Délibération n° 2024-038 du 23 mai 2024 portant avis sur un projet de loi relatif à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier

N° de demande d’avis : 24006666 Thématiques : cybersécurité, directives NIS Organisme(s) à l’origine de la saisine : Secrétariat général de la défense et de la sécurité nationale (SGDSN) Fondement de la saisine : Article 8, I, 2°, e) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : 1. La CNIL accueille favorablement le renforcement général du niveau de sécurité des systèmes d’information et estime qu’il peut être de nature à converger avec les principes de la protection des données à caractère personnel. 2. Concernant les entités importantes, la CNIL appelle toutefois l’attention sur le risque de disparités entre les exigences de sécurité découlant des principes de la protection des données et celles relatives aux obligations de la directive NIS 2. Elle souligne qu’un travail d’harmonisation pourra également être nécessaire concernant les sanctions encourues par ces entités, pour lesquelles les dispositions du projet de loi et de la loi Informatique et Libertés divergent. 3. La mise en œuvre de la directive NIS 2 sur le territoire national nécessite une coopération importante des autorités ayant des compétences en termes de cybersécurité, en particulier en ce qui concerne les échanges d’informations entre ces autorités. 4. Le renforcement des pouvoirs de contrôle et de sanction de l’ANSSI, prévu par la directive NIS 2, implique également une coordination accrue avec la CNIL, à laquelle cette dernière est favorable. La CNIL préconise que le projet de loi prévoit un mécanisme d’orientation préalable des poursuites vers la Commission des sanctions de l’ANSSI ou vers la CNIL afin d’écarter tout cumul de sanctions pour des manquements identiques. ___________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés ") ; Après avoir entendu le rapport de M. Fabien Tarissan, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte La directive n° 2016/1148 pour la " sécurité des réseaux et de l’information " du 6 juillet 2016 (ci-dessous " directive NIS ") formalise, au niveau de l’Union européenne, des exigences minimales communes en matière de cybersécurité. Elle fut transposée en droit français par la loi n° 2018‑133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité. Face à l’accroissement du risque cyber, et dans l’objectif d’accompagner la transformation numérique, la directive n° 2022/2555 (ci-dessous " directive NIS 2 ") a été adoptée le 14 décembre 2022 avec l’ambition d’améliorer la cyberrésilience de l’Union. Alors que la directive NIS ne concernait qu’environ 500 opérateurs régulés en France et ne couvrait que six secteurs d’activité stratégiques, NIS 2 élargit le champ d’application des exigences en termes de cybersécurité à près de 15 000 entités opérant en France dans dix-huit secteurs d’activité. Cette extension permet de couvrir un plus grand nombre d’acteurs, en cohérence avec les constats de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) dans son rapport " Panorama de la cybermenace 2022 " (janvier 2023), montrant que 63% des victimes de rançongiciels en 2021 et 2022 étaient des petites ou moyennes entités (PME, TPE, ETI, collectivités territoriales). B. L’objet de la saisine La CNIL a été saisie pour avis, sur le fondement du e) du 2° du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, du projet de loi relatif à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier. Le titre II du projet de loi, dite " Résilience ", sur lequel les observations de la CNIL portent, vise la transposition nationale au niveau législatif de la directive NIS 2. En particulier, le projet de loi : désigne l’ANSSI comme autorité compétente chargée de la cybersécurité au niveau national, au sens de la directive NIS 2 ; prévoit le champ d’application des exigences de sécurité des systèmes d’information ; organise une coopération entre l’ANSSI et les différentes autorités nationales et européennes possédant une compétence en matière de cybersécurité, dont la CNIL ; encadre les pouvoirs de contrôle et de sanction de l’ANSSI pour la recherche des manquements aux exigences de la directive NIS 2. II. L’avis de la CNIL À titre liminaire : la CNIL accueille favorablement le changement de paradigme en termes de cybersécurité qu’introduit la directive NIS 2 et sa transposition en droit français. Elle estime que le principe de sécurisation des traitements de données à caractère personnel applicable à tous les organismes publics et privés converge directement avec le souci d’améliorer le niveau de cybersécurité des acteurs sur un périmètre significativement plus large que celui couvert par la directive NIS ; dans cette optique, la mise en œuvre de la directive NIS 2 appelle à étendre le champ de la coopération, déjà approfondie, entre l’ANSSI et la CNIL, afin d’offrir aux entités concernées un cadre cohérent entre la directive et les exigences de sécurité issues du RGPD, sur les plans de l’accompagnement et de l’action répressive ; concernant l’innovation dans le domaine de la cybersécurité, la CNIL souligne que de nombreuses technologies, dont la directive conduit à encourager le développement, œuvrent en faveur à la fois de la cybersécurité des entités et de l’amélioration de la protection des données à caractère personnel. Cependant, la portée de ces technologies doit s’analyser de manière plus large que sur la seule obligation de sécurité du RGPD et concilier cette préoccupation avec les autres principes de protection des données. La recherche, le développement et le déploiement de telles technologies doivent donc se faire dans une démarche conforme à la protection des données dès la conception ; concernant la lisibilité et l’intelligibilité des exigences en termes de cybersécurité, la CNIL observe qu’il existe un risque de confusion pour les opérateurs du fait de l’existence de multiples textes dont les champs d’application et la portée des obligations se superposent. À titre d’illustration, les dispositions de la directive NIS 2 devront coexister avec celles prévues par le Cyber Resilience Act (CRA), visant à assurer un niveau de cybersécurité minimal pour les composants numériques utilisés dans le marché intérieur de l’Union, ou avec le volet cyber de la loi de programmation militaire pour les années 2024 à 2030 concernant la sécurité des " opérateurs d’importance vitale " au niveau national. À cet égard, l’administration précise qu’une stratégie d’harmonisation et de simplification des normes de cybersécurité applicables sera mise en œuvre. La CNIL accueille favorablement une telle stratégie et estime qu’elle devrait inclure les exigences spécifiques découlant des principes de la protection des données. A. Sur le champ d’application Par comparaison avec la directive NIS, le nombre d’entités soumises aux obligations de cybersécurité est sensiblement augmenté par le champ d’application de la directive NIS 2. L’article 6 de la section 2 du projet de loi transpose les dispositions relatives au champ d’application de cette directive en introduisant dans le droit national la notion d’" entités importantes ", pour lesquelles un seuil d’exigences en matière de cybersécurité sera fixé, ainsi que la notion d’" entités essentielles ", dont le nombre sera a priori plus limité et qui devront répondre à un niveau d’exigences renforcé au regard de la criticité de leur activité. La CNIL accueille favorablement le renforcement général du niveau de sécurité des systèmes d’information des entités nouvellement soumises aux exigences de la directive NIS 2. Elle rappelle que celles-ci sont soumises aux obligations prévues par le RGPD, auxquelles la directive NIS 2 ne déroge pas (paragraphe 12 de l’article 2 de cette dernière). Elle relève que les marges de manœuvre nationales ouvertes par la directive NIS 2, en application de ses articles 2 et 3, relèvent des textes réglementaires. Sur le principe, la CNIL estime souhaitable que ces marges de manœuvre soient mises à profit pour que le champ des acteurs soumis aux exigences de cybersécurité introduites par la directive NIS 2, en particulier en ce qui concerne les " entités importantes ", soit le plus étendu possible. Le texte consoliderait ainsi les obligations qui pèsent déjà sur ces acteurs dès lors qu’ils traitent des données à caractère personnel. Les annexes première et deuxième de la directive NIS 2 listent les secteurs et les types d’entités entrant dans son champ d’application. La CNIL remarque que les définitions de certains types d’entités concernées par les exigences de la directive NIS 2 gagneraient à être clarifiées, et ce, afin d’assurer la conformité et la sécurité juridique de ces entités. Ce serait par exemple le cas du secteur de l’alimentation pour la " distribution en gros ". L’administration précise que des consultations de l’écosystème (fédérations professionnelles et prestataires de confiance, en particulier) ont d’ores et déjà été engagées afin d’assurer une telle clarification du champ d’application de la directive NIS 2. B. Sur les référentiels d’exigences techniques et opérationnelles Le II de l’article 9 du projet de loi prévoit que les entités listées au I du même article devront se conformer à un " référentiel d’exigences techniques et organisationnelles " visant à décliner les obligations juridiques formalisées par la directive NIS 2 en exigences pratiques. En application du I de l’article 10 du projet de loi, le référentiel est également mis en œuvre par les opérateurs, publics ou privés, responsables de systèmes d’information d’importance vitale, au sens du 2° du nouvel article L. 1332-1 du code de la défense. Les entités concernées pourront se prévaloir du respect de ce référentiel devant l’ANSSI. La CNIL constate, au titre du II de l’article 9 du projet de loi, qu’un décret en Conseil d’Etat détermine les conditions d’élaboration, de modification et de publication d’un tel référentiel. Compte tenu de la superposition des principes de la protection des données découlant du RGPD et des normes de cybersécurité nouvellement introduites par la directive NIS 2, il apparaît opportun de faciliter leur mise en œuvre conjointe par les entités concernées. La CNIL estime nécessaire d’articuler les exigences de cybersécurité découlant de la directive NIS 2 avec celles relatives à la protection des données. Par exemple, si le référentiel ne prévoyait pas d’exigence de journalisation, dans certains cas, pour les entités régulées, il resterait cependant possible qu’une telle journalisation soit nécessaire au titre de la recommandation de la CNIL relative aux mesures de journalisation dès lors que des données à caractère personnel sont traitées. Le principe d’une telle articulation, qui interviendra en pratique dans l’élaboration du référentiel pour laquelle la CNIL se tient à la disposition de l’ANSSI, devrait être prévu par l’une des dispositions du décret en Conseil d’Etat susmentionné. De plus, elle observe que les exigences de la directive NIS 2 sont susceptibles de s’appliquer à des acteurs dont l’activité est déployée dans plusieurs pays de l’Union européenne. En particulier, certains fournisseurs de services numériques ayant une activité en France ne seront pas couverts par les exigences issues de la transposition nationale de la directive, notamment dans le cas où ils sont établis dans un autre Etat membre. Dans ce cadre, l’harmonisation des mesures techniques, opérationnelles et organisationnelles entre les Etats-membres de l’Union européenne constitue un point d’attention important. C. Sur la coopération entre l’ANSSI et d’autres entités, dont la CNIL L’article 17 du projet de loi prévoit des échanges d’informations entre l’ANSSI et un certain nombre d’autorités, dont la CNIL, aux fins de l’accomplissement de leurs missions respectives, à l’exception des informations dont la communication porterait atteinte à la sécurité publique, à la défense et la sécurité nationale ou à la conduite des relations internationales. Le secret de la procédure et de l’instruction pénales, au titre de l’article 11 du code de procédure pénale, de même que les autres secrets protégés par la loi, ne font pas obstacles à de telles communications. La CNIL est favorable à tout échange d’informations pertinentes en matière de cybersécurité, qu’il s’agisse d’éléments techniques ou de procédures utiles à la réalisation des missions respectives de chaque entité, tels que la notification d’incidents, la recherche et le constat de manquements ainsi que la suite qui leur est donnée. Elle précise que l’échange de documents serait également opportun. Un tel cadre d’échange sera bénéfique à l’ensemble des parties prenantes aux problématiques de cybersécurité et permettra d’amplifier la collaboration entre la CNIL et l’ANSSI en la matière. Le I de l’article 11 du projet de loi prévoit une obligation de notification de l’ANSSI par les entités concernées lorsque celles-ci subissent un " incident ayant un impact important sur la fourniture de leurs services. ". Le II de l’article 14 prévoit que l’ANSSI peut, après avoir consulté l’entité concernée, " exiger de l’entité qu’elle informe le public de l’incident ou le faire elle-même. ". En application des articles 58, 83 et 102 de la loi n° 78-17 du 6 janvier 1978 modifiée et de l’article 33 du RGPD, un responsable de traitement peut être dans l’obligation de notifier une violation de données à caractère personnel à la CNIL, voire aux personnes concernées en cas de risque élevé pour ces dernières. Ainsi, une violation de données à caractère personnel pourrait également être de nature à caractériser un " incident ayant un impact important sur la fourniture de[s] services [d’une entité]", au sens de la directive NIS 2 et du projet de loi. À ce titre, la CNIL observe que le premier alinéa de l’article 35 de la directive NIS 2, qui entraînerait que l’ANSSI " informe sans retard injustifié " la CNIL des incidents pouvant donner lieu à des violations de données à caractère personnel, ne semble pas trouver de transposition explicite dans le projet de loi. Or, elle considère que la transmission directe de telles informations présente un intérêt pour la CNIL et pour les personnes concernées. Elle appelle, en outre, à des échanges réguliers concernant les violations de données notifiées à la CNIL, d’une part, et les incidents notifiés à l’ANSSI, d’autre part. Elle considère que de telles précisions devraient apparaître explicitement dans le projet de loi et prend acte de l’engagement de l’administration de modifier le texte en ce sens. D. Sur les pouvoirs de contrôle et de sanction de l’ANSSI Les sections 1, 2 et 3 du chapitre 3 du titre II du projet de loi visent à encadrer les pouvoirs de contrôle et de sanction de l’ANSSI. Dans le cadre des contrôles administratifs pouvant être mis en œuvre par l’ANSSI en application des articles 19 et suivants du projet de loi, celle-ci peut être amenée à prendre des mesures en vertu de l’article 25 du projet de loi, telles que des mises en garde ou des injonctions. La CNIL estime nécessaire que ces nouveaux pouvoirs de l’ANSSI et ceux qu’elle peut mettre en œuvre en vertu de la section 3 du chapitre II du titre Ier de la loi n° 78-17 du 6 janvier 1978 modifiée fassent l’objet d’une coordination étroite entre les deux autorités, afin que des mêmes faits ne fassent pas l’objet d’un cumul de mesures, tel le prononcé de deux injonctions ou mises en demeure, redondantes voire distinctes. L’article 27 du projet de loi précise le niveau des sanctions encourues par les entités manquant à leurs obligations au titre des dispositions de la directive NIS 2 et de sa transposition en droit national. Ces sanctions sont différenciées en fonction de la nature de l’entité concernée, que celle-ci soit une entité essentielle, importante ou encore un office ou un bureau d’enregistrement de noms de domaine. Si des manquements aux obligations prévues aux chapitres II et III du projet de loi donnent lieu à une amende administrative de la CNIL au titre d’une violation du RGPD, la commission des sanctions de l’ANSSI ne pourra prononcer ensuite de sanction sous forme d’amende administrative concernant ces mêmes manquements. La CNIL observe que, pour ce qui est des entités importantes pour lesquelles un ou plusieurs manquements aux chapitres II et III du projet de loi auraient été constatés, la sanction administrative prévue est une amende dont le montant " proportionné à la gravité du manquement, ne peut excéder 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial total ". Le projet de loi s’aligne sur le plafond possible le plus bas prévu par la directive NIS 2. De même, lorsqu’un manquement aux obligations prévues à la section 3 du chapitre II du projet de loi est constaté, une sanction administrative de niveau équivalent est prévue à l’encontre des offices d’enregistrement et des bureaux d’enregistrement qui ne sont pas considérés comme des " entités essentielles ". L’administration précise que le niveau des sanctions prévu par le projet de loi vise, d’une part, à maintenir l’approche différenciée entre les " entités essentielles " et les " entités importantes " prévue par la directive NIS 2 et, d’autre part, à assurer son acceptabilité par les entités concernées. La CNIL : d’une part, constate que les dispositions nationales ne sont pas harmonisées avec les plafonds prévus à la section 3 du chapitre II de la loi du 6 janvier 1978 modifiée. En effet, s’agissant de manquements à la sécurité des données à caractère personnel, les plafonds prévus par la loi Informatique et Libertés sont fixés à 2 % du chiffre d’affaires mondial ou 10 millions d’euros en cas de manquement à l’article 32 du RGPD. Elle s’interroge sur le risque de disparité des niveaux de sanctions encourues en fonction de l’autorité qui conduirait la procédure pour des faits similaires ; d’autre part, observe que des manquements de sécurité identiques pourraient être poursuivis simultanément par l’ANSSI et la CNIL lorsqu’ils impliquent des données à caractère personnel. Au regard d’éventuels risques de méconnaissance du principe non bis in idem ainsi que, plus généralement, pour assurer une bonne coordination des actions de ces deux autorités en matière de répression des manquements aux obligations de sécurité informatique, la CNIL préconise la mise en place d’un mécanisme d’orientation préalable des poursuites vers la commission des sanctions de l’ANSSI ou vers la CNIL pour les dossiers dans lesquels de tels manquements auraient été constatés par l’une ou l’autre de ces administrations. Cette procédure d’orientation préalable, de nature à écarter tout cumul de sanctions, nécessite une coordination étroite, en amont de toute poursuite, par laquelle l’ANSSI interrogerait systématiquement la CNIL sur sa compétence lorsqu’un dossier le nécessite et, le cas échéant, se dessaisirait à son profit. Il reviendrait également à la CNIL de signaler à l’ANSSI les procédures engagées dont les manquements à l’obligation de sécurité fixée par l’article 32 du RGPD sont susceptibles de recouvrir également des manquements à la directive NIS 2. Le 1° du V de l’article 27 du projet de loi prévoit que la " commission des sanctions peut abroger un agrément, une qualification ou un certificat en matière de cybersécurité ". La CNIL remarque que de telles abrogations devraient lui être notifiées et prend acte de l’engagement de l’administration en ce sens, les manquements ayant conduit à ces sanctions pouvant également justifier l’abrogation ou l’injonction de retrait d’une ou plusieurs certifications en matière de protection des données, en application du 4° du III de l’article 20 de la loi du 6 janvier 1978 modifiée. Elle rappelle qu’au titre de ce même article de la loi du 6 janvier 1978 modifiée, sa formation restreinte est la seule à pouvoir abroger une certification que la CNIL a délivrée, ou enjoindre à un tiers certificateur de retirer une certification qu’il a pu délivrer en matière de protection des données – ce tiers certificateur pouvant aussi procéder de sa propre initiative à ce retrait lorsque les non conformités persistent. La CNIL s’engage à notifier l’administration lorsque de telles décisions sont prises par sa formation restreinte quand elles sont susceptibles de justifier une abrogation par la commission des sanctions de l’ANSSI sur un agrément, une qualification ou un certificat en matière de cybersécurité pour lequel ou laquelle cette dernière est compétente. E. Sur la constitution de bases de données de noms de domaine L’article 13 du projet de loi prévoit que les offices et les bureaux d’enregistrement sont responsables de traitement des données nécessaires à l’enregistrement des noms de domaine. Le dernier alinéa de cet article prévoit également qu’un décret en Conseil d’Etat fixe la liste des données relatives aux noms de domaine devant être collectées. La CNIL recommande que ce traitement de données, encadré par un décret en Conseil d’Etat, lui soit soumis pour avis et prend acte de l’engagement de l’administration de modifier le texte en ce sens. L’article 14 prévoit que les offices et les bureaux d’enregistrement conservent les données relatives à chaque nom de domaine dans leur base de données tant que le nom de domaine est utilisé. La CNIL observe que cette disposition est susceptible d’entraîner un renouvellement sans limitation des durées de conservation des noms de domaine. Elle ne considère cette disposition proportionnée que sous la stricte condition de l’exactitude des données à caractère personnel conservées, en application du 4° de l’article 4 de la loi n° 78-17 du 6 janvier 1978 modifiée. Les autres dispositions du projet de loi n’appellent pas d’observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n°2023-103 du 5 octobre 2023 portant avis sur un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « Table de correspondance des noms et prénoms »

Date de l’avis : 5 octobre 2023 N° de la délibération :2023-103 N° de demande d’avis : 23012925 Texte concerné : projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé " table de correspondance des noms et prénoms " Thématiques : ministère de l’intérieur et des outre-mer, RNIPP, changement de nom, changement de prénom Fondement de la saisine : e) du 2° du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée L’essentiel : La CNIL estime que la création d’une base de données comprenant les changements de nom et de prénoms des personnes physiques, est nécessaire aux missions d’intérêt public poursuivies par les services du ministère de l’intérieur, en particulier pour la mise à jour de ses traitements. Elle invite le ministère à prioriser les mises à jour informatiques de ses traitements. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Saisie par le ministre de l’intérieur et des outre-mer d’une demande d’avis sur un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé " table de correspondance des noms et prénoms " ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et notamment son article 8 ; Vu la délibération n° 2023 du 5 octobre 2023 portant avis sur un projet de décret modifiant le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement ; ADOPTE LA DÉLIBERATION SUIVANTE : I. La saisine A. Le contexte La mise en œuvre de la loi n°2022-301 du 2 mars 2022 a conduit le ministère de l’intérieur à prévoir une modification du décret n° 2019-341 du 19 avril 2019 afin de permettre la consultation du répertoire national d’identification des personnes physiques (RNIPP) afin de consulter l’identité des personnes ayant changé de nom ou de prénom et de mettre à jour les traitements de données à caractère personnel dont les services compétents du ministère et les établissements publics qui lui sont rattachés ont la charge (pour l’instant, n’est concerné que le CNAPS). Le ministère prévoit la mise en place d’une plateforme numérique interne où l’ensemble des changements de nom ou de prénom seraient transmis par l’Institut national de la statistique et des études économiques (INSEE), responsable du RNIPP. Cette extraction du RNIPP permettrait de constituer la table de correspondance des noms et prénoms des personnes ayant changé l’un ou l’autre des éléments de son état-civil. Cette extraction ne contiendrait pas le numéro d’immatriculation au RNIPP (NIR). Le ministère a saisi la CNIL, au titre de sa mission de conseil, d’un projet d’arrêté le 22 puis le 29 septembre 2023. B. L’objet de la saisine Le ministère souhaite créer un traitement de données à caractère personnel mis en œuvre par la direction des libertés publiques et des affaires juridiques (DLPAJ) dénommé " table de correspondance des noms et prénoms " qui aurait pour finalités : la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61, 61-3-1 du code civil : certains services pourront consulter ce traitement afin de vérifier qu’une personne n’a pas changé de nom dans le cadre de la consultation de traitements pour lesquels ils ne sont pas accédants ; la mise à jour de cette identité dans les traitements de données à caractère personnel mis en œuvre par le ministère ou les établissements publics qui lui sont rattachés. Cette mise à jour serait, dans un premier temps, manuelle, puis, automatisée. II. L’avis de la CNIL A. Sur le régime juridique applicable et ses finalités Le fichier poursuit une double finalité : d’une part, il servira à la mise à jour des fichiers utilisés par les services du ministère de l’intérieur et le CNAPS, qui ne sont plus informés des changements de nom ainsi que des changements de prénoms ni par une publication, ni par un autre canal, et ne peuvent pas, contrairement à d’autres responsables de traitement, consulter le RNIPP à partir du NIR ; d’autre part, il pourra être consulté par une série d’accédants listés par l’arrêté qui pourront ainsi vérifier si une personne a changé de nom. Le projet de traitement relève du RGPD en ce qu’il vise à permettre la mise à jour des fichiers pouvant relever, eux, d’autres régimes juridiques. La base légale de ce traitement pourrait relever de l’intérêt public (art. 6 1 e du RGPD). S’agissant de la seconde finalité de consultation d’un changement d’identité, le ministère a précisé qu’il s’agissait de permettre à des services d’enquête d’avoir connaissance d’un changement de nom ou de prénom, pour leur permettre de réaliser leurs missions. La CNIL estime que cette seconde finalité relève également du RGPD, dès lors que le traitement vise à fiabiliser la connaissance de l’état civil d’une personne. B. Sur les catégories de données collectées Les données du traitement " table de correspondance des noms et prénoms " reprennent la majorité des données contenues dans le RNIPP, à l’exception du NIR. Le projet d’arrêté prévoit que l’extraction du RNIPP contiendra " le cas échéant " la filiation afin de pouvoir traiter certains cas d’homonymie en l’absence du NIR. Tout en reconnaissant la nécessité de pouvoir traiter les cas d’homonymie, la CNIL invite le ministère à étudier la faisabilité d’un dispositif qui n’extrairait cette donnée que lorsqu’il existe dans le RNIPP un homonyme quasi parfait. Cette donnée, dont le traitement ne doit servir qu’à fiabiliser la mise à jour des données d’identité, ne pourra être reportée, en cas de changement de nom ou de prénom, dans les fichiers du ministère de l’intérieur et du CNAPS. C. Sur la durée de conservation Le projet d’arrêté prévoit que les données à caractère personnel seront conservées jusqu’à six ans à compter de leur enregistrement. La mise à jour des fichiers ne nécessite pas, à elle-seule, la conservation des données pendant six ans. A ce stade, cependant, le ministère a indiqué ne pas avoir de visibilité sur l’échéance permettant à chaque gestionnaire de fichiers relevant de sa responsabilité de pouvoir automatiser la mise à jour de ses traitements. La mise à jour sera donc manuelle et pourra s’échelonner sur plusieurs années. Par ailleurs, le projet d’arrêté prévoit que les différents services du ministère et le CNAPS pourront consulter la base de données pour vérifier qu’une personne n’a pas changé de nom sans que cela ait été porté à leur connaissance ou pris en compte dans leurs fichiers ou ceux dont ils sont destinataires. Cette finalité justifie une durée de conservation plus longue que celle normalement admissible pour les simples opérations de mise à jour. Le ministère a fixé cette durée à six ans, ce dont la CNIL prend acte. D. Sur les accédants L’article 4 du projet d’arrêté liste huit catégories d’accédants, au sein desquelles devront être désignés et spécialement habilités des agents ou des personnels : police nationale, gendarmerie nationale, service national des enquêtes administratives de sécurité, commandement spécialisé pour la sécurité nucléaire, CNAPS, etc. La CNIL estime que les accédants qui seront habilités doivent être limités à un nombre restreint eu égard au grand nombre de fichiers concernés par la mise à jour via le traitement " table de correspondance des noms et prénoms ". Ces accès devraient être authentifiés et faire l’objet d’une journalisation. Dans la perspective d’une automatisation des mises à jour opérées dans les différents fichiers du ministère à partir de la table de correspondance, la CNIL estime qu’une attention supplémentaire devrait être portée à éviter des accès réciproques, susceptibles d’engendrer une source supplémentaire de risques pour les fichiers en question. La mise en œuvre d’interfaces de programmation applicatives (API) sécurisées pourrait, entre autres, être considérée afin d’éviter de tels risques. E. Sur les droits des personnes concernées Le projet d’arrêté prévoit d’écarter le droit d’opposition en application de l’article 23 du RGPD afin de garantie la sécurité nationale, la sécurité publique ainsi que la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. La CNIL estime nécessaire et proportionnée l’exclusion de ce droit d’opposition et appelle le ministère à compléter le projet d’arrêté avec les mentions requises par l’article 23. F. Sur la nécessité de réaliser une analyse d’impact relative à la protection des données Ce traitement devrait faire l’objet d’une AIPD, car réunissant deux critères au sens des lignes directrices du 4 octobre 2017 du groupe de travail de l’article 29 : traitement à large échelle (au regard de la proportion que représentent les personnes concernées sur l’ensemble de la catégorie des personnes ayant opéré un changement de nom ou de prénom, large échelle géographique) portant sur des personnes vulnérables (mineurs, réfugiés dont les actes d’état civil sont réalisés auprès de l’Office français de protection des réfugiés et des apatrides). Au-delà de la réunion de ces critères, la CNIL considère qu’une AIPD est nécessaire eu égard aux risques élevés pour les droits et libertés pour les personnes concernées en cas de violation de ces données, notamment en ce que le traitement établit une liste exhaustive des personnes ayant changé de prénom en raison de leur genre. La Présidente Marie-Laure DENIS


Décision DR-2024-089 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la survie des patients opérés d’une métastase cérébrale ainsi que les facteurs de risques associés, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2009 à 2023. (Demande d’autorisation n° 924099)


Décision DR-2024-090 autorisant la société GEDEON RICHTER PLC à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la sécurité d’emploi à long terme de l’Esmya. (Demande d’autorisation n° 916105v3)


Décision DR-2024-091 autorisant la société GILEAD SCIENCES à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le dépistage, l’épidémiologie, la prise en charge et l’évolution des patients atteints de l’hépatite delta en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2025, intitulée « BARODELTA ». (Demande d’autorisation n° 922083v2)


Décision DR-2024-092 autorisant la société PFIZER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge thérapeutique du cancer du sein métastatique RH+/HER2- après progression sous première ligne de traitement par inhibiteur de CDK4/6 + hormonothérapie, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « ALBANE ». (Demande d’autorisation n° 924119)


Décision DR-2024-093 autorisant l'INSTITUT DE RECHERCHE ET DOCUMENTATION EN ECONOMIE DE LA SANTE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l'influence des politiques de protection de l'enfance sur les variations de l'état de santé et de la consommation de soins des enfants, intitulée « ÉLAN ». (Demande d’autorisation n° 924092)


Décision DR-2024-094 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la survie des patients, de la récidive tumorale et des facteurs de risque associés, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2009 à 2023. (Demande d’autorisation n° 923193v1)


Décision DR-2024-095 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact clinique et économique des centres experts sur la prise en charge des patients souffrant de schizophrénie et de troubles bipolaires, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « FACE IMPACT ». (Demande d’autorisation n° 924090)


Décision DR-2024-096 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude visant à générer des jeux de données minimales pour les maladies rares grâce à l’intelligence artificielle, intitulée « CDE.ai ». (Demande d’autorisation n° 924002)


Décision DR-2024-098 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE ROUEN à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’efficacité du support nutritionnel entéral intermittent sur la défaillance d’organes de patients de réanimation sous ventilation assistée, intitulée « ENNUT-CI ». (Demande d’autorisation n° 924073)


Décision DR-2024-099 autorisant le MINISTERE DE LA SANTE ET DE LA POPULATION DU CONGO (PROGRAMME NATIONAL DE LUTTE CONTRE L'ONCHOCERCOSE) et l’INSTITUT DE RECHERCHE POUR LE DÉVELOPPEMENT à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'efficacité et de l’innocuité de l’administration de lévamisole pendant trois jours et cinq jours sur la densité microfilarienne de Loa loa, intitulée « STOP-FiLAR ». (Demande d’autorisation n° 923299v1)


Décision DR-2024-100 autorisant la société AD SCIENTIAM et la société ALEXION à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la validation de la solution numérique ME&MG pour l’autosurveillance de la myasthenia gravis, intitulée « DOMYA ». (Demande d’autorisation n° 923243)


Décision DR-2024-101 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la pharmacocinétique des bêtalactamines sous circulation extracorporelle artérioveineuse, intitulée « KAMELOT ». (Demande d’autorisation n°924083)


Décision DR-2024-102 autorisant l’INSTITUT REGIONAL DU CANCER DE MONTPELLIER à mettre en oeuvre un traitement de données ayant pour finalité une évaluation médico-économique d’un programme d’activité physique adaptée pour des femmes traitées pour un cancer du sein, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2009 à 2022, intitulée « APAD-ECO ». (Demande d’autorisation n° 924010)


Décision DR-2024-103 autorisant le CENTRE LEON BERARD à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’analyse des variations spatiales d’incidence des sarcomes en France et leur association avec des facteurs environnementaux à une échelle géographique fine, intitulée « GeoSarcFrance ». (Demande d’autorisation n°923195v1)


Décision DR-2024-105 autorisant le CENTRE HOSPITALIER INTERCOMMUNAL DE CRETEIL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité d’un repérage précoce en service de protection maternelle et infantile et d’un adressage coordonné sur la prise en charge avant un an des nourrissons à risque de troubles du spectre autistique et neurodéveloppementaux, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2004 à 2031, intitulée « PRECO TSA ». (Demande d’autorisation n° 923189v1).


Décision DR-2024-106 autorisant le CENTRE HOSPITALIER INTERCOMMUNAL TOULON - LA SEYNE-SUR-MER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’effet neuroprotecteur du post-conditionnement ischémique précoce après arrêt cardiaque extrahospitalier, intitulée « RIPOST-CA ». (Demande d’autorisation n° 924123)


Décision DR-2024-107 autorisant l’OBSERVATOIRE REGIONAL DE LA SANTE NOUVELLE-AQUITAINE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la nature et le niveau d’activités physiques et sédentaires des lycéens, des apprentis et des jeunes suivis en mission locale en Nouvelle-Aquitaine. (Demande d’autorisation n° 924062)


Décision DR-2024-108 autorisant le CENTRE HOSPITALIER DE CAYENNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les variables environnementales influençant l’épidémiologie de la fièvre Q aiguë en Guyane. (Demande d’autorisation n° 924074)


Décision DR-2024-109 autorisant la société MUMILK à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’établissement de lignées cellulaires mammaires stables, à partir de don de lait, ayant la capacité de produire in vitro les constituants majeurs du lait maternel humain. (Demande d’autorisation n° 924100)


Décision DR-2024-110 autorisant l’INSTITUT NATIONAL DU CANCER et L’ASSOCIATION DE MOYENS - ASSURANCE DE PERSONNES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’analyse des dépenses de prise en charge en cancérologie, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2019 à 2022, contenues dans la Plateforme des données en cancérologie, intitulée « CARACTER ». (Demande d’autorisation n° 923156v2)


Décision DR-2024-111 autorisant le CENTRE AUSTRALIEN ET NEO-ZELANDAIS DE RECHERCHE EN SOINS INTENSIFS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant la surveillance de la concentration en oxygène du tissu cérébral chez les patients traumatisés crâniens, intitulée « BONANZA ». (Demande d’autorisation n° 924082)


Décision DR-2024-112 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX et l’UNIVERSITE DE BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le bénéfice médical d’un suivi digital par apTeleCare pour la prévention secondaire de patients victimes d’un accident vasculaire cérébral ou d’un accident ischémique transitoire, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2024 à 2027, intitulée « PSDM ». (Demande d’autorisation n° 924103)


Décision DR-2024-113 autorisant le GROUPE HOSPITALIER DE LA REGION DE MULHOUSE ET SUD ALSACE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une estimation des principaux indicateurs épidémiologiques des cancers à l’échelle du territoire de l’Alsace et la distribution spatiale des cancers à l’échelle de ce territoire, intitulée « Cancers en Alsace ». (Demande d’autorisation n° 924029)


Décision DR-2024-114 autorisant la société ELECTRICITE DE FRANCE (EDF) à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la mortalité et la morbidité après la mise en inactivité des agents du réseau de transport d’électricité exposés professionnellement au champ magnétique 50 Hz, nécessitant un accès aux données du SNIIRAM, PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 1995 à 2025. (Demande d’autorisation n° 914337v1)


Décision DR-2024-115 autorisant l’INSTITUT CURIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la détection des facteurs de risque de la maladie thrombo-embolique en oncologie, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2021, intitulée « DASTO ». (Demande d’autorisation n° 923125v1)


Décision DR-2024-117 autorisant la société PFIZER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge thérapeutique du cancer du sein métastatique RH+/HER2- après progression sous première ligne de traitement par inhibiteur de CDK4/6 + hormonothérapie, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « ALBANE ». (Demande d’autorisation n° 924131)


Décision DR-2024-118 autorisant INSTITUT NATIONAL D'ETUDES DEMOGRAPHIQUES à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les inégalités sociales dans le risque et les conséquences des fausses couches, intitulée « SOCMISC ». (Demande d’autorisation n° 923177v1)


Décision DR-2024-121 autorisant la société KRYSTAL BIOTECH SWITZERLAND GMBH à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’épidermolyse bulleuse dystrophique, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2007 à 2021. (Demande d’autorisation n° 924017)


Décision DR-2024-119 autorisant la société ROCHE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’épidémiologie, la prise en charge et le fardeau de la dystrophie musculaire de Duchenne, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « EpiDuch ». (Demande d’autorisation n° 924041)


Décision DR-2024-120 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact d’un programme de télé-réhabilitation associé à la pression positive continue sur les marqueurs de sévérité du syndrome d’apnées hypopnées obstructives du sommeil, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2024, intitulée « m-Rehab OSA ». (Demande d’autorisation n° 924037)


Décision DR-2024-122 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant l’évaluation de la sécurité et de l'efficacité du traitement antiviral par le tecovirimat chez les patients atteints de la variole du singe, intitulée « UNITY ». (Demande d’autorisation n° 924136)


Décision DR-2024-123 autorisant le CENTRE HOSPITALIER DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact de la longévité des défibrillateurs cardiaques implantables, nécessitant un accès aux données du SNIIRAM, et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023 (Demande d’autorisation n° 921169v1)


Décision DR-2024-124 autorisant la société UCB PHARMA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’épidémiologie, le parcours des patients et le fardeau de l’hidradénite suppurée en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CepiDC, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « HESTIA ». (Demande d’autorisation n° 924138)


Décision DR-2024-125 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de l'état de santé des travailleurs et travailleuses en France selon l'activité professionnelle, intitulée « SEESTA ». (Demande d’autorisation n° 924113)


Décision DR-2024-126 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation de biomarqueurs issus de l’imagerie par résonance magnétique multimodale pour prédire la récupération de patients cérébrolésés admis en réanimation, intitulée « COMABASE ». (Demande d’autorisation n° 924137)


Décision DR-2024-127 autorisant le CENTRE NATIONAL DE LA RECHERCHE SCIENTIFIQUE (UMR5314 - TSE-RECHERCHE) à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l'élevage coopératif et les enfants en tant qu'auxiliaires au sein de la communauté Maasaï.  (Demande d’autorisation n° 924143)


Décision DR-2024-128 autorisant la société NOVO NORDISK à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité et la sécurité de la décitabine tétrahydro-uridine orale chez des patients atteints de drépanocytose. (Demande d’autorisation n° 924068)


Décision DR-2024-129 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la mesure de la validité concourante du ratio d’utilisation des membres supérieurs avec des accéléromètres en situation écologique, après un accident vasculaire cérébral, intitulée « VALIDFUR ». (Demande d’autorisation n° 924128)


Décision DR-2024-067 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NICE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du risque d’échec d’une réparation chirurgicale de la coiffe des rotateurs, intitulée « ROTACUFF ». (Demande d’autorisation n° 924016)


Décision DR-2024-064 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les techniques de reconstruction diaphysaire des membres inférieurs dans les tumeurs malignes de l'enfant, intitulée « RDTM ». (Demande d’autorisation n° 924081)


Décision DR-2024-065 autorisant l’INSTITUT DE RECHERCHE ET DE DOCUMENTATION EN ECONOMIE DE LA SANTE et le MINISTERE DES SOLIDARITES ET DE LA SANTE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une enquête de prestation de compensation du handicap : exécution dans la durée et reste à charge, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) pour les années 2012 à 2022, intitulée « PHEDRE ». (Demande d’autorisation n° 919128v2)


Décision DR-2024-066 autorisant la BRIGADE DES SAPEURS-POMPIERS DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la transfusion de plasma lyophilisé en situation d’urgence pour des victimes pédiatriques, intitulée « SAFETY-PLASMAPEDIA». (Demande d’autorisation n° 924063)


Décision DR-2024-068 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BESANÇON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la mortalité dans la spondyloarthrite axiale, nécessitant un accès aux données du SNIIRAM, PMSI, CépiDc et l’échantillon des données du SNDS (ESND), composantes du Système national des données de santé (SNDS), pour les années 2011 à 2020, intitulée « EMORSA ». (Demande d’autorisation n° 923276)


Décision DR-2024-069 autorisant la société CELLTRION HEALTHCARE FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la description des patients traités par remsima en vie réelle, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2024, intitulée « RIPOSTE ». (Demande d’autorisation n°923095v1)


Décision DR-2024-073 autorisant l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’intérêt d’une prise en charge psychologique courte précoce des femmes ayant fait une fausse couche, intitulée « MisTher ». (Demande d’autorisation n° 923028v1)


Décision DR-2024-070 autorisant la société ASTRAZENECA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les fardeaux épidémiologique et économique des infections respiratoires chez les patients immunodéprimés en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2028, intitulée « BIRD-IC ». (Demande d’autorisation n° 924101)


Décision DR-2024-071 autorisant le GROUPEMENT DE COOPERATION SANITAIRE DES HOPITAUX UNIVERSITAIRES DU GRAND OUEST à mettre en oeuvre la modification d’un traitement de données ayant pour finalité l’analyse et la prédiction des événements indésirables liés aux interactions ou aux ruptures médicamenteuses ambulatoires et hospitalières et nécessitant un accès aux données du SNIIRAM et du PMSI pour les années 2014 à 2019 ainsi qu’à celles du CépiDC pour les années 2013 à 2023, composantes du Système national des données de santé, intitulé « HUGO-SHARE » (Demande d’autorisation n° 920299v1)


Décision DR-2024-072 autorisant la société RE-MED FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le risque d’événements cardiovasculaires chez les patients atteints de maladies auto-immunes, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023. (Demande d’autorisation n° 924054)


Décision DR-2024-074 autorisant la société SANOFI-AVENTIS France à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la caractérisation du fardeau épidémiologique, clinique et économique du diabète de type 1 chez les populations adultes et pédiatriques en France, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « HEROES-1 ». (Demande d’autorisation n° 924094)


Décision DR-2024-075 autorisant le CENTRE D'INITIATIVES EUROPEENNES DE RECHERCHE EN MEDECINE CARDIOVASCULAIRE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’endoprothèse thoracique Valiant Captivia modifiée par le chirurgien pour les lésions de la crosse aortique et de l’aorte thoracique descendante, intitulée « EVERGREEN ». (Demande d’autorisation n° 923292)


Décision DR-2024-076 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation d’une intervention d’éducation au lavage des mains avec une solution hydroalcoolique monodies sur les abcès auprès des personnes qui s’injectent des drogues, intitulée « HaWa ». (Demande d’autorisation n° 924071)


Décision DR-2024-077 autorisant l’association LYSARC et l’INTERGROUPE FRANCOPHONE DU MYÉLOME à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact chez les receveurs de chimeric antigen receptor (CAR) T-cell d'une défaillance d'organe sur le pronostic à long terme, nécessitant un accès aux données du PMSI, composante du Système national des données de santé (SNDS), pour les années 2018 à 2024, intitulée « CAREFUL ». (Demande d’autorisation n° 924036)


Décision DR-2024-078 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'effet antalgique de la stimulation transcrânienne à courant continu chez les patients sédatés en réanimation, intitulée « RéaSTIM ». (Demande d’autorisation n°924085)


Décision DR-2024-082 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique automatisée des dispositifs médicaux implantables en orthopédie, nécessitant un accès aux données du SNIIRAM, PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « STUDIO 2 ». (Demande d’autorisation n° 923262)


Décision DR-2024-079 autorisant la FONDATION HOPITAL SAINT JOSEPH à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la performance du dispositif NGPOD dans la vérification du bon positionnement dans l’estomac de la sonde gastrique en réanimation. (Demande d’autorisation n°924075)


Décision DR-2024-080 autorisant l’UNIVERSITE PARIS EST CRETEIL VAL DE MARNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l'efficacité et la tolérance des thérapies ciblées des principaux rhumatismes inflammatoires chroniques, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2026. (Demande d’autorisation n° 924088)


Décision DR-2024-081 autorisant l’INSTITUT PASTEUR à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’analyse des données recueillies chez des patients appareillés dans des laboratoires de correction auditive, intitulée « BIG DATA AP ». (Demande d’autorisation n° 923304)


Décision DR-2024-083 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le diagnostic prénatal des tumeurs axiales congénitales et prise en charge, intitulée « CONTRAST ». (Demande d’autorisation n° 924064)


Décision DR-2024-084 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la reprogrammation métabolique des cellules rénales dans l’insuffisance rénale aiguë suivant un traumatisme sévère, intitulée « METAKIT ». (Demande d’autorisation n° 923307)


Décision DR-2024-085 autorisant le CENTRE HOSPITALIER DE MAUBEUGE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la mise en oeuvre d’une étude portant sur un outil prédictif du flux d’entrées et d’hospitalisations via les urgences, intitulée « SAUsmart ». (Demande d’autorisation n° 923248)


Décision DR-2024-086 autorisant LE CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES, LES CAISSES PRIMAIRES D’ASSURANCE MALADIE DE LOIRE ATLANTIQUE, DE VENDEE, DE MAYENNE, DU MAINE ET LOIRE, DE LA SARTHE ET L’ASSOCIATION ESP-CLAP à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la comparaison du taux global d’hospitalisations potentiellement évitables des personnes âgées, selon que leur médecin généraliste exerce ou non au sein d’une équipe de soins primaires, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2019 à 2022, intitulée « SCOPE ». (Demande d’autorisation n° 923291)


Décision DR-2024-087 autorisant la société BIOSENSORS INTERNATIONAL à mettre en oeuvre un traitement de données ayant pour finalité une étude après commercialisation du système de stent coronaire BioFreedom Ultra en cobalt-chrome enrobé de Biolimus A9. (Demande d’autorisation n° 924043)


Décision DR-2024-088 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANCY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge de la dyspnée aiguë aux urgences en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2029. (Demande d’autorisation n° 923287)


Décision DR-2024-131 autorisant la société LABORATOIRE GLAXOSMITHKLINE (GSK) à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le bon usage de TRELEGY ELLIPTA dans la broncho-pneumopathie chronique obstructive modérée à sévère, nécessitant l’accès aux données du SNIIRAM et du PMSI, composantes du Système Nationale des Données de Santé, pour les années 2009 à 2020, intitulée « REFRAIN ». (Demande d’autorisation n° 920449v1)


Décision DR-2024-130 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’efficacité de la prolongation du dispositif passerelle permettant la prescription de l’activité physique adaptée chez les patients vivant avec un diabète de type 2 en Nouvelle-Aquitaine, intitulée « PAPA-NAQUI ». (Demande d’autorisation n° 924139)


Décision DR-2024-132 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les séquelles et l’impact sur la qualité de vie d’une maladie pulmonaire post-tuberculose en Afrique sub-Saharienne, intitulée « POST-TB SIQ ». (Demande d’autorisation n° 924076)


Décision DR-2024-133 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le coût-utilité de deux stratégies de reconstruction périnéale après résection abdominopérinéale pour adénocarcinome ano-rectal, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé pour les années 2020 à 2026, intitulée « GRECCAR 9 ». (Demande d’autorisation n° 920301v1)


Décision DR-2024-134 autorisant l’UNIVERSITE DE BORDEAUX à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le programme d’évaluation de la vaccination contre la COVID-19 et le taux de base dans la population française de pathologies pouvant être une complication de la vaccination, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2020, intitulée « EVACOV-1 » (Demande d’autorisation n° 920465v1)


Décision DR-2024-135 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'utilisation systématique de desmopressine pour la prévention de la surcorrection des hyponatrémies sévères, intitulée « DASSOH ». (Demande d’autorisation n° 924152)


Décision DR-2024-136 autorisant le GROUPE HOSPITALIER DU SUD ILE DE FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la comparaison d’une anticoagulation régionale au citrate et d’une anticoagulation régionale par décalcification sans citrate dans l’épuration extra-rénale par sustained low-efficiency dialysis, intitulée « ARDC SLED ». (Demande d’autorisation n° 924149)


Décision DR-2024-140 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’ajustement du volume courant basé sur la pression motrice au cours du syndrome de détresse respiratoire aiguë, intitulée « DRIVENT ». (Demande d’autorisation n° 924056)


Décision DR-2024-137 autorisant le CENTRE HOSPITALIER DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une l'étude portant sur les concentrations d’oxyde nitrique exhalé chez des patients atteints d’un syndrome de détresse respiratoire aigues, intitulée « ENOBARDS ». (Demande d’autorisation n° 924104)


Décision DR-2024-138 autorisant la société BOSTON SCIENTIFIC à mettre en oeuvre une modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de la prise en charge et de l’impact économique des patients atteints de thrombose aigüe sévère, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2021, intitulée « DECRIPT-Thrombus ». (Demande d’autorisation n° 919454v1)


Décision DR-2024-139 autorisant l’ASSISTANCE PUBLIQUE DES HOPITAUX DE PARIS, l’UNIVERSITE DE MILAN, l’UNIVERSITE SORBONNE PARIS NORD, l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITE TECHNIQUE DE DRESDE, l’UNIVERSITE LIBRE DE BRUXELLES et la SOCIETE STRATIPATH à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la caractérisation des facteurs environnementaux associés à la cirrhose alcoolique, intitulée « GENIAL ». (Demande d’autorisation n° 923250v1)


Décision DR-2024-141 autorisant la société BIOPROJET PHARMA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prévalence et l’impact de la fatigue chez les patients atteints de narcolepsie. (Demande d’autorisation n°924072)


Décision DR-2024-142 autorisant la société ZAMBON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’occurrence et le fardeau du syndrome de bronchite oblitérante chez les patients transplantés du poumon et de cellules souches en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2023 (Demande d’autorisation n° 924146)


Décision DR-2024-143 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les facteurs favorisant le recours tardif aux soins et l’expérience des patientes diagnostiquées à un stade avancé de cancer du col de l’utérus, intitulée « COLRUN ». (Demande d’autorisation n° 924061).


Décision DR-2024-144 autorisant la société ROCHE à mettre en oeuvre la modification d’ un traitement de données ayant pour finalité une étude portant sur la prise en charge en pratique de routine des patients atteints de dégénérescence maculaire liée à l'âge sous sa forme néovasculaire et d'oedème maculaire diabétique, traités par anti-VEGF en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2019 (Demande d’autorisation n° 921301v1)


Décision DR-2024-145 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de la santé des personnes sans emplois en France, intitulée « ESSE » (Demande d’autorisation n° 924102)


Décision DR-2024-146 autorisant la MAISON DE SANTE PLURIPROFESSIONNELLE UNIVERSITAIRE PINS-JUSTARET à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’association entre offre de soins primaires et morbi-mortalité populationnelle en France à l’échelle des territoires de vie, nécessitant un accès aux données du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2004 à 2023, intitulée « M-OSP ». (Demande d’autorisation n°924098).


Décision DR-2024-147 autorisant l’HÔPITAL UNIVARSITAIRE DE BÂLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la précision du diagnostic du spin sinusoïdal sans contraste CT à détecteur plat (FDCT) pour la détection des lésions intracrâniennes hémorragie chez les patients victimes d'un AVC. (Demande d’autorisation n° 924109)


Décision DR-2024-148 autorisant L’INSTITUT GUSTAVE ROUSSY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique d’un programme personnalisé de perte de poids chez les patients en surpoids ou obèses suivis pour un cancer du sein, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2023, intitulée « MEDEA - SNDS ». (Demande d’autorisation n° 924133).


Décision DR-2024-149 autorisant l’INSTITUT GUSTAVE ROUSSY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la radiothérapie de contact par rayons x pour la préservation de l’organe dans les adénocarcinomes du rectum, intitulée « TRESOR »


Décision DR-2024-150 autorisant l’Institut GUSTAVE ROUSSY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le profilage moléculaire pour stratification du traitement des enfants et jeunes adultes porteurs d’un cancer, intitulée « MAPPY ACT 2 ». (Demande d’autorisation n°923306).


Décision DR-2024-151 autorisant la société LFB-BIOTECHNOLOGIES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la polyneuropathie inflammatoire démyélinisante chronique en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CepiDC et de l’échantillon des données du SNDS (ESND), composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023 (Demande d’autorisation n° 924112)


Décision DR-2024-152 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’épidémiologie des infections virales respiratoires de l’enfant de moins d’un an aux urgences pédiatriques suite à l’émergence du Covid-19. (Demande d’autorisation n°924093)


Décision DT-2024-007 autorisant conjointement LES LABORATOIRES DE BIOLOGIE MEDICALE DU RESEAU CERBALLIANCE à mettre en oeuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé (Demande d’autorisation n° 2231450v0).


Décision DT-2024-009 autorisant la société TAKEDA FRANCE à mettre en oeuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité ADCETRIS 50mg, poudre pour solution à diluer pour perfusion (Brentuximab Vedotin) dans l’indication « traitement du Lymphome de Hodgkin en seconde ligne avant greffe autologue de cellules souches, en association à la chimiothérapie standard chez les enfants, les adolescents et les adultes ». (Demande d’autorisation n°2231642v1)


Décision DT-2024-008 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé sur les maladies rares de l’oeil, dénommé « FREDD ». (Demande d’autorisation n°2229636v1)


Décision DT-2024-010 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GUADELOUPE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité un entrepôt des maladies neurodégénérative dénommé « REG MND » (Demande d’autorisation n°2219058v2).


Décision DT-2024-011 autorisant la société ABBVIE à mettre en oeuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant les spécialités BOTOX 50 UNITES ALLERGAN, BOTOX 100 UNITES ALLERGAN, BOTOX 200 UNITES ALLERGAN dans l’indication « Traitement de la douleur neuropathique périphérique chronique (depuis au moins 6 mois) bien localisée (surface ≤ 240 cm²) en tant que traitement adjuvant chez les patients adultes insuffisamment soulagés ou réfractaires aux autres traitements ». (Demande d’autorisation n°2231701v1)


Décision DR-2024-153 du 28 juin 2024 autorisant l’INSTITUT CURIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de tumeurs stromales gastro-intestinales sur le territoire national entre 2010 et 2020, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2005 à 2025, intitulée " REALIGIST ". (Demande d’autorisation n° 923136v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les sous-traitants Le projet fait partie des lauréats de l’appel à manifestation d’intérêt UNIBASE ouvert en 2021 par la Plateforme des données de santé (PDS). Une convention conforme à l’article 28 du Règlement général sur la protection des données (RGPD), répartissant les rôles et responsabilités de chacune des parties sera conclue entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes. Par ailleurs, la répartition des rôles et responsabilités entre le responsable de traitement et UNICANCER, concernant le contrôle qualité des données cliniques, sera formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 septembre 2022. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données réutilisées dans le cadre de cette étude proviendront : de la base nationale du réseau de référence sarcomes NETSARC+ mise en œuvre par le centre Léon Bérard (demande d’autorisation CNIL n°910390) ; des dossiers médicaux des patients pris en charge par six centres de lutte contre le cancer (CLCC) ; des serveurs d’imagerie pour une sous-partie de patients pris en charge par six centres de lutte contre le cancer (CLCC) ; des données du système national des données de santé (SNDS) ; Seules les données des personnes prises en charge dans un CLCC entre 2010 et 2020 et identifiées via la base nationale du réseau de référence sarcomes NETSARC+, seront traitées dans le cadre de cette étude. Cette étude concerne environ 2000 personnes. Catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données : du SNIIRAM et du PMSI des années 2005 à 2025 ; du CépiDc des années 2010 à 2025. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. Les données issues des dossiers médicaux feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Les centres participants à l’étude devront transférer les NIR exclusivement à la CNAM. Information et droits des personnes Pour les patients dont le suivi est toujours en cours : Ces patients ont reçu depuis mi 2022, un amendement à la note d’information individuelle afin de prévoir un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude nécessitant la réutilisation de leurs données. Une note d’information relative à la présente étude sera diffusée sur ce site web dédié. Pour les patients n’ayant pas reçu de note d’information individuelle amendée prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle pour ces personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche sur le site web : du responsable de traitement ; des associations de patients, nationale (Info Sarcomes) et spécifique aux GIST (AFPG Ensemble contre le GIST) ; du réseau de référence sarcome NETSARC+ ; de chacun des centres participant ; d’UNICANCER ; de la PDS. Sur la sécurité des données et leurs modalités d’hébergement A titre liminaire, la CNIL prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude. La sécurité des données de l’espace projet dédié au projet " REALIGIST " dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet " REALIGIST ". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet " REALIGIST " et intégrant les éléments fournis par la PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 22 décembre 2023, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 22 décembre 2026 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. UNICANCER conservera les données cliniques en base active uniquement pour le contrôle qualité et jusqu’au transfert sur la PDS validé. Les données seront alors archivées pendant deux ans maximum. Ces archives devront faire l'objet de mesures spécifiques impliquant un cloisonnement dans un espace de stockage dédié, des habilitations limitées à un nombre restreint de personnes et des accès exceptionnels strictement justifiés. Transferts hors Union européenne L’article R. 1461-1 du CSP prévoit qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durée d’accès / de conservation des données Les NIR, les dates de naissance complètes et le sexe seront détruits après l’appariement. Données du SNDS : trois ans à compter de la mise à disposition des données. Observations particulières Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi " informatique et libertés " (déclaration de conformité au référentiel " entrepôt de données de santé " ou, en cas de non-conformité au référentiel, autorisation de la CNIL). AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-154 du 24 juin 2024 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant les changements de connectivité cérébrale associés à la perception et la mémoire du temps entre individus jeunes et âgés, intitulée « TIMES ». (Demande d’autorisation n° 924110)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est I du 8 janvier 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes Destinataires des données La collecte des nom, prénom ainsi que des coordonnées téléphoniques, électroniques ou postales est nécessaire pour proposer aux volontaires de participer à l’étude, leur adresser la note d’information et assurer leur suivi. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle par voie électronique ou postale comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage L’ensemble des données collectées concernant des personnes qui ne seront pas incluses dans l’étude (absence d’intérêt ou détection de critères de non inclusion) seront immédiatement détruites, à la suite de l’échange téléphonique de pré-inclusion. Les données nominatives et les coordonnées postales, électroniques ou téléphoniques des participants seront détruites à la suite de la communication des résultats globaux. Autres données : Base active : huit ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-155 du 24 juin 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE et l’UNIVERSITE D’UTRECHT à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le lien entre les modes d’exposition à la lumière la nuit et le sommeil, intitulée « LILLY ». (Demande d’autorisation n° 924121)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les deux responsables de traitement, l’Institut national de la santé et de la recherche médicale et l’Université Utrecht déterminent conjointement les finalités et les moyens du traitement. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes Catégories particulières de données traitées (autres que données de santé) La collecte de la zone d’habitation des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques ou électroniques) est nécessaire afin d’assurer le suivi des participants qui en sont informés. Les courriers électroniques adressés aux participants/patients ne devront révéler aucune information sur l’état de santé réel ou supposé des participants. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées postales téléphoniques et électroniques) seront détruites à la fin du suivi des participants. Autres données Base active : quatre ans et six mois Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE et l’UNIVERSITE UTRECHT à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-158 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la dynamique de transmission des bactéries résistantes aux antibiotiques entre le chien et l’homme. (Demande d’autorisation n° 924053)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VIII du 23 novembre 2023 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, ainsi que des coordonnées électroniques est nécessaire pour assurer le suivi des patients qui en sont informés. En outre, des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant dix ans puis détruits. Les enregistrements vidéo seront conservés pendant deux ans puis archivés pendant quinze ans, dans un format ne permettant pas la réidentification des personnes. Autres données : Base active : huit ans Archivage : quinze ans. Réutilisation des données et échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-159 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact respiratoire et psychologique de la chirurgie élective des malformations pulmonaires congénitales, intitulée « MALFPULM2 ». (Demande d’autorisation n° 924160)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est V du 16 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des destinataires des données directement identifiantes. Destinataires des données directement identifiantes La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire afin d’assurer le suivi des participants qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les courriers électroniques adressés aux titulaires de l’exercice de l’autorité parentale ne devront révéler aucune information sur l’état de santé réel ou supposé de leur enfant. Information et droits des personnes Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information en vue de la participation de l’enfant mineur à l’étude. Ce dernier recevra également une note d’information individuelle. Durée de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées postales, téléphoniques et électroniques) seront détruites à la fin du suivi des participants. Autres données Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-160 du 28 juin 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la préoxygénation pour les aspirations trachéales en réanimation, intitulée « POXTRA ». (Demande d’autorisation n° 923255v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France IV du 29 mai 2024. Modification du traitement de données La modification envisagée porte sur les modalités d’information des personnes concernées suite à leur inclusion en urgence. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD