévoir la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle. Mesures de sécurité Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du Règlement général sur la protection des données. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement reste pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Transferts hors Union européenne Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. S’agissant du transfert de données pseudonymisées vers les Etats-Unis : Considérant la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ). En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. S’agissant du transfert de données pseudonymisées en Australie : Le responsable de traitement encadrera ce transfert de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. Il incombe en outre au responsable de traitement d'évaluer si le niveau de protection requis par le droit de l'UE est respecté en Australie afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durée d’accès/ Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant une durée maximale de deux ans à compter de la fin de l’étude, puis détruits. Les enregistrements vidéo seront conservés pendant quatre ans en base active puis archivés durant quinze ans. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données / échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE la société PHOENIX NEST INC à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-260 du 28 octobre 2024 autorisant la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le suivi clinique post-commercialisation de prothèses de hanche, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2031 intitulée « HYPE-SNDS ». (Demande d’autorisation n° 924165v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2011 à 2031, sous réserve qu’elles soient diffusables par la CNAM. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-264 du 25 octobre 2024 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de l'état de santé des travailleurs et travailleuses en France selon l'activité professionnelle, intitulée « SEESTA » (Demande d’autorisation n° 924113v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données de l’échantillon démographique permanent Santé EDP-Santé , réutilisées dans le cadre de cette étude, qui porte désormais sur la période 2008 à 2022. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE, l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-244 du 18 octobre 2024 autorisant le GROUPEMENT DES HOPITAUX DE L’INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact du dispositif de téléconsultation sur l’encombrement dans les services des urgences, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2025 à 2026, intitulée « TELECOSPIC ». (Demande d’autorisation n° 924218).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques aux fins d’appariement des données cliniques avec les données du Système national des données de santé). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégorie particulière de données traitées (autres que données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Le tiers de confiance devra avoir été désigné avant le début de la collecte du NIR. Ce tiers de confiance devra être indépendant juridiquement et économiquement du responsable de traitement et des sous-traitants (centres investigateurs, etc.). Enfin, le tiers de confiance ne devra pas se trouver en situation de conflit d’intérêts vis-à-vis du responsable de traitement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2025 à 2026 Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durée d’accès Données du SNDS : un an à compter de la mise à disposition des données. Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. AUTORISE le GROUPEMENT DES HOPITAUX DE L’INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-248 du 18 octobre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité du sulforaphane chez les enfants de 6 à 12 ans présentant un trouble du déficit de l'attention avec hyperactivité, intitulée « SULFO TDAH ».  (Demande d’autorisation n° 924263)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VII du 8 août 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et électroniques) seront détruites à la fin du suivi des participants. Autres données : Base active : 5 ans Archivage : 15 ans Réutilisation des données/ échantillons biologiques Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-249 du 18 octobre 2024 autorisant l’ASSOCIATION POUR LA LUTTE CONTRE LES MALADIES DU FOIE ET DES VOIES BILIAIRES à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la prévalence des maladies rares du foie, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2019. (Demande d’autorisation n° 921102v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Modifications substantielles du traitement de données Les modifications envisagées portent sur : l’ajout de nouveaux objectifs : poursuite et approfondissement des travaux pour une des pathologies, les hépatites auto-immunes (HAI) ; l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE, l’ASSOCIATION POUR LA LUTTE CONTRE LES MALADIES DU FOIE ET DES VOIES BILIAIRES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-250 du 18 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’acceptabilité de la téléréhabilitation en alternative à la réhabilitation respiratoire conventionnelle chez le patient présentant une bronchopneumopathie chronique obstructive, intitulée « TRAC-P ». (Demande d’autorisation n° 924230)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest IV du 10 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que des données de santé) La collecte des nom, prénom ainsi que des coordonnées électroniques est nécessaire pour assurer le suivi des participants qui en sont informés (création du compte patient dans l’application utilisée dans le cadre de l’étude). Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé. Mesures de sécurité Les messages stockés au sein de l’application seront chiffrées de bout-en-bout et ne seront accessibles qu’à l’émetteur et aux destinataires des messages. Une authentification multifacteur sera mise en place pour les accès patients, professionnels et administrateurs à l’application. Les données personnelles liées à l’application seront chiffrées au repos. Les données pseudonymisées issues de l’application seront transmises via une messagerie sécurisée de santé ou un service de stockage sécurisé interne à l’éditeur de l’application, dont l’hébergement n’est pas soumis à des réglementations extra-européennes. Ces données stockées par le service devront être détruites dès la réception des données. Au sein du CHU, les données pseudonymisées seront chiffrées au repos. Un serveur de calcul interne à la Faculté de santé rattachée au CHU sera ensuite utilisé pour traiter les données personnelles des patients. Des comptes nominatifs avec des espaces de travail distincts seront utilisés pour ce traitement, dont les accès sont conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Au vu de la sensibilité des données, la CNIL recommande fortement le chiffrement au repos des supports de stockage du serveur de calcul, ainsi que le déploiement d’une authentification multifacteur lors d’un accès à des données de santé. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durées d’accès et de conservation des données Les données nominatives et les coordonnées électroniques seront détruites à la fin du suivi des participants. Les données issues de la messagerie sécurisée au sein de l’application seront également détruites à la fin du suivi des participants. Autres données : Base active : cinq ans et huit mois. Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER UNIVERSAITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-267 du 30 octobre 2024 autorisant l’INSTITUT DE RADIOPROTECTION ET DE SURETE NUCLEAIRE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les effets d'une exposition professionnelle chronique à de faibles doses de rayonnements ionisants sur la mortalité et la morbidité des travailleurs du secteur médical, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2026, intitulée « ORICAMS-SNDS ». (Demande d’autorisation n° 924178)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)) et des modalités d’information des personnes concernées. En dehors de ces points qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Seront réutilisées dans le cadre de la présente étude : les données de l’étude ORICAMs (demande d’autorisation n° 912327) ; les données issues du système de surveillance " SISERI " mise en œuvre par l’IRSN (arrêté du 23 juin 2023 relatif aux modalités d'enregistrement et d'accès au système d'information et de surveillance de l'exposition aux rayonnements ionisants " SISERI "). Catégories particulières de données traitées (autres que données de santé) Les données de l’étude " ORICAMs-SNDS " feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants qui sera recueilli à partir du système de surveillance SISERI de l’IRSN. Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du SNDS. Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Utilisation de données issues du SNDS historique Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du système national d'information interrégimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2006 à 2026. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité " SNDS ". Information et droits des personnes En application de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et la par voie d’affichage au sein des services de médecine du travail de chaque centre d’activité médicale inclus d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Mesures de sécurité Les données seront consolidées et analysées sur la plateforme du Centre d’accès sécurisé aux données (CASD). Toute donnée nécessaire à la préparation de la base, telle que la table de correspondance, devra être supprimée dans les meilleurs délais après consolidation de la base. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durée d’accès/ Durées de conservation en base active et en archivage Données du SNDS : cinq ans à compter de la dernière mise à disposition des données. Le NIR, le sexe et la date de naissance de naissance complète des participants ne sera pas conservé après l’appariement. Autres données : Base active : cinq ans. Archivage : vingt ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de la santé sont des entrepôts de données. Lorsque ces bases contiennent des données issues du SNDS, leur mise en œuvre doit faire l’objet d’une autorisation de la CNIL, conformément aux dispositions de l’article L. 1461-3 II du code de la santé publique. AUTORISE l’INSTITUT DE RADIOPROTECTION ET DE SURETE NUCLEAIRE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-247 du 21 octobre 2024 autorisant la société PFIZER à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le fardeau hospitalier et ambulatoire associé aux pneumonies et aux infections à pneumocoque chez l’adulte, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système nationale des données de santé (SNDS) ainsi qu’aux données de la base Resid-EHPAD, pour les années 2009 à 2019, intitulée « EPHEBIA ». (Demande d’autorisation n° 920390v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de vingt-quatre mois supplémentaires. Point de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR004, à l’exception de la nature des données traitées (traitement de données du Système national des données de santé (SNDS) et des modalités d’information d’une partie des personnes concernées. En dehors de ces points, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Information et droits des personnes S’agissant des participants ayant reçu une note d’information individuelle lors de la constitution de l’entrepôt EMR, prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt : Conformément à la MR004, les personnes concernées par la recherche et/ou leurs représentants légaux doivent être préalablement et individuellement informés lors d’un traitement de leurs données à caractère personnel, ayant pour finalité une recherche. L’information dispensée doit alors être conforme aux dispositions des articles 13 ou 14 du Règlement général sur la protection des données (RGPD). Par exception, des données peuvent faire l’objet d’une réutilisation sans qu’il soit procédé à une nouvelle information individuelle des personnes concernées notamment lorsque l’information délivrée lors de la collecte des données prévoit la possibilité de réutiliser les données, et renvoie à un dispositif spécifique d’information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données (par exemple un portail de transparence). Dans cette hypothèse, le portail de transparence auquel renvoie la note d’information initiale doit contenir, pour chaque projet de recherche ultérieur, une information comportant l’ensemble des mentions prévues par le RGPD. Les liens mentionnés dans les notes d’information doivent être à jour et fonctionnels afin d’assurer l’accessibilité de l’information aux personnes concernées. Une note relative au projet de recherche sera rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD et indiquer les modifications substantielles apportées au traitement. S’agissant des participants ayant reçu une note d’information individuelle lors de la constitution de l’entrepôt EMR qui ne prévoyait pas de dispositif spécifique d’information auquel ils auraient pu se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt : En application de l'article 69 de la loi Informatique et Libertés et de l’article 14, 5, b), du Règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude (la société PFIZER) et du responsable de traitement de la base EMR (la société IQVIA Opérations France) d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Observations particulières Cette étude implique une réutilisation des données de l’entrepôt EMR dont IQVIA est responsable de traitement. Les conditions prévues par l’autorisation encadrant la constitution et la mise en œuvre de cet entrepôt (délibération n°2021-015 du 4 février 2021) devront être respectées dans le cadre de la recherche EPHEBIA . AUTORISE PFIZER à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-253 du 22 octobre 2024 autorisant LE CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le développement et la validation d’un score clinico-biologique discriminant les AVC et les mimics, intitulée « CoBRA ». (Demande d’autorisation n° 924130).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes (CPP) SUD MEDITERRANEE I du 12 octobre 2022. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées La collecte du code postal de résidence a été scientifiquement justifiée dans le dossier de demande. L’examen des caractéristiques génétiques des patients, inclus en situation d’urgence ou en situation d’urgence vitale immédiate conformément aux dispositions de l’article L. 1122-1-3 du code de la santé publique (CSP), ne pourra être réalisé qu’après le recueil du consentement éclairé, exprès et écrit des personnes concernées ou, le cas échéant, de leurs représentants légaux. Information et droits des personnes Les documents d’information devront comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans Archivage consentement : dix ans Les échantillons biologiques seront conservés pendant dix ans puis détruits. Réutilisation des échantillons biologiques La constitution et la conservation d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou autorisation). Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-269 du 31 octobre 2024 autorisant l’INSTITUT CURIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’optimisation de l’implémentation du dépistage du cancer broncho-pulmonaire en Île de France, intitulée « OPTI-DEPIST-MUT » (Demande d’autorisation n° 924213)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest VI du 8 juillet 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) S’agissant de la collecte des données administratives d’identification : La collecte des nom, prénom et coordonnées (téléphoniques et électroniques) est nécessaire pour contacter les participants aux fins de recrutement. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant de l’examen des caractéristiques génétiques des participants : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi " informatique et libertés ". S’agissant des autres catégories de données traitées : La collecte des " Ilots Regroupés pour l'Information Statistique " (IRIS) a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les données administratives d’identification seront conservées pendant une durée maximale de trente jours puis détruites. Les échantillons biologiques seront conservés pendant la durée de l’étude puis versés dans une collection biologique pour une durée maximale de douze ans, lorsque la personne y aura consenti. Autres données : Base active : douze ans Archivage : quinze ans. Réutilisation des données et des échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données associées devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-270 du 31 octobre 2024 autorisant la société BRYSTOL MYERS SQUIBB à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation du luspatercept dans la prise en charge du syndrome myélodysplasique en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2025.  (Demande d’autorisation n° 924236)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Utilisation de données issues du SNDS historique Composantes et années concernées sous réserve qu’elles soient diffusables par la CNAM : SNIIRAM et PMSI : 2015 à 2025 CépiDc : 2022 à 2025. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Information et droits des personnes Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le site web du responsable de traitement ainsi que sur celui du responsable de la mise en œuvre de l’étude. Ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Trois ans à compter de la mise à disposition des données. AUTORISE la société BRYSTOL MYERS SQUIBB à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l'accompagnement juridique Paul HEBERT


Décision DR-2024-268 du 30 octobre 2024 autorisant la société MYOKARDIA à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le fardeau de la maladie, les stratégies de traitement, les résultats et l’évolution naturelle sous traitement associés à la cardiomyopathie hypertrophique (CMH) et à ses sous-types en France, nécessitant l’accès aux données du SNIIRAM, du PMSI et du CepiDC, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2019. (Demande d’autorisation n° 920414v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’accès aux données du Système national des données de santé (SNDS) prolongé d’une année supplémentaire. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société MYOKARDIA à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l'accompagnement juridique Paul HEBERT