Décision DR-2024-218 du 20 août 2024 autorisant le GCS RAMSAY SANTE ENSEIGNEMENT ET RECHERCHE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’élaboration d’un modèle prédictif de ruptures itératives du ligament croisé antérieur, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2024, intitulée « LCA-REOP ». (Demande d’autorisation n° 924170)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données issues des bases de données cliniques de patients opérés du ligament croisé antérieur à l’hôpital privé Jean Mermoz et au Centre hospitalier universitaire de Toulouse seront réutilisées dans le cadre de cette étude. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2006 à 2024, sous réserve qu’elles soient diffusables par la CNAM Modalités de consultation : portail de la CNAM. Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes S’agissant des patients inclus avant le 1er janvier 2021 : En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. S’agissant des patients inclus après le 1er janvier 2021 : Tous les participants majeurs recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD. Les participants mineurs, ainsi que les deux titulaires de l’exercice de l’autorité parentale seront également individuellement informés. Durée d’accès Trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le GCS RAMSAY SANTE ENSEIGNEMENT ET RECHERCHE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-219 du 22 août 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les effets de l'accessibilité spatiale et de la défavorisation sociale sur l’accès à la liste d’attente et à la greffe rénale en France. (Demande d’autorisation n° 924175)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données issues de la base du Réseau Épidémiologique et Information en Néphrologie (demande d’autorisation n° 903188) et du registre CRISTAL (délibération n°96-025 du 19 mars 1996) mises en œuvre par l’Agence de la biomédecine seront réutilisées dans le cadre de cette étude. Catégories particulières de données traitées (autres que données de santé) La collecte de l’adresse complète des personnes concernées a été scientifiquement justifiée dans le dossier de demande afin de calculer les Ilots Regroupés pour l'Information Statistique (IRIS). Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder à ces données. Par ailleurs, la collecte de la nationalité des personnes a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et sur le site web de l’Agence de la biomédecine d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Les adresses complètes des personnes concernées seront détruites après le calcul de l’IRIS, qui interviendra dans un délai maximal d’un an. Autres données : Base active : trois ans Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-220 du 22 août 2024 autorisant le RESEAU DE L'INSUFFISANCE RENALE EN NOUVELLE-CALEDONIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le recours au soin des patients ayant une maladie rénale chronique de stade 3 à 5 sans traitement de suppléance en Nouvelle-Calédonie, intitulée « EPI-REIN-CAL ». (Demande d’autorisation n° 924142)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données de bases existantes Seront réutilisées dans le cadre de cette étude et rapprochées de façon probabiliste les données : issues des laboratoires de biologie médicale en Nouvelle-Calédonie ; du Réseau d'Epidémiologie et Information en Néphrologie (demande d’autorisation n° 903188) mises en œuvre par l’Agence de la biomédecine ; du logiciel médical de néphrologie en Nouvelle-Calédonie. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : cinq ans. Archivage : dix ans. AUTORISE le RESEAU DE L'INSUFFISANCE RENALE EN NOUVELLE-CALEDONIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-221 du 22 août 2024 autorisant la société DIVOLUCI à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’apport d’un outil numérique associé à une coordination humaine de support pour les soins transitionnels de patients en hospitalisation non programmée en court séjour gériatrique, intitulée « SUNH-ST ». (Demande d’autorisation n° 924116)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud Méditerranée III du 15 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) A titre liminaire, la CNIL rappelle que les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant des patients participant à l’étude : La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire pour assurer leur suivi. Ils en sont informés. Leur date de naissance complète sera susceptible d’être traitée uniquement aux fins : d’assurer la prise en charge du patient par les professionnels de santé et des prestataires de ville ; de constitution des dossiers de demandes d’aides financières. S’agissant des aidants : La collecte de leurs données nominatives et de leurs coordonnées (téléphoniques et électroniques) ainsi que de leur lien de parenté avec le participant a été scientifiquement justifiée dans le dossier de demande. Ils en sont informés. Information et droits des personnes Tous les participants (patients et aidants) recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Mesures de sécurité Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) relatives aux patients, ainsi qu’à leurs aidants, seront conservées trois mois après la sortie d’hospitalisation des participants puis détruites. La date de naissance complète ne sera pas conservée après la réalisation des finalités décrites ci-dessus. Autres données : Base active : deux ans Archivage : quinze ans. AUTORISE la société DIVOLUCI à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-222 du 26 août 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE AMIENS - PICARDIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation quantitative par oculométrie de l’attention portée aux visages de patients bénéficiant d’une chirurgie orthognathique, intitulée « OCHIRO ». (Demande d’autorisation n° 924240)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest II du 26 juin 2024 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) Des photographies et des vidéos permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Base active : six ans Archivage : quinze ans. Réutilisation des données et échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE AMIENS - PICARDIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l'accompagnement juridique Paul HEBERT


Décision DR-2024-223 du 26 août 2024 autorisant la société STALLERGENES-GREER à mettre en œuvre la modification d’un traitement de données ayant pour finalité la réalisation d’une étude portant sur l’évaluation des traitements par Allergènes Préparés Spécialement pour un seul Individu (APSI) en vie réelle, nécessitant un accès aux données du PMSI et du SNIIRAM, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2018. (Demande d’autorisation n° 919412v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Modifications substantielles du traitement de données Les modifications envisagées portent sur : l’ajout d’objectifs secondaires ; l’extension de la durée d’accès aux données du SNDS prolongée pour une année supplémentaire. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société STALLERGENES-GREER à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l'accompagnement juridique Paul HEBERT


Décision DR-2024-224 du 27 août 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le suivi des grossesses et des enfants des femmes porteuses d’une sclérose en plaques au sein de l’observatoire français de la sclérose en plaque, intitulée « RESPONSE ». (Demande d’autorisation n° 919084v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est III du 23 mai 2024. Modifications substantielles du traitement de données Les modifications envisagées portent sur : l’augmentation du nombre de participants recrutés ; la prolongation de la période de recrutement de cinq ans supplémentaires. En raison de ces modifications, les données pseudonymisées de l’étude seront conservées pendant dix-neuf ans en base active. Observations complémentaires Le dossier de demande mentionne que le traitement envisagé demeure conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-225 du 6 septembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation précoce et objective du pronostic neurologique des patients victimes d’arrêt cardiaque, intitulée « HYPERION 2 ». (Demande d’autorisation n° 924155)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France II du 6 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données de bases existantes Les données cliniques collectées dans le cadre de l’étude seront appariées avec les données publiques de mortalité disponibles sur le site web de l’Institut national de la statistique et des études économiques (fichier des personnes décédées). Cet appariement sera réalisé par un membre de l’équipe de soin ayant participé à la prise en charge du patient à partir des données nominatives, de la date de naissance (mois et année) et du lieu de naissance des participants. Information et droits des personnes Les participants ne seront pas en état de recevoir l’information préalablement à leur inclusion. Celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Les notes d’information devront être complétées, afin de mentionner que les données collectées dans le cadre de l’étude seront appariées avec les données publiques de mortalité disponibles sur le site web de l’Institut national de la statistique et des études économiques (fichier des personnes décédées). Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les échantillons biologiques seront détruits à l’issue de la recherche. Autres données : Base active : trois ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-227 du 9 septembre 2024 autorisant l’INSTITUT PASTEUR à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de nouveaux outils de diagnostic rapides de l’histoplasmose, intitulée « EvaDiag-Histo ». (Demande d’autorisation n° 923225v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Modification substantielle du traitement de données La modification envisagée porte sur l’ajout d’un pays participant à l’étude, l’Ouganda. Le comité d’éthique de la recherche ougandais a rendu un avis favorable le 29 février 2024. Réutilisation des données de bases existantes Les données de la cohorte "STATIS" (demande d’autorisation n° 915286) pour les patients inclus en Ouganda seront réutilisées dans le cadre de ce projet. La CNIL relève que tous les patients inclus dans cette cohorte sont aujourd’hui décédés. Observations complémentaires Le dossier de demande mentionne que le traitement envisagé demeure conforme aux dispositions de la méthodologie de référence MR-004, à l'exception, d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par le code pénal et, d’autre part, des modalités d’information des personnes concernées. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE L’INSTITUT PASTEUR à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-217 du 20 septembre 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de trois nouvelles méthodes pour faciliter le développement de traitements innovants pour les maladies rares, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « INVENTS-3CU ». (Demande d’autorisation n° 924188)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Sur le rôle de la Plateforme des données de santé La Plateforme de données de santé (PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint de traitement du SNDS. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par la PDS. Tous les filtrages et les appariements de données seront réalisés en amont de la transmission des données vers la solution technique de la PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM. Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que la PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du règlement général sur la protection des données (RGPD). Sur les points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Sur la finalité du traitement et caractère d’intérêt public Le traitement envisagé a pour finalité la mise en œuvre d’une étude visant à évaluer de nouvelles méthodologies destinées à faciliter le développement de traitements innovants pour les maladies rares. Les objectifs de ces méthodologies, décrites dans le dossier de demande, visent à : développer, au moyen de techniques de modélisation et de simulation, et à des données d’essais cliniques et de vie réelle, des essais virtuels permettant d’améliorer les connaissances dans les maladies rares et des méthodes permettant de générer des patients simulés dans différents scenarii, accroître la robustesse des essais cliniques incluant de petits effectifs en utilisant des données provenant d’autres sources ; proposer une nouvelle stratégie de développement des médicaments validée par les autorités permettant de diminuer le nombre d’essais cliniques nécessaires en optimisant l’utilisation des informations collectées pour diminuer le temps nécessaire à la mise sur le marché de nouveaux produits pour les patients atteints de maladies rares. Sous réserve de l’exercice du droit d’opposition, plusieurs cohortes seront constituées dans le cadre de cette étude : une première cohorte constituée à partir des données du Système national des données de santé (SNDS) composée des patients traités avec les trois traitements d’intérêt ou des traitements comparatifs ou ayant un code diagnostique pour lequel ces médicaments peuvent être prescrits ; une seconde cohorte constituée à partir des données de la Banque nationale de maladies rares (BNDMR) incluant tous les patients atteints d'une maladie rare pour laquelle un des traitements d’intérêt est prescrit. Réutilisation des données de bases existantes Les données de la BNDMR autorisée par la CNIL (délibération n° 2019-113 du 5 septembre 2019) seront réutilisées dans le cadre de la présente étude. Ces données seront appariées aux données du SNDS. Les données de la BNDMR ont vocation à intégrer la base du catalogue du SNDS en application de l’article 3 de l’arrêté du 12 mai 2022 relatif aux données alimentant la base principale et aux bases de données du catalogue du SNDS. Catégories particulières de données (hors données de santé) S’agissant du traitement de données du SNDS : Sous réserve qu’elles soient diffusables par la CNAM, le responsable de traitement sollicite un accès aux données du système national d'information inter-régimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2008 à 2023. Les données du SNIIRAM, du PMSI et du CépiDc étant issues de bases composant le SNDS, l’ensemble des dispositions législatives (articles L. 1461-1 à L. 1461-7 du code de la santé publique – CSP) et réglementaires relatives au SNDS sont applicables en l’espèce, notamment le respect du référentiel de sécurité applicable au SNDS. S’agissant des modalités d’appariement des données de la BNDMR avec les données du SNDS : Plusieurs modalités d’appariement des données de la BNDMR avec les données du SNDS sont prévues dans le dossier de demande : dans un premier temps, l’appariement sera réalisé de façon déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) des patients recueillis dans l’application BaMaRa (application web qui permet aux professionnels des centres de référence et de compétences maladies rares de collecter et d’exploiter eux-mêmes leurs données de maladies rares). Les NIR seront envoyés à la CNAM directement depuis la base BaMaRa, par l’équipe en charge de cette base, qui est distincte de celle en charge de la BNDMR ; pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date et au lieu de prise en charge du patient dans le réseau expert, à sa date de naissance (mois et année), à son lieu de résidence (commune et département), à son sexe et au diagnostic. En ce qui concerne la première modalité d’appariement (recueil du NIR à partir de l’application BaMaRa), la Commission attire l’attention du responsable de traitement sur : la nécessaire effectivité du cloisonnement entre les deux équipes intervenant sur la BNDMR et sur BaMaRa, dont il doit s’assurer par des mesures organisationnelles et techniques adaptées aux risques et par des vérifications régulières ; la nécessité que le pôle " Opérations ", qui exploite BaMaRa et réalisera l’extraction des NIR, supprime la table de correspondance [IDMR – IDacc] qui lui est transmise comme paramètre du programme d’extraction ; cette suppression devra intervenir dès la fin de la procédure d’extraction, la table n’étant conservée que par l’équipe de la BNDMR ; la nécessité que chaque demande d’extraction utilise une série de numéros d’accrochage (IDacc) différente, pour limiter les risques de réidentification croisée. Information et droits des personnes S’agissant des patients ayant reçu une note d’information individuelle lors de la constitution de la BNDMR prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt : Une note d’information relative à la présente étude sera diffusée avant le début de l’étude sur le site web dédié à la BNDMR. S’agissant des autres patients dont les données proviendront exclusivement du SNDS : En vertu de l'article 69 de la loi " informatique et libertés " et de l’article 14.5.b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information collective sur le site web du responsable de traitement. Ce traitement sera également enregistré au sein du portail de transparence de la PDS. Sur la sécurité des données et leurs modalités d’hébergement La sécurité des données de l’espace projet dédié au projet " INVENTS-3CU " dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet " INVENTS-3CU ". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet " INVENTS-3CU " et intégrant les éléments fournis par la PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 16 mai 2024, pour une durée de cinq ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 16 mai 2029. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à l’AP-HP de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Transferts hors Union européenne Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durée de conservation en base active et en archivage Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement. Durée d’accès aux données du SNDS : cinq ans. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-235 du 4 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre un traitement de données ayant pour finalité une étude électrophysiologique multimodale des biomarqueurs cortico-sous corticaux des tics dans le syndrome de Gilles de la Tourette, intitulée « BioTic ». (Demande d’autorisation n° 924243)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest IV du 2 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégorie particulière de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants ainsi que, le cas échéant, des représentants légaux sera recueilli en vue de la réalisation des enregistrements. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes S’agissant des modalités d’information des personnes majeures : Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des modalités d’information des personnes mineures : Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les enregistrements vidéo ne seront pas conservés à l’issue de la recherche. Autres données : Base active : cinq ans. Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-234 du 7 octobre 2024 autorisant la société ZAMBON à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’occurrence et le fardeau du syndrome de bronchite oblitérante chez les patients transplantés du poumon et de cellules souches en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2023. (Demande d’autorisation n° 924146v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Modification substantielle du traitement de données La modification envisagée porte sur le traitement des données du CépiDc pour les années 2010 à 2021. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société ZAMBON à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-236 du 18 octobre 2024 autorisant l’INSTITUT DE RECHERCHES INTERNATIONALES SERVIER à mettre en œuvre un traitement de données ayant pour finalité une étude visant à évaluer l'ivosidenib chez des participants majeurs présentant un chondrosarcome conventionnel localement avancé ou métastatique avec une mutation du gène IDH1, n'ayant jamais été traité ou ayant déjà été traité par un schéma thérapeutique systémique, intitulée « CHONQUER ». (Demande d’autorisation n° 924148)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorables du : Metro South Research du 11 avril 2024 ; Osaka International Cancer Institute’s Institutional review board, du 18 avril 2024 ; Kyushu University hospital’s Institutional review board, du 19 avril 2024 ; Comissão nacional de ética em pesquisa du 2 mai 2024 ; MD Anderson Cancer center’s Institutional Review Board du 9 mai 2024 ; University Health Network’s Institutional Review Board du 8 août 2024 . Point de non-conformité à la méthodologie de référence concernée Les participants seront inclus en Australie, au Japon, au Brésil, aux Etats-Unis, ainsi qu’au Canada. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal (recours à une solution de consentement électronique ; inclusion de patients exclusivement à l’étranger). En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. La CNIL prend acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Catégories particulières de données traitées (autres que données de santé) S’agissant de l’examen des caractéristiques génétiques : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement. S’agissant de la collecte de l’origine ethnique des participants : La collecte de l’origine ethnique des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Le sous-traitant sera destinataire de certaines données administratives d’identification des participants (nom, prénom et coordonnées électroniques), ainsi que du contenu de la note d’information et du formulaire de consentement mentionnant leur pathologie, le responsable de traitement prévoyant l’utilisation d’une solution de consentement électronique pour la participation à l’étude. Mesures de sécurité La solution de consentement électronique pour la participation à l’étude sera hébergée par un sous-traitant états-unien spécialisé dans l’hébergement de solutions dédiées aux études cliniques aux Etats-Unis et en Europe. Les connexions à la solution seront soumises à une authentification multifacteur comprenant au moins deux facteurs d’authentification différents. La signature électronique du formulaire de consentement sera disponible pour les participants après connexion authentifiée à la plateforme. La signature nécessitera une action explicite de l’utilisateur, notamment la saisie de son mot de passe. Il appartient au responsable de traitement de s’assurer que le recueil du consentement sera réalisé conformément aux dispositions applicables en matière de signature électronique et d’essais cliniques de médicaments, dans l’ensemble des Etats dans lesquels l’étude sera conduite. Les solutions de télévisite et de suivi patient via des questionnaires proposées par le même sous-traitant ne contiendront que des données pseudonymisées sans identifiant direct et seront séparées logiquement de la solution de consentement électronique. Les permissions de ces solutions sont conçues de manière à interdire l'accès par un même utilisateur aux identifiants directs et aux données de l'étude. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Un service tiers de séquestre des clés de chiffrement est utilisé dans les solutions européennes et états-uniennes, afin d'empêcher le sous-traitant et les autorités gouvernementales d'accéder aux clés de chiffrement. Il est rappelé que les sous-traitants traitant des identifiants directs et des données pseudonymisées doivent appliquer des mesures techniques et organisationnelles strictes pour éviter la combinaison de ces données et prévenir les risques d'inversion de la pseudonymisation. Ces mesures strictes incluent notamment : le contrôle de l'accès aux sites, systèmes et bases de données contenant des données directement identifiantes pour éviter leur exposition à du personnel non autorisé ; la restriction du personnel traitant des données identifiantes de participer à des services utilisant des données pseudonymes et vice-versa ; la limitation du nombre de membres du personnel traitant les données d'identification directe et des mesures afin que ce personnel ne soit pas impliqué dans la supervision de l'étude clinique ; la gestion de la communication avec les patients qui devra être effectuée principalement via le site investigateur et sinon en minimisant la collecte de données et en utilisant des identifiants pseudonymes dans la mesure du possible ; des dispositions spécifiques incluses dans les accords de confidentialité du personnel pour préciser les divulgations autorisées ; la fourniture au promoteur d’informations détaillées sur les méthodes de traitement des données, lui permettant de s'assurer que les participants à l'étude sont pleinement informés des conditions de traitement des données directement identifiantes et des données pseudonymisées. Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable conjoint de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Transferts hors Union européenne Le responsable de traitement prévoit de transférer des données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ). En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Durées de conservation en base active et en archivage Les échantillons biologiques seront détruits après analyse ou conservés pendant vingt-cinq ans dans le cadre d’une collection d’échantillons biologiques, si la personne concernée y consent. Autres données : Base active : cinq ans Archivage : vingt-cinq ans. Conservation et réutilisation des données et des échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données cliniques associées devra faire l’objet de formalités auprès de la CNIL. En effet, la constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou autorisation). Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT DE RECHERCHES INTERNATIONALES SERVIER à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-233 du 30 septembre 2024 autorisant la société ASTRAZENECA PHARMACEUTICALS LP à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du risque d'événements cardiovasculaires graves chez les patients adolescents et adultes exposés au tezepelumab pour traiter l’asthme sévère, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2028, intitulée « TRESPASS ». (Demande d’autorisation n° 924267)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2013 à 2028 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Information et droits des personnes Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le site web du responsable de traitement ainsi que sur celui du responsable de la mise en œuvre de l’étude. Ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Cinq ans à compter de la dernière mise à disposition des données. AUTORISE la société ASTRAZENECA PHARMACEUTICALS LP à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-231 du 30 septembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les expositions chimique et microbiologique des femmes dans les exploitations bovines laitières, intitulée « DAISY-Expo ». (Demande d’autorisation n° 924176)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est VI du 7 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom ainsi que des coordonnées postales et téléphoniques est nécessaire pour proposer aux personnes de participer à l’étude, leur adresser la note d’information ainsi que pour assurer leur suivi. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données administratives d’identification nom, prénom, coordonnées téléphoniques et postales seront détruites à la fin du suivi. Les échantillons biologiques seront conservés pendant quinze ans au sein d’une collection d’échantillons biologiques puis détruits. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données / échantillons biologiques La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-232 du 30 septembre 2024 autorisant le CENTRE HOSPITALIER DE GRENOBLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le dépistage de la fibrose hépatique avancée à l’aide des tests non invasifs en soins primaires, intitulée « ANTICIP-SP ». (Demande d’autorisation n° 924154)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud méditerranée III du 27 juin 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des noms, prénoms ainsi que des coordonnées téléphoniques et électroniques des patients est nécessaire pour proposer aux personnes de participer à l’étude, leur adresser la note d’information ainsi que pour assurer leur suivi. Par ailleurs, les noms, prénoms ainsi que des coordonnées téléphoniques et électroniques des médecins en charge du patient seront collectés si le patient n’est pas en mesure de fournir les informations concernant les examens réalisés dans son parcours de soins. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Une note d’information sera diffusée par voie d’affichage dans les salles d’attente des laboratoires de biologie médicale partenaires. Par ce biais, les personnes concernées seront informées que, sauf opposition de leur part, leurs données nominatives et leurs coordonnées sont susceptibles d’être transmises par les laboratoires au responsable de traitement afin que ce dernier puisse leur adresser une note d’information individuelle afin de leur proposer de participer à l’étude. Conformément aux dispositions de l’article 74 de la loi informatique et libertés , les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’étude ne devront pas être contactées à nouveau. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données administratives d’identification et les coordonnées du patient refusant de participer à l’étude seront détruites à la fin de l’inclusion. Les données nominatives et les coordonnées du patient ayant accepté de participer à l’étude ainsi que des médecins seront détruites à la fin du suivi. Autres données : Base active : cinq ans Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-097 du 19 avril 2024 autorisant LE MINISTERE DE LA SANTE ET DE LA PREVENTION (DIRECTION DE LA RECHERCHE, DES ETUDES, DE L’EVALUATION ET DES STATISTIQUES) à mettre en œuvre un traitement de données ayant pour finalité une enquête portant sur les établissements d’hébergement pour personnes âgées, intitulée « EHPA ». (Demande d’autorisation n° 924001)


Décision DR-2024-104 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la dynamique de transmission des bactéries résistantes aux antibiotiques entre le chien et l’homme, intitulée « DYASPEO ». (Demande d’autorisation n° 924053)


Décision DR-2024-156 du 18 octobre 2024 autorisant l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évolution de la consommation de soins suite à la réalisation de travaux de réhabilitation de logements, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2028. (Demande d’autorisation n° 921305v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. La CNIL relève également que les modalités d’information des personnes concernées ne sont pas conformes à la MR-004. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, date de naissance (jour, mois et année) ainsi que des coordonnées (postales, téléphoniques électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du système national des données de santé (SNDS). Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2021 à 2028 Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants majeurs recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des mineurs, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Une note d’information adaptée aux participants mineurs et comportant l’ensemble des mentions prévues par le RGPD devra leur être remise. Durée d’accès et de conservation des données Les nom, prénom, coordonnées postales, téléphoniques et électroniques seront détruites à la fin du suivi des participants Les NIR et les dates de naissance seront conservés pendant cinq ans (dernier appariement au SNDS), puis détruites. Données du SNDS : cinq ans à compter de la mise à disposition des données. Autres données : Base active : sept ans Archivage : quinze ans Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DT-2024-016 du 2 août 2024 autorisant la fédération SOS MEDECINS FRANCE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EDS CONTACT ». (Demande d’autorisation n° 2234954)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception : de la base légale du traitement ; des finalités du traitement. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé détenues par les associations participantes et membres de la fédération, dénommé "EDS CONTACT". Le traitement envisagé a pour objectif : L’amélioration des pratiques et de la prise en charge médicale, notamment afin de permettre la production d’indicateurs, le pilotage de l’activité, le passage au niveau national d’initiatives locales de qualité et de pertinence des prises en charge, ainsi que l’amélioration de l'information médicale et la réalisation d’études de faisabilité. L’utilisation des données par des tiers, notamment afin d’optimiser les trajectoires et parcours de soins ainsi que l’accès aux soins pour tous, contribuer à l’innovation en médecine générale (projets d’intelligence artificielle, la personnalisation des soins ou encore l’éco santé), participer à la recherche en santé et anonymiser les données pour leur réutilisation pour des finalités d’intérêt public. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités "interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés". Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fassent l’objet de formalités propres. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "EDS CONTACT", ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE la fédération SOS MEDECINS FRANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-230 du 20 septembre 2024 autorisant la société ALIRA HEALTH à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge, l’évaluation économique et la description de facteurs socio-économiques et environnementaux du cancer du poumon, nécessitant un accès aux données du programme de médicalisation des systèmes d’information (PMSI), pour les années 2015 à 2023. (Demande d’autorisation n° 924262)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024 Utilisation de données issues du SNDS historique Composantes et années concernées : PMSI, pour les années 2015 à 2023. Modalités de consultation : plateforme du Centre d’accès sécurisée aux données. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site web du responsable de traitement. Tous ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Deux ans à compter de la mise à disposition des données. AUTORISE la société ALIRA HEALTH à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé