Décision DR-2024-204 du 2 août 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les infections cutanées virales au cours des syndromes de restauration immunes chez des patients infectés par le virus de l'immunodéficience humaine après introduction d’un traitement antirétroviral hautement actif, intitulée « VIRIS ». (Demande d’autorisation n° 924157)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Réutilisation des données d’une base existante Les données de l’étude APOLLO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude. Information et droits des personnes En application de l'article 69 de la loi et de l’article 14-5-b) du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude VIRIS ainsi que sur celui du responsable de traitement de l’étude APOLLO d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durée de conservation en base active et en archivage Base active : deux ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-205 du 7 août 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur une stratégie d’intervention multimodale pour les proches de patients en fin de vie au sein d’un service d’accueil des urgences, intitulée « MYRIADE ». (Demande d’autorisation n° 924216)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France V du 10 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes La collecte des données nominatives et des coordonnées téléphoniques est nécessaire au suivi des participants qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom et coordonnées téléphoniques) seront détruites à la fin du suivi. Autres données : Base active : quatre ans. Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-206 du 7 août 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les anomalies de la réponse immunitaire liées aux interférons de type I, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2028, intitulée « COVIFERON ». (Demande d’autorisation n° 924069)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est III du 22 janvier 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données de l’étude CONSTANCES autorisée par la CNIL (demande d’autorisation n° 910486, délibération n°2011-067) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des nom, prénom, ainsi que des coordonnées (postales, téléphoniques, électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant de la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques : Les données de l’étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. S’agissant de l’examen des caractéristiques génétiques des participants : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés . S’agissant des autres catégories de données traitées : La collecte de l’origine ethnique, des lieux de naissance des parents et grands-parents des participants, ainsi que de l’adresse exacte de l’ensemble des lieux de vie, d’étude et de travail des participants a été scientifiquement justifiée dans le dossier de demande. S’agissant des zones de commentaires libres : Les données contenues dans des zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2014 à 2028, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : Centre d’accès sécurisé aux données Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère américain du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, l’organisme vers lequel les données pseudonymisées des participants à l’étude seront transférées ne figure pas sur liste publiée par le ministère américain du commerce. Les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées téléphoniques/électroniques/postales) seront détruites à la fin du suivi des participants. Les échantillons biologiques seront conservés pendant quinze ans après la fin de la recherche puis détruits. Les NIR et les dates de naissance complètes des participants seront détruits après l’appariement. Autres données : Base active : six ans Archivage : quinze ans. Réutilisation des données / échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-207 du 9 août 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la résilience cognitive et affective chez l’enfant après les événements du 13 novembre 2015, intitulée « CARE 13-11 ». (Demande d’autorisation n° 924078)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest III du 19 octobre 2022. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001 à l’exception des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées S’agissant de la collecte de données directement identifiantes : La collecte des données nominatives ainsi que des coordonnées postales, téléphoniques, électroniques des participants est nécessaire pour assurer leur suivi. Ils en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. S’agissant de la réalisation d’enregistrements vocaux : Des enregistrements vocaux indirectement identifiants des participants des personnes se prêtant à la recherche seront réalisés dans le cadre d’un entretien qualitatif. Les participants seront informés de ce traitement et leur consentement sera recueilli en vue de la réalisation de ces enregistrements. S’agissant des zones de commentaires libres dans les questionnaires adressés aux participants : Les données contenues dans ces zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès. Information et droits des personnes S’agissant de l’information des participants majeurs : Ils recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. S’agissant de l’information des participants mineurs : Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participants à l’étude recevront une note d’information individuelle : une note d’information spécifique pour les mineurs âgés de huit à onze ans, une note d’information spécifique pour les mineurs âgés de douze à dix-sept ans. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé ou sur celui de leur enfant mineur. Mesures de sécurité Le responsable de traitement envisage de recueillir le consentement des participants ou, le cas échéant, de leurs représentants légaux, par voie dématérialisée au moyen d’une signature électronique. Il lui appartient de s’assurer que ce recueil sera réalisé conformément aux dispositions législatives et règlementaires applicables en matière de signature électronique, et notamment celles issues des articles 1366 et 1367 du code civil éclairées par le décret n°2017-1416 du 28 septembre 2017 relatif à la signature électronique. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifiques à l’étude. Les mesures de sécurité techniques et organisationnelles prévues, notamment le chiffrement des informations des questionnaires en transit et au repos, devront être opérationnelles lors de la mise en œuvre du traitement. Les mesures de sécurité décrites dans le dossier de demande devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durée de conservation en base active et en archivage Dans l’hypothèse où une personne ne serait pas incluse dans l’étude (absence d’intérêt ou détection de critères de non-inclusion), toutes les donnés administratives le concernant collectées dans le cadre de la phase de pré-screening (nom, prénom, coordonnées téléphoniques et électroniques seront immédiatement détruites. Sauf opposition des participants dûment informés, les données administratives d’identification des participants seront archivées durant quinze ans à l’issue de leur suivi. Les échantillons biologiques seront conservés pendant la durée de réalisation de l’analyse, n’excédant pas un an, puis détruits. Les enregistrements vocaux seront conservés le temps de leur retranscription, pour une durée maximale de trois ans, puis seront détruits. Les données nominatives ainsi que les coordonnées électroniques, téléphoniques et postales collectées aux fins d’assurer l’organisation logistique de l’étude seront détruites à l’issue du suivi des participants. Autres données : Base active : trois ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANT É ET DE LA RECHERCHE M ÉDICALE à mettre en œuvre le traitement ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-012 du 19 juin 2024 autorisant l’association DAT’AIDS à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2232066).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées. Sur la base légale du traitement Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur la finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé en vue de la réutilisation des données à des fins de recherches, d’étude ou d’évaluation dans le domaine de la santé (infection au virus de l’immunodéficience humaine (VIH) et autres infections sexuellement transmissibles). Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Sur les données traitées Les données à caractère personnel des patients issues du dossier médical informatisé Nadis et versées dans l’entrepôt sont : données d’identification et démographiques des patients : Numéro de pseudonymisation (numéro de centre hospitalier et numéro d’inclusion), mois, année et pays de naissance, sexe, année d’arrivée en France et nationalité ; données de santé des patients : Pathologies, antécédents médicaux et familiaux, traitements, données relatives au soin, données de suivi des infections VIH et autres infections sexuellement transmissibles, poids, taille, résultats d'examens, résultats issus d'analyse d'échantillons biologiques, données relatives aux effets et événements indésirables, prescriptions ; données de vie personnelle : Habitudes de vie (consommation de tabac, alcool, drogues, pratique d’une activité physique), situation familiale, statut matrimonial ; données de vie professionnelle : Situation professionnelle (en activité ou non), catégorie INSEE socioprofessionnelle, niveau d’études ; données de vie sexuelle : Mode de contamination du VIH, VHC, VHB, et autres infections sexuellement transmissibles, caractéristiques de l’accident d’exposition viral, dates et lieux de dépistages, sexualité, moyens de prévention, situation ou comportement à risque ; données de vie sociale : Bénéficiaire d’une couverture sociale et Affection Longue Durée (ALD) ; données biologiques : Données de sérologies VIH, VHB, VHC et autres infections sexuellement transmissibles décès des patients : Statut vital, mois, année et cause de décès données d’activité hospitalière : Type de recours (consultation, hospitalisation de jour, hospitalisation classique). Ces données seront pseudonymisées avant leur intégration dans l’entrepôt. Sur l’information des personnes S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt : Une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD, sera remise en main propre par le médecin au moment de leur prise en charge. En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par voie d’affichage dans les établissements centres participants ainsi que par la diffusion sur le site web du responsable de traitement et celui de chaque centre participant, d’une information comportant l’ensemble des mentions prévues par le RGPD. S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt : Une note d’information individuelle sera remise aux patients et, le cas échéant, à leurs représentants légaux par le médecin au moment de leur prise en charge. Une note d’information spécifique est également prévue pour les majeurs faisant l’objet d’une mesure de protection ainsi que pour leurs représentants légaux. S’agissant des utilisateurs de l’entrepôt : Les utilisateurs de l’entrepôt sont informés de la collecte de leurs données au moment de leur connexion. Enfin, le responsable de traitement diffusera sur son site web une information relative à la base de données ainsi que des informations sur les projets de recherches, études et évaluations dans le domaine de la santé menés à partir des données qu’elle contient. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD. Sur la conservation des données Les données versées dans l’entrepôt sont conservées dans l’entrepôt 20 ans à compter de la collecte dans l’entrepôt puis supprimées manuellement. Une procédure relative à cette suppression devra être formalisée par le responsable de traitement et une suppression automatique de ces données devra être mise en place. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt DAT’AIDS , ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Le point de non-conformité vis-à-vis de ces mesures de sécurité est le suivant : l’inclusion du sexe, du mois de naissance, de l’année de naissance, de l’année d’arrivée en France et de la nationalité dans la base de données principale de l’entrepôt. Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ; la mise en place d’espaces de travail conformément aux exigences SEC-ESP du référentiel, afin que les données nécessaires aux études soient traitées dans des espaces internes cloisonnés sans exportation de données pseudonymisées hors de l’entrepôt ; le chiffrement au repos des données de l’entrepôt ; la mise en place d’une authentification multifacteur des utilisateurs et administrateurs auprès de l’intégralité des sous-traitants hébergeant des données de santé pour le compte du responsable de traitement. Il est rappelé que l’hébergeur fournissant les prestations de stockage des sauvegardes doit également être certifié pour l’hébergement de données de santé. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement devra être en mesure de démontrer la mise en œuvre des mesures de sécurité avant la mise en service de l’entrepôt. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE l’association DAT’AIDS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-013 du 18 juillet 2024 autorisant la société LOGIPREM-F à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EDS LOGIPREN ». (Demande d’autorisation n°2233577).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la responsabilité de traitement La société LOGIPREM-F est responsable du traitement autorisé. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception : de la base légale ; de la conservation de données d’identification dans la base principale de l’entrepôt. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé EDS Logipren . Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé ; l’amélioration des pratiques de soins en néonatologie et pédiatrie (description des pratiques de prescription et de nutrition et mise en place d’un processus régulier de comparaison des pratiques entre services de soins). Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311‑1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement est fondé sur l’intérêt légitime responsable du traitement. Il est licite au regard de l’article 6-1-f) du règlement général sur la protection des données (RGPD) et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44‑3° de la loi informatique et libertés modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Cet entrepôt sera alimenté par des données issues du logiciel LOGIPREN , outil d’aide à la prescription en néonatologie et en pédiatrie. Les données à caractère personnel de personnes concernées versées dans l’entrepôt sont : données administratives/ d’identification des patients : sexe, date et heure de naissance, date de décès le cas échéant ; données relatives à la prise en charge médico-administrative des patients : établissement d’hospitalisation, niveau de soins, dates d’hospitalisation (début et fin de séjour), mode de sortie, identifiant technique LOGIPREN pour la base de données ; données de santé des patients : type de grossesse (unique, jumeaux, triplés ou plus) et rang de naissance ; score clinique à la naissance (APGAR, CRIB2) ; âge gestationnel, poids, taille et périmètre crânien de naissance ; poids journalier mesuré, taille et périmètre crânien si remesurés en cours d’hospitalisation ; poids de prescription, surface corporelle, date et heure de prescription ; traitement médicamenteux ; données spécifiques aux prescriptions d’anti-infectieux ; allergies, intolérances ; bilan nutritionnel journalier ; prescription d’alimentation entérale ; prescription d’alimentation parentérale individualisée ; prescription de perfusion ; prescription de bilan, examen, surveillance. Sur les conditions de mise à disposition des jeux de données traitées Le dossier de demande d’autorisation indique que les données mises à disposition dans le cadre de l’utilisation de l’entrepôt seront : soit des données pseudonymisées auxquelles le porteur de projet accédera au sein d’un espace de travail spécifique de l’entrepôt de données de santé ; soit des données anonymisées transmises en dehors de l’entrepôt de données de santé. Le procédé d’anonymisation décrit dans le dossier ne permet pas de déterminer de manière certaine que les données exportées pourront être qualifiées d’anonymes de manière systématique. Le responsable de traitement devra documenter et justifier le caractère anonyme de chaque jeu de données divulgués en dehors de l’entrepôt de données de santé. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter de leur collecte dans le cadre des soins puis supprimées. Ce processus de suppression des données sera planifié et mis en œuvre une fois par an. Les traces seront conservées un an. Elles ne devront pas contenir de données de santé ou de secrets (mot de passe, empreinte cryptographique, etc.). Sur les accédants et les destinataires des données Seules les personnes habilitées par le responsable de traitement auront accès aux données dans le cadre de la mise en œuvre de ce traitement. Il tiendra à jour les documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Pourront également accéder aux données à caractère personnel les équipes de recherche externes au responsable de traitement ayant réalisé les formalités nécessaires auprès de la CNIL. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt EDS Logipren , ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Le point de non-conformité vis-à-vis de ces mesures de sécurité est le suivant : l’inclusion du sexe, de la date et de l’heure de naissance, de la date de décès dans la base de données principale de l’entrepôt. Cette non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Par ailleurs, certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la mise en place d’espaces de travail accessibles à des utilisateurs externes ; le chiffrement au repos des bases de données, supports de stockage et sauvegardes de l’entrepôt ; la génération de l’identifiant interne via des nombres pseudo-aléatoires cryptographiquement sûrs avant intégration dans l’entrepôt ; la génération des identifiants spécifiques aux espaces de travail via une fonction de hachage cryptographique à l’état de l’art ; la mise en place d’outils permettant la détection de comportements anormaux ; la mise en place d’une authentification multifacteur ; la conformité à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés ; la mise en place d’une authentification machine à machine conforme au référentiel entrepôt de données de santé . Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE la société LOGIPREM-F à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DT-2024-014 du 2 août 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « eDOL ». (Demande d’autorisation n° 2233463).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception : de la nature des données traitées (IRIS) ; de la conservation de données d’identification dans la base principale de l’entrepôt ; des règles encadrant l’accès et la réunion de données directement identifiantes ; de la durée de conservation des données ; des modalités d’information des professionnels de santé ; de certaines mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé ; le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ; l’amélioration de la qualité de l'information médicale ; l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information ; la gestion des recours contre tiers ; la réalisation d’études de faisabilité (pré-screening) ; la gestion des urgences sanitaires ; l’exportation de données pseudonymisées vers des registres conformes au référentiel entrepôt de données dans le domaine de la santé ou autorisés par la CNIL ; l’exportation de données pseudonymisées dans le cadre de la mise en œuvre de politique d’amélioration continue de la qualité et de la sécurité des soins et de gestion des risques par le responsable de traitement, tel que prévu à l’article L. 6111-2 du code de la santé publique. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Cet entrepôt sera alimenté par des données à caractère personnel issues des programmes de données des applicatifs de production de soins du responsable de traitement et de son applicatif de gestion administrative des patients. Les données à caractère personnel de patients versées dans l’entrepôt sont, en dehors des catégories de données visées dans le référentiel, les zones géographique IRIS. Le numéro d'inscription au répertoire national d’identification des personnes physiques Identifiant national de santé (NIR-INS) des patients sera traité afin d’alimenter l’entrepôt. Il sera conservé chiffré et pseudonymisé de façon irréversible pour alimenter l’entrepôt. Concernant les professionnels de santé n’exerçant plus au sein du Centre Hospitalier Universitaire de Montpellier, seules les informations concernant leur fonction, leur service et leur unité d’exercice seront versées dans l’entrepôt. Sur la conservation des données Les données versées dans l’entrepôt sont conservées quarante ans à compter de leur collecte dans le cadre du soin puis supprimées. Ce processus de suppression des données sera planifié et réalisé une fois par mois. Cette durée a été scientifiquement justifiée dans le dossier de demande, au regard des pathologies étudiées et des recherches envisagées ultérieurement, notamment en matière d’affections présentant une physiopathologie débutant pendant la période in utero, dès la naissance ou dans l’enfance. La durée de conservation standard des traces sur le bastion d’administration est d’un an. La zone de journalisation disposera d'une durée de rétention similaire. Il est rappelé que ces traces ne doivent pas contenir de données de santé ou de secrets (mot de passe, empreinte cryptographique, etc.). Les vidéos des sessions administrateur et utilisateur seront conservées pendant deux mois. Il est rappelé que ces vidéos peuvent contenir des données de santé et des secrets et ne pourront pas être exportées hors du périmètre de l’entrepôt. Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données uniquement : les porteurs de projets d’étude, d’évaluation ou de recherche dans le domaine de la santé ayant réalisé les formalités nécessaires auprès de la CNIL ; les personnels spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt eDOL . Des documents tenus à jour indiquent la ou les personnes compétentes pour chaque responsable de traitement pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Sur l’information des personnes S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par des communiqués de presse, sur les réseaux sociaux, ainsi que par la diffusion sur le site web du responsable de traitement d’une information comportant l’ensemble des mentions prévues par le RGPD. S’agissant des patients admis ou réadmis postérieurement à la constitution de l’entrepôt : Au moment de leurs prises de rendez-vous ou de leurs connexions à l’un des portails patients du CHU de Montpellier, les patients et, le cas échéant, leurs représentants légaux seront informés du traitement et de la possibilité de consulter une note d’information comportant l’ensemble des mentions prévues par le RGPD par le biais d’une page spécifique sur le site web du responsable de traitement. Pour chaque création de séjour, une note d’information sera envoyée automatiquement au patient, par courrier électronique. Si le patient n’a pas d’adresse électronique, un courrier papier individuel lui sera envoyé. Les supports d’information devront, en tout état de cause, mentionner explicitement, que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale. En outre, le responsable de traitement procédera à une information collective, par des communiqués de presse, sur les réseaux sociaux, ainsi que par la diffusion sur son site web, d’une information comportant l’ensemble des mentions prévues par le RGPD. S’agissant des professionnels de santé : Les professionnels de santé seront informés individuellement au moyen d’une note d’information. Cette information sera délivrée par le biais du portail ressource humaine du responsable de traitement ainsi que par le biais d’une fiche complémentaire à l’envoi du bulletin de salaire. Il sera fait exception au principe d'information individuelle des professionnels de santé n’exerçant plus au sein du Centre Hospitalier Universitaire de Montpellier. Des mesures appropriées seront mises en œuvre, notamment par des communiqués de presse, sur les réseaux sociaux, ainsi que par la diffusion sur le site web du responsable de traitement, d’une information comportant l’ensemble des mentions prévues par le RGPD. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt eDOL , ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants : L’inclusion du sexe, du mois et de l’année de naissance, de la date de décès, de la zone géographique IRIS dans la base de données principale de l’entrepôt. La réunion de données directement identifiantes des patients aux fins suivantes : l’amélioration de la qualité de l'information médicale ; l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information ; la gestion des recours contre tiers ; le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ; la réalisation d’études de faisabilité (pré-screening) permettant un retour au dossier du patient de la part les professionnels de santé l’ayant pris en charge le patient ; la gestion des urgences sanitaires ; l’exportation de données pseudonymisées en cas de demande des registres, à condition que de tels registres aient été déclarés conformes au référentiel entrepôt de données dans le domaine de la santé ou qu’ils bénéficient d’une autorisation de la CNIL montrant que les exigences sécurité du référentiel sont respectées ; l’exportation de données pseudonymisées concernant la mise en œuvre de politique d’amélioration continue de la qualité et de la sécurité des soins et une gestion des risques par le responsable de traitement, tel que prévu à l’article L. 6111-2 du code de la santé publique. Aux fins de réalisation de ces finalités, sans préjudice des procédures de réidentification décrites dans les exigences SEC-REI-1 et suivantes du référentiel entrepôt de données dans le domaine de la santé : la réidentification des patients permettant de faire le lien avec le système d’information clinique du responsable de traitement, sera réalisée grâce aux IPP et IEP des personnes concernées ; les extractions seront transmises exclusivement vers le système d’information clinique du responsable de traitement ; le dossier médical d’un patient ne pourra être consulté que par les professionnels de santé participant à sa prise en charge, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique (le cas échéant par l’équipe de soin). Ces non-conformités ont été dûment justifiées et compensées par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Par ailleurs, certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la mise en place d’espaces de travail accessibles aux utilisateurs ; le chiffrement au repos des supports de stockage et des tables de correspondance de l’entrepôt ; la génération de l’identifiant interne via une fonction de hachage cryptographique à l’état de l’art résistante aux attaques par force brute ; la génération des identifiants spécifiques aux espaces de travail via une fonction de hachage cryptographique à l’état de l’art résistant aux attaques par force brute ; la mise en place d’outils permettant la détection de comportements anormaux ; la journalisation des requêtes dans les bases de données ; la mise en place d’une authentification multifacteur ; la mise en place d’un bastion spécifique ; la migration d’une application de pilotage et de production d’indicateurs hors du périmètre de l’entrepôt. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-177 du 12 juillet 2024 autorisant L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’effet de la qualité des soins sur le coût des établissements de santé français dans la prise en charge de l’infarctus du myocarde (Demande d’autorisation n° 924091).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données des études nationales de coûts (ENC) collectées entre 2009 et 2023 par l'Agence technique de l'information sur l'hospitalisation (ATIH) (demande d’autorisation n° 1252075) seront réutilisées dans le cadre de la présente étude. Information et droits des personnes En application de l'article 14 du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de l’ATIH d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Mesures de sécurité Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du Règlement général sur la protection des données. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement reste pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durée d’accès 2 ans à compter de la mise à disposition des données. AUTORISE L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-184 du 19 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS  à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le développement d’un algorithme d’aide à la décision pour l’admission en réanimation des personnes âgées atteintes d’infection respiratoire aigüe, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2021, intitulée « Genially ». (Demande d’autorisation n° 924084)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Observations liminaires sur le déploiement de la plateforme Ouest Data Hub et la responsabilité de traitement Chaque établissement du Groupement de coopération sanitaire des Hôpitaux universitaires du Grand Ouest (GCS HUGO) a développé un entrepôt de données de santé (EDS) à partir d’une plateforme technique identique : le système eHOP ( entrepôt-Hôpital ). Le GCS HUGO s’est doté d’une plateforme technique pour le traitement des données massives en santé, dénommée plateforme Ouest Data Hub (ODH). Il est responsable de l’intégration des données sur la plateforme technique, de la pseudonymisation des données de la base projet (deuxième pseudonymisation), de la création de la base projet, de la gestion des comptes utilisateurs projet, de l’attribution des droits sur la base projet, du suivi des traces d’activité des gestionnaires HUGO et des utilisateurs sur l’espace projet. Dans le cadre du déploiement de la plateforme ODH, le CHU de Nantes : est responsable de l’hébergement des données et de l’exploitation technique de la plateforme ; met à disposition un espace projet dédié, des outils de gestion des comptes et de gestion des traces d’activité sur la plateforme ; est responsable de la gestion des comptes gestionnaires. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et, d’autre part, que le responsable de traitement souhaite traiter des données du Système national des données de santé (SNDS) mises à disposition par la CNAM. Ainsi, ce traitement devra être mis en œuvre conformément à la MR-004, à l’exception des modalités d’information des personnes concernées et de la nature des données traitées. Réutilisation des données d’une base existante Les données des entrepôts suivants seront réutilisées dans le cadre de la présente étude : l’entrepôt du Centre hospitalier universitaire d’Angers dénommé eHop Angers (demande d’autorisation n°2215237 - Décision DT-2020-003 du 24 août 2020) ; l’entrepôt du Centre hospitalier universitaire de Brest (demande d'autorisation n° 2217775) ; l’entrepôt du Centre hospitalier universitaire de Nantes dénommé eHop (demande d’autorisation n°2129203 – délibération n° 2018-295 du 19 juillet 2018) ; l’entrepôt du Centre hospitalier universitaire de Rennes, dénommé eHop Rennes (demande d’autorisation n° 2212496 - délibération n°2020-028 du 27 février 2020) ; l’entrepôt du Centre hospitalier universitaire de Tours (demande d’autorisation n° 2212853) Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2011 à 2021, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes S’agissant des professionnels de santé : Les utilisateurs de la plateforme ODH sont informés de la collecte d'informations à caractère personnel les concernant et de leurs traces d’accès lors de la remise de la charte utilisateur de la plateforme. La note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD. S’agissant des modalités d’exercice des droits des personnes : Conformément aux principes de transparence et de loyauté prévus par l’article 5 du RGPD et précisés dans les lignes directrices sur la transparence adoptées par le groupe de travail Article 29 le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD. Les personnes concernées seront informées du fait qu’elles disposeront d’un délai de trois mois pour exercer leurs droits, et notamment leur droit d’opposition, à compter de la publication de l’information relative à l’étude. Lors du gel de la base de données en vue de son analyse, les secrets de pseudonymisation seront effacés pour des raisons de sécurité. Par conséquent, les personnes souhaitant exercer leurs droits après cette étape devront fournir des informations permettant de les ré- identifier, conformément à l’article 11.2 du RGPD. Mesure de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet Genially . Un espace projet sur la solution technique de la Plateforme ODH sera dédié au projet Genially , afin de permettre la centralisation des données issues des centres de données cliniques locaux (CDC), avant leur appariement avec les données du SNDS sur le portail de la CNAM. Les utilisateurs se connecteront à la plateforme ODH à l’aide d’un certificat et d’un mot de passe ; l’authentification multifacteurs pour l’accès aux espaces projet a été mise en place. Les traces seront centralisées dans un système mis à disposition par l’hébergeur. Un mécanisme proactif de contrôle automatique des données de journalisation contribuant à la sécurité du traitement par la génération automatique d’alertes a été mis en place. Les exports de données depuis l’espace projet ne pourront être constitués que de données anonymes. À cet égard, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. Cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques. Durée d’accès/ Durées de conservation en base active et en archivage Données du SNDS : trois ans à compter de la mise à disposition des données. Autres données : trois ans en base active. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières concernant le développement et le déploiement de l’outil La phase de déploiement de l’outil devra respecter les dispositions spécifiques applicables, notamment les articles L. 4001-3 du code de la santé publique et 14 du règlement européen sur l’intelligence artificielle. Le dossier mentionne que cette étude a pour finalité le développement d’un algorithme d’aide à la décision et qu’il n’a pas pour objet de conduire au développement d’un outil de décision exclusivement automatisée. Il appartiendra au responsable de traitement de préciser les conditions de déploiement de l’outil attendues ainsi que de proposer des mesures permettant aux utilisateurs de préserver leur indépendance et de demeurer libres de leurs actes et prescriptions. Enfin, lorsque, comme c’est le cas en l’espèce, la finalité du traitement d’intelligence artificielle en phase de déploiement étant identifiée dès son développement, les risques associés au déploiement de cet outil d’aide à la décision devraient être documentés dans l’AIPD. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-188 du 22 juillet 2024 autorisant la société PERFUZE LTD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’examen des caractéristiques de performance et de sécurité du système Millipede lorsqu’il est utilisé pour la revascularisation de patients ayant subi un accident vasculaire cérébral ischémique aigu dû à une occlusion des gros vaisseaux, intitulée « MARRS ». (Demande d’autorisation n° 924134)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est IV du 9 janvier 2024 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Transferts hors Union européenne Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère américain du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Durées de conservation en base active et en archivage Base active : trois ans. Archivage : dix ans. AUTORISE la société PERFUZE LTD à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DR-2024-185 du 19 juillet 2024 autorisant la société ABBVIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la sécurité et l’efficacité de l’upadacitinib dans le traitement du vitiligo non segmentaire. (Demande d’autorisation n° 924126)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest V du 28 mars 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude est conforme à la méthodologie de référence MR-001, à l'exception de la nature des données collectées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir accéder aux données directement identifiantes. S’agissant de la réalisation d’image en 3D du visage des participants : Des images en 3D directement identifiantes du visage des participants à la recherche seront réalisées dans le cadre de cette étude. Ce traitement a été scientifiquement justifié dans le dossier de demande et le consentement éclairé et exprès des participants sera recueilli par écrit en vue de la réalisation de ces images. Certains membres du personnel du responsable de traitement spécialement habilités ainsi que l’un de ses prestataires auront accès aux images en 3D du visage des participants pour certaines finalités mentionnées dans le dossier de demande. S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des données nominatives, ainsi que des coordonnées postales, téléphoniques, électroniques est nécessaire pour assurer le suivi des participants qui en sont informés. S’agissant de la collecte de l’origine ethnique des participants : Elle a été scientifiquement justifiée dans le dossier de demande. S’agissant de l’examen des caractéristiques génétiques des participants : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés . Information et droits des personnes S’agissant des participants majeurs : Ils recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD. S’agissant des participants mineurs : Les deux titulaires de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle spécifique. Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information et un formulaire de consentement spécifiques en vue de la poursuite de leur participation à l’étude. Transferts hors Union européenne Le responsable de traitement prévoit de transférer aux Etats-Unis des données pseudonymisées et des données directement identifiantes des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données (data privacy framework ou DPF). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère étatsunien du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives ou si l’une des dérogations prévues à l’article 49 du RGPD s’applique. En l’espèce, les Etats-Unis n’offrant pas un niveau de protection adéquat et en l’absence de garanties appropriées encadrant ce transfert, le responsable de traitement envisage de recueillir le consentement explicite des personnes concernées en application des dispositions de l’article 49.1.a) du RGPD. La CNIL rappelle que cette dérogation implique que les personnes concernées aient été informées des risques qu’un tel transfert pourrait comporter pour elles en l’absence de décision d’adéquation et de garanties appropriées. Elle rappelle également que le recueil du consentement devra être conformeaux dispositions spécifiques prévues par le RGPD, éclairée par les lignes directrices 2/2018 relatives aux dérogations prévues à l’article 49 du règlement (UE) 2016/679 du Comité européen de la protection des données. En application de ces dispositions, ce consentement devra notamment être explicite, spécifique aux transferts, éclairé par une note d’information et pourra être retiré à tout moment. Le responsable de traitement prévoit par ailleurs de transférer certaines données pseudonymisées en Suisse, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat, conformément aux dispositions de l’article 45 du RGPD. Durées de conservation en base active et en archivage Les données nominatives des participants ainsi que leurs coordonnées téléphoniques, électroniques et postales seront détruites à la fin du suivi. Les images en 3D du visage des participants seront conservées cinq ans en base active puis archivées pendant vingt ans. Les échantillons biologiques seront conservés pendant vingt ans puis seront détruits. Autres données : Base active : cinq ans. Archivage : vingt-cinq ans. Réutilisation des données La constitution d’une base de données pérenne ayant vocation à permettre la réalisation de recherches, études ou évaluations ultérieurs relève, sauf en cas de recueil du consentement exprès de la personne concernée, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés applicable aux traitements de données à caractère personnel dans le domaine de la santé. Par ailleurs, dans l’hypothèse où une nouvelle étude serait réalisée à partir de données à caractère personnel issues du traitement, celle-ci devra être autorisée par la CNIL ou être mise en œuvre dans le cadre d’une déclaration de conformité à une méthodologie de référence, et accompagnée des garanties appropriées. En dehors de cette hypothèse, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition en dehors de toute formalité préalable. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que le processus d’anonymisation mis en œuvre respecte les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. AUTORISE la société ABBVIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-186 du 19 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la contribution du microbiote intestinal dans la prédiction de la survenue d’évènements cardiométaboliques, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « METACARDIS-EVOLUTION ». (Demande d’autorisation n° 924171)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et, d’autre part, que le responsable de traitement ne pourra informer individuellement l’ensemble des personnes concernées de la réalisation de la présente étude. Ainsi, ce traitement devra être mis en œuvre conformément à la MR-004, à l’exception des modalités d’information des personnes concernées et de la nature des données traitées. Réutilisation des données d’une base existante Les données de l’étude METACARDIS qui a été mise en œuvre dans la cadre d’une déclaration de conformité à la méthodologie de référence MR-001 seront réutilisées dans le cadre de la présente étude et chaînées avec les données du Système national des données de santé (SNDS) au moyen d’un appariement déterministe. Catégories particulières de données traitées (hors données de santé) Les données de l’étude METACARDIS feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données seront transmises à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2013 à 2023. Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Les participants à l’étude Metacardis recevront par voie postale une note d’information individuelle relative à la présente étude. S’agissant des personnes pour lesquelles la note d’information ne pourrait être délivrée par voie postale (mention NPAI ), en application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), le responsable de traitement prendra des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. A ce titre, une note d’information relative à la présente étude devra être rendue publique sur le site web du responsable de traitement. Ces documents comporteront l’ensemble des mentions prévues par le RGPD Durée d’accès aux données Huit ans à compter de leur mise à disposition. Transparence du traitement Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-187 du 19 juillet 2024 autorisant les LABORATOIRES THEA à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’association entre collyres hypotonisants avec ou sans conservateur, le recours à une chirurgie du glaucome, l’utilisation de substituts lacrymaux et la compliance thérapeutique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2018, intitulée « MISTRAL » (Demande d’autorisation n° 919284v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de dix-huit mois supplémentaires. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE les LABORATOIRES THEA à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT