Délibération n° 2023-127 du 7 décembre 2023 portant décision unique et autorisant l’Agence nationale de santé publique à mettre en œuvre des traitements automatisés de données à caractère personnel dans le cadre de l’élaboration du "Baromètre de Santé publique France" (Saisine n° 923201)

La Commission nationale de l'informatique et des libertés, Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalité la mise en œuvre d’études portant sur le suivi des principaux comportements, attitudes et perceptions liés aux prises de risque et à l’état de santé de la population résidant en France dans le cadre de l’élaboration du "Baromètre de Santé publique France" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ; Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 15 juin 2023 ; Vu le dossier et ses compléments ; Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : Sur le responsable de traitement L’Agence nationale de santé publique (ANSP) Sur le sous-traitant Le traitement des données par la société IPSOS devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD. Sur l’opportunité du recours à la décision unique Dans le cadre de l’élaboration de son baromètre, l’ANSP souhaite réaliser, à intervalles réguliers, une étude visant à enrichir les connaissances sur l’état de santé de la population française. Pour ce faire, un échantillon représentatif de la population sera tiré au sort tous les deux ans. Outre le fait de poursuivre une même finalité, les traitements envisagés par l’ANSP présentent des caractéristiques similaires : la nature des données collectées au moyen d’un questionnaire standardisé ; les mêmes catégories de destinataires : les personnes habilitées par le responsable de traitement et son sous-traitant. Ces traitements, relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques. Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé Les traitements envisagés par l’ANSP ont vocation à suivre les comportements de santé de la population française et leurs déterminants. Ces traitements, réalisés à des fins de recherche scientifique, sont nécessaires à l’exécution de la mission d’intérêt public dont est investie l’ANSP. Ces traitements sont, à ce titre, licites au regard de l’article 6.1.e) du RGPD et remplissent la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé. Sur les points de non-conformité à la MR-004 Le dossier de demande mentionne que les traitements envisagés sont conformes aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et des destinataires des données directement identifiantes. Sur la finalité des traitements et leur caractère d’intérêt public Le Baromètre de santé publique France (ci-après "le baromètre") a pour finalité le suivi des principaux comportements, attitudes et perceptions liés aux prises de risque et à l’état de santé de la population résidant en France. Pour ce faire, sera réalisée tous les deux ans une étude visant à : suivre les comportements de santé de la population française et leurs déterminants ; documenter des enjeux de santé publique ou orienter une décision politique, notamment via l’interrogation des connaissances et des opinions de la population en vue de la mise en place ou de l'évaluation d’actions de prévention ou de politiques publiques ; enrichir les connaissances sur l’état de santé de la population française, pour des indicateurs non couverts par d’autres enquêtes par d’autres systèmes de surveillance. Ce projet a reçu le label d’intérêt général et de qualité statistique à caractère obligatoire par le Comité du label, conformément aux dispositions de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. La finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et présente un intérêt public, conformément à l’article 66.I de la loi "informatique et libertés". Sur la réutilisation de données de bases existantes Tous les deux ans, les participants au baromètre seront tirés au sort par l’Institut national de la statistique et des études économiques (INSEE), à partir de la base de données dénommée "Fideli" (Fichier démographique d'origine fiscale sur les logements et les personnes), qu’il détient. La taille de l’échantillon tiré au sort sera d’environ 60 000 à 75 000 personnes. Seules les données strictement nécessaires et pertinentes au regard des objectifs du baromètre devront être transmises par l’INSEE : à la société IPSOS, afin que cette dernière contacte les personnes tirées au sort pour leur proposer de participer au baromètre. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires ; à l’ANSP, afin de réaliser de corriger la non-réponse et de réaliser des pondérations (redressements). À cet égard, les filtrages seront réalisés en amont de cette transmission par l’INSEE. Sur les catégories particulières de données traitées Les données suivantes seront traitées dans le cadre du baromètre : les données nominatives et les coordonnées (postales, électroniques et téléphoniques) des personnes tirées au sort ainsi que, le cas échéant, celles des référents fiscaux dont les coordonnées sont présentes dans la base de données Fideli, aux fins de suivi des participants ; la vie sexuelle des participants, dont la collecte a été scientifiquement justifiée dans le dossier de demande. Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD. Sur l'information et les droits des personnes S’agissant des modalités d’information : S’agissant des personnes susceptibles d’être tirées au sort et des référents fiscaux dont les coordonnées sont présentes dans la base de données Fideli : En application de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative : à la réutilisation des données issues de la base Fideli sur les site web du Conseil national de l’information statistique et du Comité du secret ; aux projets de recherche sur le site web du responsable de traitement du "Baromètre de Santé publique France". Ces modalités d’information seront mises en œuvre avant la constitution des bases de données par l’INSEE permettant la réalisation du tirage au sort. S’agissant des personnes tirées au sort : Elles recevront une note d’information individuelle par voie postale ou électronique. Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD. S’agissant des modalités d’exercice des droits : S’agissant du droit d’opposition : Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche dans le domaine de la santé. Les personnes ayant refusé de participer au baromètre suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être contactées et leurs données ne pourront être traitées, y compris à des fins de redressement. Par ailleurs, les personnes s’opposant au traitement de leurs données au cours de l’étude ne devront pas être recontactées. S’agissant du droit à l’effacement : Conformément aux dispositions de l’article 17 du RGPD, le droit à l'effacement s'applique lorsque la personne concernée exerce son droit d'opposition et demande également l'effacement des données la concernant déjà collectées. Sous réserve d'une information préalable appropriée par le responsable de traitement, certaines données préalablement collectées peuvent cependant ne pas être effacées, si cette suppression est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de la recherche. Ces modalités d’exercice des droits seront clairement décrites dans les différentes notes d’information. Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée des traitements. Sur les catégories de destinataires des données Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants. S’agissant des accédants aux données pseudonymisées : Les membres du personnel de l’ANSP auront accès aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins du baromètre. S’agissant des destinataires des autres données : Les employés de la société IPSOS auront accès aux données administratives d’identification (les données nominatives ainsi que les coordonnées postales, électroniques et téléphoniques) et de santé des participants pour : réaliser l’information des participants ; assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé. Par ailleurs, les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) des participants acceptant d’être recontactés pour des études ancillaires seront conservées afin de leur proposer de participer à des études ultérieures. Aux fins de confidentialité, ces données devront être conservées uniquement par la société IPSOS. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique aux traitements envisagés. Celle-ci devra être mise à jour pour tenir compte des différentes phases du baromètre (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’action retenu. Le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé", pour constituer le baromètre. Des espaces projets devront être prévus pour toute mise à disposition des données. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces. Si ces conditions ne sont pas réunies, aucune donnée du baromètre ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront alors consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD). Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes des traitements opérés par les différents organismes participants, y compris pour les fiches papier. Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés. Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Le responsable de traitement devra s’assurer que son prestataire IPSOS mette en œuvre les mesures de sécurité nécessaires pour protéger la base de données nominatives transmises par l’INSEE. Sur les transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Sur la durée de conservation des données S’agissant des personnes refusant de participer au baromètre malgré son caractère obligatoire : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) devront être détruites au moment de leur refus. S’agissant des données des personnes participant au baromètre et refusant d’être de nouveau contactées pour une étude ancillaire : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites dans un délai de six mois après la collecte des données. S’agissant des données des personnes participant au baromètre et acceptant d’être de nouveau contactées pour une étude ancillaire : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites par la société IPSOS dans un délai d’un an après la passation des questionnaires. Les autres données du Baromètre de Santé publique France seront conservées en base active pour une durée de trente ans. À l’issue de ce délai, les données seront archivées pour une durée de cinquante ans puis versées aux Archives nationales, conformément aux dispositions du code du patrimoine. Eu égard aux caractéristiques du baromètre, ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD. Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre les traitements décrits ci-dessus pendant une durée de huit ans. La Présidente Marie-Laure DENIS


Décision DR-2024-314 du 13 décembre 2024 autorisant l’UNION REGIONALE DES PROFESSIONNELS DE SANTE MEDECINS LIBERAUX NORD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur une analyse coût-efficacité de la télé-expertise avec ou sans dermatoscope pour la détection précoce de cancers de la peau, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2023, intitulée « TELEDERMECO». (Demande d’autorisation n° 924219)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Réutilisation des données d’une base existante Les données de l’étude TELEDERMECO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude et appariées de façon probabiliste avec celles du Système national des données de santé (SNDS). Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégorie particulière de données traitées (autres que données de santé) La collecte de la commune de résidence a été scientifiquement justifiée dans le dossier de demande. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2022 à 2023. Modalités de consultation : portail de la CNAM. Information et droits des personnes Tous les participants à l’étude ont reçu une note d’information individuelle. Durée d’accès Les données relatives à la commune de résidence seront supprimées après l’appariement. Les autres données seront accessibles pendant un an à compter de leur mise à disposition. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’UNION REGIONALE DES PROFESSIONNELS DE SANTE MEDECINS LIBERAUX NORD à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-311 du 13 décembre 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la comparaison de l'échange de culots de globules rouges automatisé et ciblé sur des objectifs précoces par rapport à l'échange manuel au cours du syndrome thoracique aigu de la drépanocytose, intitulée « ARCAD ». (Demande d’autorisation n° 924329)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest V du 5 novembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche. Durée de conservation en base active et en archivage Base active : sept ans. Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-312 du 13 décembre 2024 autorisant LE CENTRE REGIONAL DE COORDINATION DU DEPISTAGE DES CANCERS DE L’OCCITANIE ET LE CENTRE INTERNATIONAL DE RECHERCHE SUR LE CANCER- ORGANISATION MONDIALE DE LA SANTE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’aide de l’intelligence artificielle à la prise de décision pour améliorer la participation des femmes au dépistage du cancer du col de l’utérus en Région Occitanie, « APPDATE-YOU ». (Demande d’autorisation n° 924033v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement En tant que responsables conjoints de traitement, le centre régional de coordination du dépistage des cancers (CRCDC) de l’Occitanie et le centre international de recherche sur le cancer-organisation mondiale de la santé (CIRC-OMS) doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, le traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données de la base du CRCDC de l’Occitanie seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) et leurs destinataires Les participantes seront amenées à interagir avec un agent conversationnel disponible via une application de messagerie instantanée dans le cadre de cette étude. La collecte de l’identifiant de connexion à l’application (numéro de téléphone ou identifiant spécifique) est nécessaire pour assurer leur suivi. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les informations transmises lors de l’usage de l’agent conversationnel doivent être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les participantes seront explicitement invitées à ne partager ni des données personnelles sensibles, en particulier des informations de santé, ni des données directement identifiantes lors des interactions avec l’agent conversationnel. Des mécanismes seront mis en place pour supprimer automatiquement ces données partagées par erreur. Aucun historique de conversation ne devra être conservé. Information et droits des personnes Toutes les participantes recevront une note d’information individuelle qui devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD. Une note d’information collective sera également publiée sur le site web du CIRC-OMS. Mesures de sécurité Les identifiants de connexion à l’application devront être pseudonymisés à l’aide d’une fonction de hachage cryptographique résistante aux attaques par force brute. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durées de conservation des données. Les identifiants de connexion et les données techniques seront conservés pendant un an. Les autres données seront conservées pendant quatre ans en base active. AUTORISE le CENTRE REGIONAL DE COORDINATION DU DEPISTAGE DES CANCERS DE L’OCCITANIE ET LE CENTRE INTERNATIONAL DE RECHERCHE SUR LE CANCER- ORGANISATION MONDIALE DE LA SANTE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-313 du 11 décembre 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la ventilation par pression expiratoire positive continue sous oxygénation par membrane extracorporelle dans le cadre du traitement du syndrome de détresse aigue sévère, intitulée « CALMDOWN ». (Demande d’autorisation n° 924311)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Méditerranée I du 9 octobre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche. Durée de conservation en base active et en archivage Base active : neuf ans et trois mois. Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DT-2024-026 du 13 décembre 2024 autorisant la SOCIETE RECORDATI RARE DIESEASES à mettre en œuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité QARZIBA (dinutuximab beta) 4,5 mg/ml, solution à diluer pour perfusion pour le traitement des patients âgés de douze mois et plus atteints d’un neuroblastome à haut risque. (Demande d’autorisation n°2236277).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Remarque liminaire La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement (ANSM) du 30 septembre 2024 établissant un cadre de prescription compassionnelle pour la spécialité Qarziba (dinutuximab beta) 4,5 mg/ml, solution à diluer pour perfusion dans l’indication "Traitement des patients âgés de 12 mois et plus atteints d’un neuroblastome à haut risque : en association à la chimiothérapie d’induction de type TOTEM ou TEMIRI en rechute/progression après chimiothérapie de première ligne ; en association à la chimiothérapie d’induction en seconde rechute/progression (ou plus) après chimiothérapie de type TOTEM ou TEMIRI". Points de non-conformité au référentiel concerné Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception : du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle, de la source des données ; des organismes qualifiés de sous-traitants ; des modalités d’exercice des droits ; des durées de conservation. En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par le référentiel RS-004. Finalité du traitement Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. Réutilisation des données d’une base existante Les données de l’étude "SACHA" mise en œuvre par l’Institut Gustave Roussy (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) seront réutilisées dans le cadre du présent traitement, s’agissant uniquement des patients bénéficiant du médicament visé par la décision de l’ANSM. La société Recordati Rare Diseases n’aura accès qu’aux rapports de synthèse mentionnés à l’article R. 5121-76 du code de la santé publique (CSP), produits par l’Institut Gustave Roussy. Elle n’aura pas accès aux données traitées dans le cadre de l’étude SACHA. Sous-traitant L’Institut Gustave Roussy interviendra en qualité de sous-traitant pour la mise en œuvre de ce traitement, notamment s’agissant de l’extraction des données issues du registre SACHA et de l’analyse de ces données en vue de la production des rapports de synthèse mentionnés à l’article R. 5121-76 du CSP. Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article28 du Règlement général sur la protection des données. Information et droits des personnes Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. Il est rappelé que chacun des titulaires de l’exercice de l’autorité parentale devra recevoir une note d’information individuelle en vue du traitement des données à caractère personnel d’un patient mineur. Les droits des personnes pourront s’exercer auprès : du responsable de traitement ; du professionnel de santé ayant prescrit la spécialité ; de l’Institut Gustave Roussy. Durées de conservation Les rapports de synthèse mentionnés à l’article R. 5121-76 du CSP seront conservées pendant dix ans à compter de leur production. Autres données : Base active : pendant la durée de validité de la décision de l’ANSM Archivage : les données seront archivées en base intermédiaire jusqu’à 25 ans, à compter de : l'expiration de la décision de l'ANSM établissant le cadre de prescription compassionnelle ; la date de la décision de l'ANSM prononçant la suspension ou le retrait du cadre de prescription compassionnelle. Ces durées de conservation n’excédent pas celles nécessaires à la poursuite des finalités pour lesquelles les données sont collectées. Observations particulières Une analyse d’impact relative à la protection des données (AIPD) a été transmise à l’appui de la demande d’autorisation. Conformément à l’article 35 du RGPD, lu à la lumière des lignes directrices du Comité européen sur la protection des données, cette AIPD devra être complétée afin de tenir compte de l’intervention d’un sous-traitant et des mesures techniques et organisationnelles mises en œuvre à cet égard. AUTORISE la société recordati rare dieseases à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-027 du 31 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « UroCCR ». (Demande d’autorisation n°2231991)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception : des durées de conservation des données ; des mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "UroCCR". La constitution de cet entrepôt multicentrique spécifique au cancer du rein aura pour finalités : de favoriser les recherches, études ou évaluations en structurant les ressources et capacités nationales ; de créer une base de données associée à une collection d’échantillons biologiques annotée multicentrique. Sont concernés par cet entrepôt de données de santé tous les patients présentant une tumeur du rein et consultant ou ayant consulté dans un centre participant à UroCCR, à l’exception des majeurs protégés et des mineurs. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Le traitement mis en œuvre par le responsable de traitement est nécessaire à l'exécution d'une mission d'intérêt public dont il est investi. Ce traitement est licite au regard de l’article 6-1-e) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’article 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter du dernier suivi du patient puis supprimées ou anonymisées. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel "entrepôt de données dans le domaine de la santé". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . L’entrepôt comporte le point de non-conformité suivant vis-à-vis des mesures de sécurité : l’inclusion du mois de naissance, de l’année de naissance, de l’année et du sexe dans la base de données principale de l’entrepôt. Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures relatives à certaines exigences du référentiel "entrepôt de données dans le domaine de la santé", et en particulier : le cloisonnement des données directement identifiantes par rapport aux données de santé contenues dans l’entrepôt ; la génération d’un identifiant pseudonyme unique par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr ; l’hébergement des données chez un hébergeur certifié HDS en cas d’externalisation de l’hébergement. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par le responsable de traitement et qu’un bilan lui soit transmis à cette fin. Les mesures de sécurité, renforcées par ce plan d’actions, sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit néanmoins procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, dans ces conditions, le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-315 du 13 décembre 2024 autorisant le CENTRE HOSPITALIER DE CAEN NORMANDIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de la défavorisation sociale chez les patients atteints de microangiopathies thrombotiques et ses effets sur la survie du patient et la gravité de l’atteinte d’organe associée, intitulée « EDIMAT ». (Demande d’autorisation n° 924270)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données issues du registre du centre de référence des microangiopathies thrombotiques (MAT) (CNR-MAT) mis en œuvre par l’Assistance publique – hôpitaux de Paris (APHP), seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) La collecte de l’adresse complète des personnes concernées a été scientifiquement justifiée dans le dossier de demande afin de calculer les Ilots Regroupés pour l’Information Statistique (IRIS). L’adresse devra être traitée et transmise de façon séparée des données de santé et être enregistrée dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. Par ailleurs, la collecte du pays de naissance des participants ainsi que le fait qu’ils disposent ou non de la nationalité française a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes Tous les participants majeurs seront individuellement informés. Les titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Ce dernier sera également informé individuellement Durées de conservation en base active et en archivage Les adresses complètes des personnes concernées seront détruites après le calcul de l’IRIS. Autres données : Base active : un an. Archivage : deux ans. Observations complémentaires au sujet du registre CNR-MAT Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou, en cas de non-conformité au référentiel, autorisation de la CNIL). AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Délibération n° 2024-009 du 8 février 2024 portant élection du président par intérim de la formation restreinte de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ; Après avoir procédé au vote, Constate : Article 1 M. Philippe-Pierre CABOURDIN est élu président par intérim de la formation restreinte de la Commission jusqu'aux prochaines élections à la formation restreinte. Article 2 La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis