Décision DR-2023-241 autorisant l’UNIVERSITE DE REIMS CHAMPAGNE-ARDENNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les sujets pouvant être ressentis comme gênants au cours d’une consultation de médecine générale, intitulée « Gene-MG ». (Demande d’autorisation n° 923239)


Décision DR-2023-242 autorisant l’INSTITUT NATIONAL D’ÉTUDES DEMOGRAPHIQUES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les inégalités sociales dans le risque et les conséquences des fausses couches, intitulée « SOC-MISC ». (Demande d’autorisation n°923177)


Décision DR-2023-243 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE D’ANGERS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’intérêt de la stratégie diagnostique basée sur le score 4PEPS chez les patients suspects d’embolie pulmonaire aux urgences, intitulée « SPEED&PEPS ». (Demande d’autorisation n°923258)


Décision DR-2023-244 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le retentissement des conditions de la mort liées à la crise sanitaire de la COVID-19 sur le processus de deuil dans les familles endeuillées, intitulée « COVIDAAD ». (Demande d’autorisation n° 923285)


Décision DR-2023-245 autorisant le CENTRE NATIONAL DE LA RECHERCHE SCIENTIFIQUE (UMR 7023 Laboratoire structures formelles du langage) à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une approche exploratoire des interactions gestuelles, avec leur entourage, d’adultes avec un trouble du neurodéveloppement dits « non verbaux » en contexte écologique d’exposition à la langue des signes française. (Demande d’autorisation n° 923283).


Décision DR-2023-246 autorisant l’INSTITUT PASTEUR à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de nouveaux outils de diagnostic rapides de l’histoplasmose, intitulée « EvaDiag-Histo ». (Demande d’autorisation n° 923225)


Décision DR-2023-247 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE ainsi que les AGENCES RÉGIONALES DE SANTÉ DE LA RÉUNION, DE LA GUADELOUPE, DE LA MARTINIQUE ET DE MAYOTTE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité la mise en oeuvre de l’extension de l’Enquête nationale périnatale 2021 dans les départements et régions d’Outre-mer (l a Réunion, la Guadeloupe, la Martinique et Mayotte), nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2022, intitulée « ENP-DROMs ». (Demande d’autorisation n° 920488v1)


Décision DR-2023-248 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D’ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’épidémiologie, l’analyse des complications, de la récidive ainsi que des facteurs de risques associés à la mise en place d’une valve de dérivation interne du liquide céphalorachidien pour le traitement de l’hydrocéphalie, nécessitant un accès aux données du SNIIRAM, du PMSI, du CépiDc et des données médico-sociales des maisons départementales des personnes handicapées visées par l’article L.1461-1 4° du code de la santé publique, pour les années 2009 à 2022, intitulée « HYDROCK » (Demande d’autorisation n° 922177v3)


Décision DR-2023-250 autorisant la société MERCK SHARP & DOHME CORP à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les infections à pneumocoque chez les sujets adultes à risque en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS) pour les années 2010 à 2022. (Demande d’autorisation n° 920138v3)


Décision DR-2023-249 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les prothèses vasculaires de polytétrafluoroéthylène (PTFE) héparinées vs ePTFE brut dans le traitement de l’artériopathie oblitérante des membres inférieurs (AOMI) en l'absence d'une veine autologue appropriée, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2023, intitulée « REPLACE » (Demande d’autorisation n° 918007v1).


Décision DR-2023-251 autorisant la société NUTRICIA NUTRITION CLINIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge de nourrissons atteints d’une allergie aux protéines de lait de vache suspectée ou avérée, dénommée « OLAF » (Demande d’autorisation n° 923253)


Décision DR-2023-252 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation d’une intervention musicale sur l’anxiété des patients avec un diagnostic de syndrome coronarien aigu, intitulée « MUSCA ». (Demande d’autorisation n°923179v1).


Décision DR-2023-253 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les apports d’un gant d’assistance à la préhension à domicile sur l’utilisation du membre supérieur et les facteurs d’observance chez des adultes cérébrolésés, intitulée « ECO-HAND-AVC ».  (Demande d’autorisation n° 923134).


Décision DR-2023-254 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’impact du système télématique de conseil à la prescription en antibiothérapie en Ile-de-France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2020, intitulée « Antibioclic+ ». (Demande d’autorisation n° 919178v1)


Décision DR-2023-255 autorisant la société ABBVIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’épidémiologie et la prise en charge de la maladie de Parkinson en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2022, intitulée « ASPIRE ». (Demande d’autorisation n° 923293)


Décision DR-2023-256 autorisant la société COOK RESEARCH INCORPORATED à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les patients traités avec des endoprothèses vasculaires thoraco-abdominales zenith T-branch et fenêtrée multibranche sur mesure, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2032, intitulée « ZTBranch » (Demande d’autorisation n° 921457v1).


Décision DR-2023-257 autorisant l’INSTITUT NATIONAL DU CANCER (INCa) et la société AMGEN à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le suivi longitudinal des patients atteints d’un cancer broncho-pulmonaire non à petites cellules avancé traités par sotorasib dans le cadre de l’accès précoce post-autorisation sur le marché, nécessitant un accès à certaines données du Système national des données de santé (SNDS) contenues au sein de la Plateforme de cancérologie de l’INCa, intitulée « PICASSO ». (Demande d’autorisation n° 923218)


Décision DR-2023-258 autorisant la société AIR LIQUIDE SANTE INTERNATIONAL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’association entre la durée d'utilisation du traitement par pression positive continue , la morbi-mortalité et les coûts associés chez les patients atteints d'apnée du sommeil en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « APAIR ». (Demande d’autorisation n°923168)


Décision DR-2023-261 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MARSEILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’apport d’une plateforme pluridisciplinaire permettant de réduire et de prévenir les expositions environnementales reprotoxiques chez les couples infertiles sur le taux de naissance cumulé en fécondation in vitro, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2024 à 2029, intitulée « PREVENIR-FIV ». (Demande d’autorisation n° 923238).


Décision DR-2023-260 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l'amélioration de l’accès aux soins psychiatriques et la fluidité des parcours de soins pour les patients de médecine générale souffrant de trouble mental : évaluation du dispositif de soins partagés en psychiatrie, nécessitant l’accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2023, intitulée « DSPP-PSY ». (Demande d’autorisation n° 919470v1)


Décision DR-2023-262 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’effet de l’aspirine pour la prévention de la pré-éclampsie et des complications obstétricales en cas de grossesse obtenue par procréation médicalement assistée chez la femme nullipare, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2023 à 2027, intitulée « APPART » . (Demande d’autorisation n° 922264v1).


Décision DR-2023-263 autorisant l’INSTITUT NATIONAL DU CANCER et l’UNIVERSITE AIX-MARSEILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’accès à la reconstruction mammaire après mastectomie totale pour un cancer du sein, intitulée « AREMAMA ». (Demande d’autorisation n° 923272).


Décision DR-2023-264 autorisant l’INSTITUT NATIONAL D’ÉTUDES DEMOGRAPHIQUES à mettre en oeuvre un traitement de données ayant pour finalité la mise en oeuvre d’une étude portant sur le suivi scolaire des enfants inclus dans la cohorte « ELFE » à partir des évaluations nationales de l’enseignement secondaire. (Demande d’autorisation n° 923199)


Décision DR-2023-265 autorisant la société MSD FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’hypertension artérielle pulmonaire, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « SIRIUS ». (Demande d’autorisation n° 923289)


Décision DR-2023-266 autorisant la société AMGEN SAS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation en vie réelle de l’evolocumab dans l’hypercholestérolémie en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « ROMEO ». (Demande d’autorisation n° 923302)


Décision DR-2023-267 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact d’un programme de dépistage et d’intervention précoce sur le retentissement fonctionnel de la paralysie cérébrale à deux ans chez les enfants à haut risque de paralysie cérébrale, intitulée « PRECOP ». (Demande d’autorisation n° 923298)


Décision DR-2023-268 autorisant l’INSTITUT BERGONIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation oncogériatrique standardisée avec l’aide d’outils numériques pour une prise en charge, axée sur le patient, des sujets âgés multimorbides, intitulée « FRONE ». (Demande d’autorisation n° 923207).


Décision DR-2023-269 autorisant la société ROCKET PHARMACEUTICALS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les caractéristiques cliniques, la mortalité et le fardeau économique des patients atteints d’anémie de Fanconi et des anomalies fonctionnelles des neutrophiles en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2022. (Demande d’autorisation n° 923296)


Décision DR-2023-271 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité des plateformes PREVENIR (prévention environnement reproduction) sur les marqueurs urinaires d’expositions à des substances chimiques, intitulée « PREVENIR-G ». (Demande d’autorisation n° 923264)


Décision DR-2023-270 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’incidence, la mortalité par cancer et les pratiques de dépistage chez les personnels du secteur de la santé, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2007 à 2022, intitulée « CAPESSA ». (Demande d’autorisation n° 923240)


Décision DR-2023-272 autorisant la société LNA SANTE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur un suivi longitudinal multimodal du sénior, nécessitant un accès aux données du SNIIRAM, composante du Système national des données de santé (SNDS), pour les années 2023 à 2025, intitulée « SLIMS ». (Demande d’autorisation n° 923265)


Décision DR-2023-273 autorisant l’UNIVERSITE DE TOURS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les profils psychopathologique, cognitif-émotionnel et psychosocial des mineurs placés au pénal hors centre éducatif fermé. (Demande d’autorisation n° 923222).


Décision DR-2023-275 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une stratégie de diminution progressive de la dose de dupilumab et de maintien de la réponse thérapeutique chez les adultes et les adolescents atteints de dermatite atopique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2023 à 2026, intitulée « MADULO ». (Demande d’autorisation n°923224)


Décision DR-2023-276 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la maladie de Parkinson, intitulée « NS-PARK-SelfCog ». (Demande d’autorisation n° 920435v2)


Décision DR-2023-277 autorisant LES HOPITAUX UNIVERSITAIRES DE STRASBOURG à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les marqueurs biopsychosociaux de l’addiction chez les usagers d’opioïdes, intitulée « BEBOP ». (Demande d’autorisation n° 923219)


Décision DR-2023-278 autorisant la société IQVIA OPERATIONS FRANCE SAS et un CONSORTIUM DE FABRICANTS DE DISPOSITIFS MEDICAUX à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude post-inscription portant sur le suivi exhaustif des patients porteurs de prothèses totales de hanche avec cotyle à insert double mobilité, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2023, « EPI PTH CDM » (Demande d’autorisation n° 920137v2)


Décision DR-2023-279 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’apport de l’oncogénétique dans les cancers du sein à la Réunion, intitulée « CanSeR-OGen ». (Demande d’autorisation n° 923170)


Décision DR-2023-207 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la faisabilité et l’efficacité d'un programme pilote d'activité physique sur les limitations fonctionnelles et le handicap associés au virus de l’immunodéficience humaine chez les plus de quarante ans en Côte d'Ivoire, intitulée « VIRAGE+ ». (Demande d’autorisation n° 923235)


Décision DR-2023-209 autorisant l’INSTITUT MUTUALISTE MONTSOURIS et la FONDATION SANTE DES ETUDIANTS DE FRANCE (FSEF) à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le devenir à long terme dans les suites d’une hospitalisation en psychiatrie à l’adolescence, intitulée « DEVENIR ». (Demande d’autorisation n° 920487v1)


Décision DR-2023-210 autorisant l’INSTITUT IMAGINE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur caractérisation génotype – phénotype sur les maladies génétiques à dysfonctionnements immunitaire et neurologique. (Demande d’autorisation n° 915266v1)


Décision DR-2023-211 autorisant l’UNIVERSITE DE BORDEAUX - REGISTRE DES CANCERS DE LA GIRONDE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la survie des femmes atteintes d’un cancer du sein selon la participation aux dépistages et les inégalités socio-économiques, nécessitant un accès aux données du SNIIRAM, du PMSI et du CepiDC, composantes du système national des données de santé (SNDS), pour les années 2006 à 2019. (Demande d’autorisation n° 919342v1).


Délibération n° 2023-120 du 16 novembre 2023 portant avis sur un projet de décret modifiant le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux

Date de l'avis : 16 novembre 2023 N° de la délibération : 2023-120 N° de demande d'avis : 23011786 Organisme(s) à l'origine de la saisine : ministère des affaires sociales et de la santé Texte concerné : projet de décret modifiant le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux Thématiques : dites-le-nous une fois, DLNUF, RSA, prime d'activité, lutte contre la fraude sociale, CNAF, CNAV, CCMSA Fondement de la saisine : article 8.I.4°a) de la loi n° 78-17 du 6 janvier 1978 modifiée L'essentiel : Le dispositif ressources mensuelles (DRM) vise principalement à mettre en œuvre le principe dites-le nous une fois dans le domaine de la protection sociale, tout en simplifiant les démarches des administrés. La saisine de la CNIL vise à prévoir de nouveaux cas d'usage du DRM à des fins d'appréciation des conditions d'ouverture et de maintien des droits des usagers à des aides et prestations sociales ainsi que son utilisation à des fins de détection et de lutte contre la fraude. La CNIL considère que la pérennisation du nouvel usage du DRM par la CNAV en vue d'effectuer des profilages automatisés et d'orienter les actions des contrôles à des fins de lutte contre la fraude sociale devrait être précédée d'une phase d'expérimentation, dans des conditions similaires à celles des traitements qui seront mis en place par la CNAF et par la CCMSA. Par ailleurs, elle estime qu'une attention particulière doit être accordée à la transparence autour de tels dispositifs, notamment en ce qui concerne la logique sous-jacente de leur fonctionnement et l'information individuelle des personnes concernées par les décisions prises. Elle recommande que, lors de prochaines modifications du DRM, une nouvelle mesure de transparence et de sécurité soit rajoutée au dispositif, permettant aux personnes concernées d'être informées de la consultation des données les concernant, via le portail national des droits sociaux (PNDS). La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son articles 8.I.4°a ; Vu la délibération n° 2020-120 du 3 décembre 2020 portant avis sur un projet de décret modifiant le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux ; Après avoir entendu le rapport de M. Philippe LATOMBE, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le dispositif DRM ( dispositif ressources mensuelles ) a été créé par le décret n° 2019-969 du 18 septembre 2019 et modifié à plusieurs reprises. La CNIL a déjà eu l'occasion de se prononcer sur ses évolutions. Administré par la Caisse nationale d'assurance vieillesse (CNAV), le DRM est constitué de trois traitements de données : une base de données alimentée mensuellement par les données issues de la déclaration sociale nominative (DSN), une base de données alimentée mensuellement par des données issues du flux du prélèvement à la source mis en œuvre par les collecteurs n'entrant pas dans le champ de la déclaration sociale nominative ou versant des revenus de remplacement (PASRAU) et un service de restitution. Ce dispositif centralise la quasi-totalité des données relatives aux revenus de la population connus de l'administration fiscale. Sa finalité principale est de mettre en œuvre le principe dites-le nous une fois dans le domaine de la protection sociale, en simplifiant les démarches des administrés qui n'ont plus à fournir, dans le cadre d'une démarche liée à une prestation ou une aide sociale, des informations déjà détenues par l'administration. À cette fin, le DRM met à la disposition des différents organismes gestionnaires un outil permettant d'apprécier les ressources des demandeurs et des bénéficiaires des prestations et aides sociales conditionnées par le niveau de revenus directement, sans nécessiter la production de pièces justificatives. La réalisation pratique de cet objectif s'effectue de manière progressive. Ainsi, dans un premier temps, son utilisation a été réservée aux caisses d'allocations familiales (CAF) et aux caisses de mutualité sociale agricole (CMSA), à des fins de gestion des aides au logement. Par la suite, son utilisation a été étendue à des prestations telles que l'allocation journalière de proche aidant, l'allocation journalière de présence parentale, la complémentaire santé solidaire, les pensions de réversion, les allocations chômage, les pensions d'invalidité, le cumul emploi-retraite et la garantie jeunes. B. - L'objet de la saisine Le projet de décret prévoit principalement : un élargissement de la liste des aides et allocations gérées par le DRM ; l'utilisation du DRM à des fins de contrôle et de lutte contre la fraude. II. - L'avis de la CNIL A. - L'ajout de nouvelles finalités Le projet prévoit que le DRM pourra dorénavant être utilisé à des fins de gestion d'aides et allocations nouvelles, à savoir : le revenu de solidarité active (RSA) ; la prime d'activité (PA) ; la pension d'invalidité (PI) de la sécurité sociale ; l'allocation supplémentaire d'invalidité (ASI) ; les pensions de réversion, la pension du régime général, les possibilités de cumul emploi-retraite et la gestion des droits associés ; l'allocation de solidarité aux personnes âgées (ASPA), dans certains cas ; l'appréciation de la situation des parents débiteurs de pension alimentaire ; la réalisation d'évaluations, d'études, de statistiques et de recherches nécessaires au pilotage et à l'accomplissement des missions définies à l'article L. 222-1 du code de la sécurité sociale ; l'allocation du contrat d'engagement jeune (ACEJ). S'agissant spécifiquement du RSA et de la prime d'activité, la CNIL a déjà eu à se prononcer sur l'utilisation des données figurant dans le DRM à des fins d'appréciation des conditions d'attribution et de maintien de ces aides (CNIL, délibération n° 2020-120 du 3 décembre 2020). A cet égard, la CNIL estime que l'utilisation du DRM à des fins d'appréciation des conditions d'attribution et du maintien de différentes allocations et prestations sociales constitue une finalité légitime. Il en va de même pour les finalités en lien avec la gestion des prestations de retraite et des pensions alimentaires. B. - La finalité spécifique de lutte contre la fraude Le traitement mis en œuvre à des fins de contrôle et de lutte contre la fraude consiste à utiliser l'ensemble des données disponibles pour calculer, au moyen d'un algorithme fondé notamment sur l'historique des fraudes, un taux de risque de fraude ou d'erreur pour chaque dossier. La lutte contre la fraude ou la détection des erreurs involontaires constitue une finalité légitime pour le responsable de traitement, a fortiori lorsqu'il s'agit de contrôler la juste distribution des allocations et prestations sociales qui constitue une politique publique importante, et qui implique des sommes d'argent considérables. Cependant, la CNIL alerte le gouvernement sur la très grande prudence avec laquelle ces algorithmes doivent être conçus et utilisés, eu égard aux risques qu'ils présentent et aux biais dont ils peuvent faire l'objet. Les exemples internationaux récents (notamment l'exemple de l'algorithme déployé aux Pays-Bas pour détecter des situations de fraude à certaines prestations sociales, ayant abouti à des milliers de décisions individuelles biaisées aux conséquences dramatiques et ayant conduit le gouvernement néerlandais à démissionner en janvier 2021) ont montré que la trop grande confiance accordée par une administration dans un algorithme de détection de la fraude, sans précautions et contrôles humains suffisants, pouvait conduire à des décisions injustes et avoir des conséquences graves pour les personnes. Ces risques, notamment de discrimination, sont régulièrement rappelés par le Défenseur des droits (v. notamment le rapport Algorithmes : prévenir l'automatisation des discriminations du 2020). La CNIL estime donc, en l'état de ces technologies, que de tels algorithmes doivent être conçus avec soin, accompagnés de garanties fortes, ne pas conduire à des décisions automatiques et être assortis d'un système de recours efficace en cas d'erreur. S'agissant de la conception, la CNIL recommande notamment que de tels algorithmes fassent l'objet d'une phase d'expérimentation. S'agissant des garanties à apporter et du caractère non automatique des décisions, dans le respect du RGPD et de la loi du 6 janvier 1978, le ministère a prévu qu'après que l'algorithme aura identifié des dossiers à risque, seule une liste pseudonymisée de dossiers dépassant un certain seuil, avec leurs caractéristiques sera transmise aux services locaux. Cette liste n'engendrera donc pas automatiquement des contrôles sur les dossiers visés ni à plus forte raison l'arrêt ou la suspension des prestations, mais permettra uniquement d'orienter le programme des contrôles à mener, après examen des dossiers. La CNIL estime également qu'une attention particulière doit être accordée à la transparence autour de tels dispositifs, notamment en ce qui concerne la logique sous-jacente de leur fonctionnement et l'information individuelle des personnes concernées par les décisions prises. Enfin, elle souligne le caractère essentiel de la mise en œuvre de voies de recours efficaces et faciles d'accès permettant aux usagers de contester les décisions prises à leur égard. L'ensemble de cette réflexion doit être menée dès le stade de conception de ces outils, et implique la réalisation d'analyses d'impact relatives à la protection des données (AIPD) au sens de l'article 35 du RGPD dont l'objectif essentiel est d'identifier et de limiter les risques que la mise en place de tels traitements peut créer pour les droits et libertés des personnes concernées. - Outil de lutte contre la fraude de la CNAF et de la CCMSA : Le projet de décret prévoit que le DRM pourra dorénavant être utilisé par la Caisse nationale des allocations familiales (CNAF) et par la Caisse centrale de la mutualité sociale agricole (CCMSA) pour améliorer la méthode de profilage des allocataires visant à identifier les situations justifiant la mise en œuvre prioritaire d'un contrôle . Le ministère a indiqué qu'il s'agit d'une adaptation d'un algorithme de profilage existant autorisé par la CNIL (CNIL, délibération n° 2010-086 du 25 mars 2010), et qui fonctionne actuellement sur des ensembles de données moins complets que ceux présents dans le DRM. Selon les éléments fournis par le ministère, l'application de ce traitement aux données contenues dans le DRM sera effectuée par un nombre très limité (moins d'une dizaine) de personnes astreintes au secret professionnel. Le traitement aura pour résultat de calculer des taux de risque de fraude ou d'erreur par dossier, et de créer une liste des dossiers dépassant un certain seuil de probabilité et de gravité. Ces listes seront pseudonymisées et transmises aux différentes CAF et CMSA compétentes afin qu'elles puissent orienter le programme des contrôles à mener. Cette nouvelle utilisation du DRM fera l'objet d'une expérimentation limitée dans le temps, jusqu'à la fin de l'année 2024. En effet, il s'agit d'une phase de test qui vise à évaluer le gain de productivité du dispositif. Ainsi, dans l'hypothèse où ce gain serait avéré et documenté dans un rapport circonstancié et chiffré, une pérennisation du dispositif pourra être envisagée, moyennant une nouvelle modification du décret DRM après avis de la CNIL. Ces dispositions n'appellent pas d'autres observations de la part de la CNIL. - Outil de lutte contre la fraude de la CNAV : Le projet de décret prévoit par ailleurs que les données figurant dans le DRM pourront être utilisées par la CNAV pour des missions de contrôle et de lutte contre la fraude, prévues à l'article L. 114-9 du code de la sécurité sociale . Contrairement aux nouveaux usages du DRM par la CNAF et la CCMSA, le projet ne prévoit aucune phase d'expérimentation par la CNAV dans le déploiement de du traitement de profilage. Le ministère a indiqué que cette différence s'explique par la spécificité des typologies des fraudes et des situations à risque, qui présentent des différences importantes entre les deux secteurs (prestations sociales et prestations de retraite). La CNIL observe que contrairement à l'outil de détection des situations à risque utilisé par la CNAF et par la CCMSA, le dispositif correspondant mis en place par la CNAV n'a pas fait l'objet de formalités préalables auprès d'elle, même anciennes. Elle estime que la réalisation d'une phase d'expérimentation, limitée dans le temps, constituerait une garantie importante pour la mise en place du dispositif : elle permettrait ainsi de quantifier et documenter les gains de productivité et les limites éventuels de cette nouvelle méthode, ainsi que les potentiels risques qu'elle pourrait engendrer. Dans ces conditions, la CNIL estime que l'utilisation du DRM par la CNAV à des fins de lutte contre la fraude devrait faire l'objet des mêmes garanties que l'utilisation du DRM par la CNAF et la CCMSA à des fins d'amélioration de la méthode de profilage des allocataires visant à identifier les situations justifiant la mise en œuvre prioritaire d'un contrôle . Sur ce point, la CNIL prend acte de l'engagement du ministère de modifier le projet de décret afin de supprimer les alinéas e de l'article 1er et 5° des articles 2 et 3 du projet de décret. Il s'engage dès lors à prévoir expressément une phase de test pour la CNAV comprenant une évaluation documentée. C. - Sur le droit d'opposition Le projet de décret prévoit que le droit d'opposition ne s'applique pas au traitement DRM, sauf dans deux situations : pour le traitement des données des personnes ne bénéficiant ni ne souhaitant bénéficier des droits et prestations pour le calcul desquels le DRM peut être utilisé ; pour la finalité d'information des assurés sociaux, au travers du portail numérique des droits sociaux (PNDS), sur les montants de leurs rémunérations déclarés par leurs employeurs et, le cas échéant, utilisés par les organismes de protection sociale pour le calcul de leurs droits. S'agissant du droit d'opposition, ces dispositions n'appellent pas d'observations de la part de la CNIL. D. - Sur l'information des personnes Le décret prévoit que les personnes concernées par le traitement sont informées de l'existence de ce traitement, de ses caractéristiques et des droits qu'elles peuvent exercer en application des dispositions prévues par les articles 13 et 14 du règlement général sur la protection des données susvisé . S'agissant de la finalité spécifique de la lutte contre la fraude, la CNIL admet que l'information de la personne dont les données sont traitées peut, dans certains cas, nuire à la finalité du traitement qui est de détecter et redresser des cas de fraude. Elle estime cependant nécessaire de conjuguer information des personnes et efficacité de la lutte contre la fraude. A cette fin, elle recommande que l'information soit faite a minima en deux temps distincts, à savoir : dans un premier temps, une information générale de l'ensemble des personnes concernées sur la possibilité d'utilisation éventuelle de leurs données à des fins de lutte contre la fraude ; dans un second temps, une information plus spécifique des personnes effectivement contrôlées, dès lors que cette information n'est plus susceptible de nuire à l'efficacité du contrôle, c'est-à-dire au plus tard lorsqu'il est procédé, en application des droits de la défense, à un échange contradictoire avec la personne soupçonnée de fraude. E. - Sur la sécurité des données Le projet de décret n'a pas pour objet de préciser les mesures de sécurité qui doivent être mises en place en vue d'assurer l'intégrité, la confidentialité et la disponibilité des données traitées dans le cadre du DRM. Pour autant et étant donné le volume exceptionnellement important des données traitées, lesquelles concernent la quasi-totalité de la population percevant des revenus d'activité ou des allocations et prestations sociales, associée au caractère relativement sensible de certaines de ces données, la CNIL est très attentive aux conditions de sécurité mises en place dans le cadre de ce dispositif. En particulier, la CNIL estime qu'une vigilance particulière doit être accordée au risque de détournement des finalités du dispositif, susceptible d'être matérialisé si des utilisateurs habilités accèdent aux données pour des fins autres que celles qu'autorisent leurs fonctions. A cet égard, elle rappelle que, lors de l'examen du projet initial du décret n° 2019-969 du 18 septembre 2019, elle a reçu des assurances verbales du ministère quant à la mise en place de garanties spécifiques ayant un double objectif d'information des personnes concernées sur l'existence du traitement de leurs données, d'une part, ainsi que celui de meilleure détection des consultations effectuées en détournement des finalités du DRM, d'autre part. En particulier, les services du ministère ont notamment indiqué que le PNDS sera utilisé de manière à permettre à toute personne dont les données sont traitées dans le cadre du DRM de connaître, grâce à un espace dédié dans son espace personnel sur ce portail, si ses données ont ou non fait l'objet d'une consultation. Si tel était le cas, l'usager pourrait également savoir à quel moment et de quelle manière (via un fichier d'appel ou par une consultation de son profil seul) s'est produite cette consultation. La CNIL estime qu'une telle garantie, complémentaire du droit d'accès aux données prévu par le RGPD, serait de nature à faciliter la détection des anomalies éventuelles des consultations en raison de son caractère immédiat, et qui ne nécessite pas de réaliser de démarches particulières. Il résulte des échanges qui ont eu lieu entre la CNIL et le ministère dans le cadre de la présente saisine qu'à l'heure actuelle, cette mesure de transparence et de sécurité n'a pas été mise en place. Sans constituer un point bloquant au regard des nombreuses autres garanties organisationnelles et techniques dont a été entouré le traitement DRM, ce point constitue un axe de vigilance important pour la CNIL. A cet égard, la CNIL prend acte de l'engagement du ministère d'inclure dans la feuille de route des modifications du DRM à venir la réalisation d'un tel dispositif de traçabilité mis à disposition des personnes concernées. Ce dispositif pourrait mettre à disposition les éléments suivants : l'existence d'une consultation des données, le destinataire y ayant procédé, les données consultées ainsi que la finalité de cette consultation. Enfin, la CNIL étudiera l'opportunité de procéder à un contrôle de fonctionnement du DRM en vue d'évaluer le niveau des risques ainsi que la suffisance des mesures de sécurité mises en place pour limiter ces derniers. La présidente, M.-L. Denis


Délibération n° HABS-2024-001 du 25 janvier 2024 habilitant des agents de la Commission nationale de l'informatique et des libertés à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi n° 78-17 du 6 janvier 1978 modifiée

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ; Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement ; Décide : Article 1 Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée : Mme Rose-Marie ABEL. Mme Sophie BRIET. Mme Madeleine CAZETTES DE SAINT LEGER. Mme Virginie CLAUDE-LOONIS. Mme Audrey DANEL. Mme Rosine DOLBEC. M. Lionel FERREIRA. Mme Marie GAILLARDON. M. Rodolphe GÉNISSEL. M. Julien GRANDILLON. Mme Sarah GUILLOU. Mme Marion JABOT. M. Jérémie KOUZMINE. Mme Morgane LE HIR. Mme Isabelle MANTZ. Mme Clothilde MAULIN. Mme Oriane MAURICE. Mme Nina MCEVOY. Mme Lauren SERAN. Article 2 La délibération n° HABS-2023-004 du 9 novembre 2023 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération n° 2024-014 du 7 mars 2024 portant avis sur un projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Logiciel de rédaction spécialisé du judiciaire » (LRSDJ)

Date de l'avis : 7 mars 2024 N° de la délibération : n° 2024-014 N° de demande d'avis : 23016958 Organisme(s) à l'origine de la saisine : ministère de l'intérieur Textes concernés : projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction spécialisé du judiciaire (LRSDJ) Thématiques : enquêtes de police judiciaire, rédaction des procédures, procès-verbaux des actes judiciaires Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : 1. Le logiciel de rédaction spécialisé du judiciaire (LRSDJ) est mis en œuvre à des fins de transmission de procédures non classifiées ni spécialisées à l'autorité judiciaire, en vue de l'enquête et de la poursuite d'infractions visées au code pénal. Ses finalités sont précises et légitimes et relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ). 2. Le LRSDJ enregistre des données sensibles, à l'exception des données génétiques et biométriques. La CNIL recommande de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ et notamment dans les champs libres, afin d'éviter tout détournement de finalités. 3. Le projet de décret prévoit une durée de conservation de cinq ans. Cette durée est proportionnée à la spécificité du champ infractionnel concerné et à la nécessité de suivi des procédures. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le Logiciel de rédaction spécialisé du judiciaire (ci-après LRSDJ ) est un outil d'aide à la rédaction des procédures par les agents chargés de missions de police judiciaire au sein de la Direction générale de la sécurité intérieure (DGSI). Il permet aux enquêteurs de renseigner toutes les informations nécessaires pour générer les procès-verbaux des actes judiciaires qu'ils sont habilités à réaliser dans le cadre de leurs attributions (par exemple, procès-verbal de placement en garde à vue, de perquisition, de réquisition). Le traitement permet de réduire les risques d'erreurs inhérents à la gestion de certaines procédures complexes et contraignantes (par exemple, les mesures privatives de liberté), ainsi que d'homogénéiser la forme des procès-verbaux. Compte tenu du besoin de confidentialité et de la sensibilité particulière attachée aux procédures judiciaires qu'elle met en œuvre (terrorisme, atteintes aux intérêts fondamentaux de la Nation), la DGSI a développé son propre outil. Le nombre de procédures annuelles ainsi rédigées est estimé à deux cents. B. - L'objet de la saisine Le ministère de l'intérieur a saisi la Commission nationale de l'informatique et des libertés (ci-après la CNIL ), sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), d'un projet de décret portant autorisation du traitement LRSDJ. Le projet de décret reprend la structure des actes d'autorisation des précédents logiciels de rédaction de procédure et prévoit notamment : - la liste des catégories de données à caractère personnel et informations pouvant être enregistrées dans le traitement et notamment de données sensibles ; - la durée de conservation de cinq ans des données à caractère personnel et informations collectées dans le traitement à compter de la date de transmission de la procédure à l'autorité judiciaire. II. - L'avis de la CNIL A. - Sur le régime juridique applicable et les finalités du traitement Le traitement LRSDJ a pour finalités de : faciliter et assurer la clarté et l'homogénéité de la rédaction, par les agents de la DGSI chargés de missions de police judiciaire, des actes de procédure dans le cadre des procédures judiciaires qui leur sont confiées ; permettre la collecte des informations issues de ces procédures, en vue de leur transmission aux autorités judiciaires chargées de les exploiter. Il ressort de l'analyse d'impact relative à la protection des données (AIPD) que les procédures rédigées par le service judiciaire de la DGSI ont un champ infractionnel restreint. Elles portent sur des faits susceptibles d'être qualifiés de délits ou de crimes au titre des dispositions suivantes du code pénal (CP) : les infractions portant atteinte aux intérêts fondamentaux de la Nation visées au titre II du livre IV du CP (trahison, sabotage, espionnage et enquêtes cyber) ; les infractions relatives au terrorisme visées au titre III du même livre du CP ; les infractions relatives aux atteintes aux systèmes de traitement automatisés des données visées aux articles 323-1 à 323-8 du CP ; l'ensemble des infractions de droit commun du CP lorsque les personnes mises en cause sont des agents de la direction. Le ministère précise que le traitement LRSDJ se limite aux procédures déclenchées sur saisine exclusive de l'autorité judiciaire. Il n'a pas vocation à être utilisé dans le cadre de la rédaction des procédures administratives ou d'enquêtes de renseignement. En outre, cet outil opérationnel ne permet pas l'archivage des procès-verbaux. Il constitue seulement une aide à la rédaction des procès-verbaux des actes d'enquêtes, notamment pour les actes les plus coercitifs, au formalisme exigeant. Il résulte de ce qui précède que le LRSDJ, en ce qu'il permet exclusivement la rédaction de procédures non classifiées et spécialisées, poursuit des objectifs opérationnels aux contours délimités. La CNIL estime que les finalités sont précises et légitimes. Le traitement LRSDJ est mis en œuvre à des fins de transmission des procédures aux magistrats de l'ordre judiciaire, en vue de l'enquête et de la poursuite d'infractions visées au code pénal. Dès lors, les finalités poursuivies relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ). B. - Sur les catégories de données traitées 1. Sur le suivi d'activité La mise en œuvre du traitement LRSDJ permet également le suivi de l'activité du service judiciaire de la DGSI. Il peut être requêté aux fins de déterminer le nombre de gardes à vue ou d'auditions réalisées au cours d'une période de référence, la durée des gardes à vue, ainsi que la répartition géographique par entité de la DGSI. Il ressort de l'AIPD que cet outil de suivi de gestion statistique : ne contient aucune donnée à caractère personnel ; et ne peut pas être utilisé pour prendre des décisions à l'égard des personnes faisant l'objet de ces procédures. La CNIL prend acte de ce que le suivi d'activité du service ne peut être réalisé que sur la base de données agrégées ne permettant pas la réidentification les personnes concernées. 2. Concernant la domiciliation à la DGSI et la distinction entre les données des différentes catégories de personnes L'annexe au projet de décret liste les données à caractère personnel pouvant être enregistrées dans le traitement selon la distinction entre les différentes catégories de personnes (victimes, mis en cause, témoins ou plaignants et personnes morales). Concernant les personnes victimes, mises en cause, témoins ou plaignants, l'annexe prévoit, dans certaines hypothèses, la collecte de la domiciliation à la direction générale de la sécurité intérieure sur autorisation du procureur de la République ou du juge d'instruction dans les conditions prévues par l'article 706-57 du code de procédure pénale . Le ministère a précisé que cette information concerne le dispositif d'anonymisation que peut demander un témoin ou une victime susceptibles d'apporter des éléments de preuve intéressant la procédure. Il ne s'applique qu'aux personnes à l'encontre desquelles il n'existe aucune raison plausible de soupçonner qu'elles ont commis ou tenté de commettre une infraction. La CNIL prend acte de ce qu'une distinction des données susceptibles d'être collectées selon le statut de la personne concernée sera opérée. Elle relève que la référence à l'article 706-57 du CPP permet de clarifier la notion de domiciliation à la DGSI. Le périmètre de cette collecte, limité aux victimes et aux témoins, est ainsi délimité conformément à l'article 98 de la loi informatique et libertés . 3. Concernant la collecte de données sensibles Le traitement LRSDJ peut enregistrer des données sensibles, à l'exception des données génétiques et biométriques. La CNIL rappelle que conformément à l'article 88 de la loi informatique et libertés , le traitement de telles données n'est possible qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée . Le ministère a indiqué que le recours à des champs formatés ou à des menus déroulants sera privilégié. La présence de champs libres demeure toutefois, dans certains cas, nécessaire en raison de l'impossibilité de prévoir les informations recherchées au cas d'espèce dans le cadre des investigations judiciaires. Concernant les champs libres, la CNIL invite le ministère à prendre des mesures pour s'assurer que seules les données pertinentes et nécessaires au regard des finalités seront collectées (par exemple, formation des agents avec point de sensibilisation spécifique, contrôle hiérarchique, information spécifique relative à la manière de renseigner ces champs, doctrine d'emploi). Elle prend acte de la garantie selon laquelle aucune requête permettant d'interroger les données figurant dans ces champs libres n'est possible. Néanmoins, la CNIL recommande plus largement de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ afin d'éviter tout détournement de finalités. L'annexe au projet de décret prévoit notamment la collecte par champs libres des informations relatives aux éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire . C'est une catégorie susceptible de recouvrir une grande variété de données à caractère personnel. Elles sont issues des auditions des personnes concernées, des constatations sur les lieux d'infraction et faisant suite aux diverses investigations des enquêteurs. La collecte de cette catégorie de données est légitime malgré sa formulation imprécise. En effet, la CNIL rappelle qu'elle est consciente de la difficulté particulière qui s'attache à l'énumération de tous les types de données à caractère personnel pouvant être traitées dans le cadre d'un logiciel devant permettre la rédaction d'actes relatifs aux faits les plus divers, en lien avec l'ensemble des procédures auxquelles participe le service judiciaire de la DGSI (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). S'agissant de la catégorie de données relative au signalement et, le cas échéant, mode opératoire, signes physiques particuliers et objectifs , un menu déroulant est déployé comme cela est décrit dans l'AIPD. La collecte de photographies est également prévue par l'annexe au projet de décret concernant : la personne mise en cause : elle permet d'alimenter la procédure afin de renseigner sur les caractéristiques physiques et les signes particuliers de la personne. Les photographies peuvent également se révéler nécessaires dans le cadre d'infractions d'atteintes aux personnes (violences) ou aux biens (par exemple pour le procès-verbal de perquisition) ; ou pour la personne victime : la collecte est limitée aux seules hypothèses d'atteintes aux personnes (par exemple, en cas de violences volontaires, des photographies de la victime peuvent constituer un élément de preuve). La CNIL prend acte de ce qu'aucun dispositif de reconnaissance faciale n'est appliqué dans l'outil. C. - Sur les durées de conservation des données Les données à caractère personnel et les informations enregistrées dans le traitement sont conservées cinq ans à compter de la date de transmission de la procédure à l'autorité judiciaire (clôture initiale). Le ministère indique que la majorité des procédures traitées par le service sont des procédures criminelles avec instruction préparatoire obligatoire aux délais échelonnés, notamment pour les infractions de terrorisme. Il justifie ainsi cette durée de conservation par la nécessité de : reprendre l'enquête en cas de faits nouveaux découverts par les enquêteurs ; ou procéder à des investigations complémentaires commandées par l'autorité judiciaire. Au regard du nombre d'accédants (200) et d'enquêtes annuelles ouvertes dans le service judiciaire de la DGSI, le ministère estime qu'un système d'archivage intermédiaire n'est pas nécessaire. Les droits d'accès sont distribués par les chefs hiérarchiques en fonction de l'attribution des enquêtes. Cette durée de cinq ans est proportionnée à la spécificité du champ infractionnel concerné par les procédures traitées par le service judiciaire de la DGSI et à la nécessité de leur suivi. La CNIL prend acte de ce qu'un dispositif d'effacement automatique à échéance quotidienne des données à caractère personnel sera mis en œuvre à l'expiration des durées réglementaires prévues. Ce dispositif sera effectif dès la publication du décret et doit garantir le respect des durées de conservation. D. - Sur les rapprochements avec d'autres traitements Pour les besoins d'investigation, les enquêteurs peuvent être amenés à effectuer des rapprochements manuels avec d'autres traitements. Des consultations ou des comparaisons peuvent être effectuées (sur un ou plusieurs traitements, y compris ceux relevant d'administrations tierces voire d'entreprises privées). Dans ce cadre, seuls les éléments utiles à l'enquête ou à la régularité de la procédure sont intégrés manuellement dans LRSDJ. Dès lors, le traitement LRSDJ : ne fait pas l'objet d'une alimentation automatisée par d'autres fichiers (en dehors des codes numériques issus de la nomenclature des natures d'infractions (NATINF) par injection manuelle) ; et n'alimente de manière automatique aucun autre fichier. Au regard de la diversité des enquêtes judiciaires et des besoins d'investigation, le ministère indique qu'il est difficile de déterminer de manière exhaustive la liste des traitements qui pourront être consultés par les enquêteurs. Seuls les fichiers susceptibles d'être le plus fréquemment consultés, au regard notamment de la nature des infractions traitées par le service judiciaire de la DGSI, sont listés dans l'AIPD. La CNIL rappelle que l'AIPD devra lister de manière aussi exhaustive que possible les mises en relation, telles qu'elles sont connues et envisagées à la date de rédaction de l'analyse, en précisant leurs conditions de mise en œuvre (finalités, nature des données transmises, nécessité, conditions de transmission, sécurité des opérations, etc.). Ces rapprochements ne pourront être réalisés que si de telles opérations sont conformes au regard des finalités de ces traitements et seulement par les agents habilités à les consulter. Elle appelle tout particulièrement l'attention du ministère sur la nécessité de vérifier que l'ensemble des mises en relation qu'il envisage est conforme aux dispositions réglementaires régissant les autres traitements, et plus largement, celles en matière de protection des données à caractère personnel. Elle estime qu'à défaut, il ne pourra être procédé à certaines des mises en relation indiquées dans l'AIPD, sauf à modifier préalablement les actes réglementaires en cause (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). A cet égard, elle relève que l'article 7 du projet de décret modifie l'article R. 53-19 du CPP afin de permettre une mise en relation entre le traitement LRSDJ et le fichier national automatisé des empreintes génétiques (ci-après FNAEG ). E. - Sur l'information des personnes L'article 6 du projet de décret prévoit que, conformément à l'article 111 de la loi informatique et libertés , pour les personnes dont les données figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l'objet d'un traitement lors d'une procédure pénale, l'accès aux données et les conditions de leur rectification ou de leur effacement sont régis par les dispositions du code de procédure pénale. Une information générale des personnes concernées est prévue et sera publiée sur le site web interieur.gouv.fr ou celui de la DGSI. Par ailleurs, la CNIL prend acte de ce que pour les agents de la DGSI, dont les numéros d'anonymisation figurent dans le traitement, un bandeau d'information est mis en œuvre directement dans l'application LRSDJ. Celui-ci délivre les informations relatives au traitement de leurs données et précise les modalités d'exercice de leurs droits. F. - Sur les mesures de sécurité Sur les mesures de chiffrement, la CNIL considère que la nature des données traitées exige que celles-ci fassent l'objet de mesures de chiffrement à l'état de l'art, tant des flux que des données stockées, et ce durant tout le cycle de vie de la donnée. Elle prend acte de ce que la mise en œuvre d'une solution de chiffrement d'une zone intra-cloud est actuellement en cours d'étude de faisabilité. Sur les mesures de contrôle d'accès, elle prend acte de ce que le LRSDJ est accessible soit via le Réseau interministériel de l'Etat soit via un VPN et que cet accès est, dans tous les cas, soumis à l'utilisation d'une carte agent, combinée avec un code PIN individuel. Sur les mesures de journalisation des accès, une solution d'extraction et de transfert des logs aux services d'inspections internes de la DGSI est en cours de construction. À terme, il est prévu une mise à disposition de l'ensemble des opérations effectuées, telles que la consultation, la modification, la suppression de pièces de procédures et la génération de procès-verbaux. Si elle ne remet pas en cause cette possibilité, la CNIL rappelle toutefois l'utilité de prévoir des mesures d'analyse automatique des données de traçabilité afin de garantir la détection rapide d'éventuels détournements du traitement. Enfin, elle relève que le ministère a fixé la durée de conservation des données de journalisation à trois ans. Cette durée est justifiée par la nécessité de vérifier la légalité de l'utilisation du fichier, dans le cadre d'enquêtes disciplinaires ou judiciaires, ou dans le cadre des procédures de contrôle interne. La CNIL prend acte de ce qu'une autorisation provisoire d'emploi, assortie d'un plan d'actions en vue de l'homologation, a été accordée jusqu'en juillet 2024 par l'autorité qualifiée en sécurité des systèmes d'information du ministère. Elle recommande au ministère de déployer les efforts nécessaires à la mise en œuvre du plan d'action permettant de réunir les conditions nécessaires pour une homologation. Elle rappelle enfin que les exigences de sécurité prévues à l'article 99 de la loi informatique et libertés nécessitent la mise à jour régulière de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques. La présidente, M.-L. Denis


Décision DR-2024-170 du 9 juillet 2024 autorisant les SOCIETES MEMBRES DU CONSORTIUM VALPORATE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la caractérisation des troubles neurodéveloppementaux chez les enfants exposés in utero au valproate et/ou aux autres antiépileptiques avec un suivi à long terme, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) pour les années 2009 à 2021, intitulée « AVALON » (Demande d’autorisation n° 924007v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur la mise à jour de la liste des sociétés composant les membres du consortium VALPORATE. Le consortium est désormais composé des sociétés suivantes : ARISTO PHARMA GMBH ; ARROW GENERIQUES ; BETAPHARM ARZNEIMITTEL GMBH ; CONSILIENT HEALTH LTD ; CRESCENT PHARMA LTD ; DESITIN ARZNEIMITTEL GMBH ; GENERIS FARMACEUTICA S.A. ; G.L. PHARMA GMBH ; SANOZ/HEXAL AG ; LUPIN HEALTHCARE (UK) LTD ; NEURAXPHARM ARZNEIMITTEL GMBH ; ORION CORPORATION ; SANOFI WINTHROP INDUSTRIE; STADA ARZNEIMITTEL AG ; TECNIFAR S.A ; TEVA PHARMACEUTICALS EUROPE B.V. ; VIATRIS HEALTHCARE ; WOCKHARDT UK LIMITED La note d’information collective, diffusée sur le site internet de chacun des membres du consortium sera mise à jour en conséquence. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE les sociétés susmentionnées à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-157 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les pratiques communicationnelles dans les consultations d’infirmières en pratique avancée en oncologie, dénommée « CAPTAIN ». (Demande d’autorisation n° 924066)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Point de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les données de l’étude, réponses aux questionnaires et enregistrements vidéo pseudonymisés seront conservés pendant 15 ans puis détruits. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-143 du 13 juin 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les facteurs favorisant le recours tardif aux soins et l’expérience des patientes diagnostiquées à un stade avancé de cancer du col de l’utérus, intitulée « COLRUN ». (Demande d’autorisation n° 924061).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, ainsi que des coordonnées (postales et téléphoniques) est nécessaire pour contacter les participantes afin de leur adresser la note d’information. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devront pouvoir accéder aux données directement identifiantes. La collecte de l’adresse postale complète des participantes est également nécessaire afin : de calculer la durée du trajet domicile-centre de soins ; d’affecter à chaque domicile un numéro IRIS ; de prendre en compte les spécificités de la topographie de l’île. Enfin, des enregistrements audios permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participantes pour la réalisation des enregistrements sera recueilli. Information et droits des personnes Toutes les participantes recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Une note d’information sera également diffusée dans les centres participants et sur le site web du responsable de traitement. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et postales) seront détruites à la fin du suivi des participantes ou après la réalisation de l’entretien, le cas échéant. Les enregistrements audios seront détruits après leur retranscription. Autres données : Base active : quatre ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-144 du 14 juin 2024 autorisant la société ROCHE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la prise en charge en pratique de routine des patients atteints de dégénérescence maculaire liée à l'âge sous sa forme néovasculaire et d'œdème maculaire diabétique, traités par anti-VEGF en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2019 (Demande d’autorisation n° 921301v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires. AUTORISE, la société ROCHE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-148 du 19 juin 2024 autorisant L’INSTITUT GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique d’un programme personnalisé de perte de poids chez les patients en surpoids ou obèses suivis pour un cancer du sein, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2023, intitulée « MEDEA - SNDS ». (Demande d’autorisation n° 924133).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception de la nature des données traitées. Réutilisation des données d’une base existante Les données de l’étude MEDEA (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc. Années concernées : 2018 à 2023, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Pour les patients dont les données de l’étude MEDEA seront appariées avec les données du SNDS : Tous les patients ont reçu une note d’information individuelle dans le cadre de l’étude MEDEA les informant de l’appariement de leurs données avec le SNDS. Pour les patients dont les données du SNDS seront traitées exclusivement : En application de l'article 14 du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche. L’ensemble des notes d’information devra comporter l’ensemble des mentions prévues par le RGPD. Durées d’accès Quatre ans à compter de la mise à disposition des données. AUTORISE L’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-145 du 17 juin 2024 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la surveillance épidémiologique de la santé des personnes sans emplois en France, intitulée « ESSE » (Demande d’autorisation n° 924102)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsable de traitement Agence Nationale de Santé Publique – Santé publique France Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données de l’échantillon démographique permanent Santé EDP-Santé (demande d’autorisation n° 918335) collectées entre 2008 et 2021 et mis en œuvre par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES), sous réserve qu’elles soient diffusables par le Centre d’accès sécurisé aux données (CASD), seront réutilisées dans le cadre de cette étude. Utilisation de données issues du SNDS historique Modalités de consultation : CASD. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de la DREES d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Six ans et six mois à compter de la mise à disposition des données par le CASD. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-146 du 18 juin 2024 autorisant la MAISON DE SANTE PLURIPROFESSIONNELLE UNIVERSITAIRE PINS-JUSTARET à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’association entre offre de soins primaires et morbi-mortalité populationnelle en France à l’échelle des territoires de vie, nécessitant un accès aux données du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2004 à 2023, intitulée « M-OSP ». (Demande d’autorisation n°924098).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Point de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. Réutilisation des données d’une base existante Les données de la base de données publique Cartosanté seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Composantes concernées : PMSI et CépiDc. Années concernées : 2004 à 2023, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information comportant l’ensemble des mentions prévues par le RGPD sera rendue publique sur le site web du responsable de traitement. Durée d’accès Trois ans à compter de la mise à disposition des données. AUTORISE la MAISON DE SANTE PLURIPROFESSIONNELLE UNIVERSITAIRE PINS-JUSTARET à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-147 du 20 juin 2024 autorisant l’HÔPITAL UNIVERSITAIRE DE BÂLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la précision du diagnostic du spin sinusoïdal sans contraste CT à détecteur plat (FDCT) pour la détection des lésions intracrâniennes hémorragie chez les patients victimes d'un AVC. (Demande d’autorisation n° 924109)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud Est III du 21 novembre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes S’agissant des modalités d’information des patients en état de recevoir l’information : Les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. S’agissant des modalités d’information en cas d’inclusion en situation d’urgence : Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Transferts hors de l’Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE, l’H ÔPITAL UNIVERSITAIRE DE B ÂLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-149 du 19 juin 2024 autorisant l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la radiothérapie de contact par rayons x pour la préservation de l’organe dans les adénocarcinomes du rectum, intitulée « TRESOR ». (Demande d’autorisation n°923305).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes CPP SUD EST II du 29 octobre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. Destinataires des données directement identifiantes Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie. Les personnes concernées en seront préalablement informées. Information des personnes Tous les participants recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données. Mesures de sécurité La solution technique permettant le contrôle des consentements électronique à distance consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents de consentements (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur. Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’ envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée . La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé. Le dépôt des documents de consentement numérisés sur la plateforme est réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur les recommandations de l’Agence européenne du médicament sur les essais décentralisés dans les essais cliniques et sur le règlement eIDAS. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement sont uniquement consultables en ligne, la solution met en œuvre une visualisation web en propre afin d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché d’étude clinique. Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation. Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Les données nominatives et la date de naissance complète des patients seront conservées six jours puis détruites. Autres données : Base active : sept ans Archivage : vingt-cinq ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD