Délibération n° 2024-061 du 18 juillet 2024 portant adoption de la recommandation relative aux applications mobiles

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu le règlement ((UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques) ; Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ; Après avoir entendu le rapport M. Bertrand du Marais, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement Formule les observations suivantes : Les applications mobiles sont l’un des principaux moyens d’accès à des contenus et des services numériques. Pour ses utilisateurs, le téléphone mobile multifonctions (ou ordiphone, "smartphone" en anglais), terminal personnel par définition, relève de la sphère privée et intime. Il est essentiel pour chacun de pouvoir contrôler les données auxquelles les applications mobiles ont accès. Pour autant, les traitements de données mis en œuvre au sein des applications peuvent être ou apparaître opaques. En particulier, les informations sur l’existence de collectes de données et sur leurs objectifs sont souvent peu claires. L’utilisateur peut avoir des difficultés à comprendre la nature des autorisations qui lui sont demandées, ce qui complique l’expression de ses choix. Enfin, les mobiles multifonctions embarquent de nombreux capteurs plus ou moins connus des utilisateurs (caméra, GPS, base de contacts, accéléromètres, etc.), qui peuvent permettre aux applications d'accéder à des données dont la collecte peut se révéler très intrusive. Les acteurs qui participent à la mise à disposition d’applications mobiles doivent s’assurer du respect de leurs obligations en matière de protection des données et des droits des utilisateurs. Ces acteurs sont nombreux : les développeurs d’applications (dont certaines peuvent s’échanger des données), les fournisseurs de systèmes d’exploitation, les gestionnaires de magasins d’applications, les éditeurs de kits de développement logiciel ("software development kits" ou SDK en anglais) liés à des réseaux sociaux ou à des fonctionnalités techniques, etc. Si les principes et obligations en matière de protection des données sont désormais bien connus des opérateurs de sites web et font l’objet de recommandations de la part de la CNIL, leur mise en œuvre dans le contexte des applications mobiles nécessite d’être précisée. Cette recommandation, qui a été soumise à consultation publique, vise à clarifier ces règles afin que les acteurs de l’écosystème mobile aient une bonne compréhension de leurs obligations et propose des éléments concrets pour s’y conformer ainsi que des bonnes pratiques. Le document est ainsi structuré : les parties 1 et 2 introduisent la recommandation et définissent son périmètre ; la partie 3 rappelle les conditions d’application de la réglementation relative à la protection des données à caractère personnel aux applications mobiles ; la partie 4 analyse la question des partages des rôles et des responsabilités des différents acteurs dans la fourniture d’une application mobile au sens du règlement général sur la protection des données (RGPD) ; les parties 5 à 9 regroupent les obligations, recommandations et bonnes pratiques ciblées pour chacune des cinq catégories d’acteurs concernées ; un glossaire établit une liste des termes techniques utilisés afin de les décrire précisément dans leur contexte. Décide : Article 1er : La recommandation figurant en annexe est adoptée. Article 2 : La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis Annexe Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : https://www.cnil.fr/sites/cnil/files/2024-09/recommandation-applications-mobiles.pdf


Délibération n° 2024-064 du 12 septembre 2024 portant approbation du code de conduite européen porté par la fédération EUCROF (European Contract Research Organisation Federation)
(Demande d’approbation n° 21000034)

La Commission nationale de l'informatique et des libertés, Saisie par la fédération EUCROF d’une demande d’approbation de son projet de code de conduite destiné aux prestataires de services en recherche clinique, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("Règlement" ou "Règlement général sur la protection des données" ou "RGPD"), notamment son article 40 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu l’avis 12/2024 du Comité européen de la protection des données relatif au code de conduite européen porté par l’EUCROF au titre des articles 63 et 64 du RGPD, adopté le 18 juin 2024 ; Après avoir entendu le rapport de Madame Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : L’article 40.5 du RGPD prévoit que les associations et autres organismes représentatifs d’un secteur d’activité qui ont l'intention d'élaborer un code de conduite soumettent leur projet à l'autorité de contrôle compétente en vertu de l'article 55 du RGPD. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code respecte le Règlement et approuve ce projet de code si elle estime qu'il offre des garanties appropriées suffisantes. L'article 40.7 du RGPD prévoit que lorsque le projet concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle saisie soumet le projet, avant approbation, au Comité européen de la protection des données (CEPD), conformément au mécanisme de "contrôle de la cohérence". Le 18 mars 2021, la CNIL a été saisie par la fédération EUCROF d’une demande d’approbation portant sur un projet de code de conduite transnational et ce conformément aux dispositions de l’article 40.5 du RGPD. Le 5 février 2024, la CNIL a soumis ce projet de code à l’avis du CEPD, qui a adopté un avis favorable relatif à ce projet le 18 juin 2024. Le code de conduite répond aux exigences prévues par l’article 40.2 du RGPD : il démontre la représentativité du porteur du code de conduite, précise le champ d’application matériel et le champ d’application géographique de celui-ci et identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. Enfin, il détaille les modalités de consultation des professionnels du secteur et développe une procédure de contrôle de la bonne application du code de conduite par les adhérents. Le code de conduite précise les modalités d’application du RGPD et prend en compte les besoins des professionnels du secteur de la recherche clinique sous contrat conformément aux dispositions de son article 40.1. Par ailleurs, il illustre et apporte des exemples concrets permettant l’application effective du RGPD par les adhérents. Enfin, il comprend de manière claire et précise l’obligation pour les professionnels adhérents de se conformer aux exigences du code de conduite qui est juridiquement contraignant. Le code de conduite comprend un mécanisme permettant à l’organisme de contrôle de mettre en œuvre ses missions de contrôle de la bonne application du code de conduite par les professionnels adhérents, conformément aux dispositions de l’article 40.4 du RGPD. L’organisme de contrôle désigné par le code de conduite fera l’objet d’un agrément par la CNIL conformément aux dispositions de l’article 41.1 du RGPD. Le code de conduite comprend une procédure permettant sa mise à jour selon les évolutions juridiques et techniques conformément aux dispositions de l’article 40.2 du RGPD. Conformément aux dispositions de l’article 40.1 du RGPD, le code de conduite contribue à sa bonne application, compte tenu de la spécificité du secteur concerné. Décide : De l’approbation du code de conduite européen pour les prestataires de services en recherche clinique porté par l’association EUCROF (European Contract Research Organisation Federation) et annexé à la présente délibération. En cas de modification du code, la CNIL, après en avoir été informée par le porteur du code, décidera si une nouvelle procédure d’approbation est nécessaire conformément aux dispositions de l’article 40.2 du RGPD. Cette décision sera publiée sur le site Légifrance. La présidente, M.-L. Denis


Décision DR-2024-163 du 4 juillet 2024 autorisant l’INTERGROUPE FRANCOPHONE DU MYELOME à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur comparabilité des centres participant à l’alimentation de la cohorte portant sur l’épidémiologie du myélome multiple (EmmY), nécessitant un accès aux données du PMSI, composante du Système national des données de santé (SNDS), pour les années 2015 à 2023.  (Demande d’autorisation n° 924179)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Utilisation de données issues du SNDS historique Composantes concernées : PMSI MCO. Années concernées : 2015 à 2023 Modalités de consultation : plateforme sécurisée du Centre d’accès sécurisé aux données (CASD). Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera également rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Deux ans à compter de la mise à disposition des données. AUTORISE l’INTERGROUPE FRANCOPHONE DU MYELOME à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-161 du 10 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE RENNES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le système de réparation percutanée de la valve tricuspide dans la prise en charge des troubles tricuspides secondaires sévères, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2020 à 2024, intitulée « TRI-FR ». (Demande d’autorisation n° 924144)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes CCP Sud-Est VI du 19 novembre 2020. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données traitées (rapprochement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste). Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc. Années concernées : 2020 à 2024. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants à l’étude ont reçu une note d’information individuelle. Durée d’accès Cinq ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE RENNES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-172 du 11 juillet 2024 autorisant l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la santé reproductive des femmes après cancer du sein, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2022, intitulée « ISIS ». (Demande d’autorisation n° 924045)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les sous-traitants Le projet fait partie des lauréats de l’appel à manifestation d’intérêt UNIBASE ouvert en 2021 par la Plateforme des données de santé (PDS). Une convention conforme à l’article 28 du Règlement général sur la protection des données (RGPD), répartissant les rôles et responsabilités de chacune des parties sera conclue entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes. Par ailleurs, la répartition des rôles et responsabilités entre le responsable de traitement et UNICANCER, concernant le contrôle qualité des données cliniques, sera formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et données du Système national des données de santé (SNDS) et des modalités d’information des personnes. Réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données issues des dossiers médicaux de patients pris en charge par quatre centres de lutte contre le cancer (CLCC) seront réutilisées dans le cadre de la présente étude. Ces données seront rapprochées des données du SNDS au moyen d’un appariement déterministe. Les données des personnes atteintes d’un cancer survenu entre 2010 et 2018 dans l’un des quatre CLCC et identifié via la base de données en cancérologie CONSORE, utilisée par les quatre établissements, seront traitées dans le cadre de cette étude. Les données des enfants des patientes incluses nés après le diagnostic de cancer du sein seront également traitées dans le cadre de cette étude. Enfin, les données d’une population issue du SNDS seront également traitées dans le cadre de cette étude (cohorte témoin). Catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du SNIIRAM, du PMSI et du CépiDc des années 2010 à 2022. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. Les données issues des dossiers médicaux feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Les centres participants à l’étude devront transférer les NIR exclusivement à la CNAM. Information et droits des personnes S’agissant des patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : Les patientes ayant reçu une note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers un portail de transparence pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude nécessitant la réutilisation de leurs données. Une note d’information relative à la présente étude sera diffusée sur ces sites web dédiés. Pour les patients de la cohorte témoin ou n’ayant pas reçu de note d’information individuelle prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web de chacun des centres participant, d’UNICANCER, ainsi que de la Plateforme des données de santé d’une information relative au projet de recherche. Sur la population associée (enfants) : Conformément aux dispositions de l’article 70 de la loi informatique et libertés , les deux titulaires de l’exercice de l’autorité parentale devront être informés individuellement de la participation de leur enfant mineur. Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD. Sur la sécurité des données et leurs modalités d’hébergement A titre liminaire, la CNIL prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude. La sécurité des données de l’espace projet dédié au projet ISIS dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet ISIS . Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet ISIS et intégrant les éléments fournis par la PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 2 février 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 2 février 2027 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Lors du transfert des données vers UNICANCER, les serveurs SFTP procèderont, dès réception des données, à leur copie sur un serveur interne du destinataire, et ce, afin de les supprimer sans délais sur les serveurs exposés. UNICANCER conservera les données cliniques en base active uniquement pour le contrôle qualité et jusqu’à leur versement dans la solution technique de la PDS. Les données seront alors archivées pendant deux ans maximum. Ces archives devront faire l'objet de mesures spécifiques impliquant un cloisonnement dans un espace de stockage dédié, des habilitations limitées à un nombre restreint de personnes et des accès exceptionnels strictement justifiés. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée d’accès aux données appariées de l’étude Les NIR, les dates de naissance complètes et le sexe seront détruits après l’appariement. Données du SNDS : quatre ans à compter de la mise à disposition des données. AUTORISE l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-166 du 9 juillet 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITÄTSKLINIKUM ESSEN et l’AARHUS UNIVERSITY HOSPITAL à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les effets à long terme des techniques contemporaines de radiothérapie externe pour le traitement de cancers diagnostiqués chez l’enfant, l’adolescent et le jeune adulte, intitulée « Cohorte d’enfants, adolescents et jeunes adultes traités par radiothérapie ». (Demande d’autorisation n° 924115).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les trois responsables de traitement, l’INSERM, l’Universitätsklinikum Essen et l’Aarhus University Hospital déterminent conjointement les finalités et les moyens du traitement. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) en vue d’un appariement ultérieur avec les données du Système national des données de santé (SNDS), commune de résidence et identifiant permanent (IPP)) et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données de l’entrepôt Pedia-RT (mis en œuvre dans le cadre d’une déclaration de conformité au référentiel relatif aux entrepôts de données dans le domaine de la santé, déclaration n °2231699) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) Le NIR devra être traité et transmis de façon séparée des données de santé et être enregistré dans une base de données distincte dans les centres investigateurs. Il devra être chiffré et des mesures de sécurité renforcées devront être mises en place, notamment pour la conservation des tables de correspondance. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra y accéder. La collecte de la commune de résidence des participants a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes S’agissant des personnes suivies : Les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des personnes n’étant plus suivies régulièrement dans un centre de traitement : En application de l'article 14 du Règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD. Durée d’accès/ Durées de conservation en base active et en archivage Les NIR des participants ne seront pas conservés après l’appariement. Faute d’appariement avant le premier janvier 2029, les NIR devront être détruits. Autres données : Base active : 20 ans Archivage : 15 ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITÄTSKLINIKUM ESSEN et l’AARHUS UNIVERSITY HOSPITAL à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-168 du 10 juillet 2024 autorisant la société BIOSENCY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de broncho-pneumopathie chronique obstructive avec la solution de télé- surveillance BORA Care , intitulée « AUSTRAAL ». (Demande d’autorisation n° 924077)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du comité de protection des personnes Ouest VI du 21 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. Sur les catégories particulières de données traitées La collecte des données nominatives (nom, prénoms), du mois et de l’année de naissance ainsi que des coordonnées (postales, électronique et téléphoniques) des personnes est nécessaire pour : assurer leur suivi du patient au cours de l’étude assurer les opérations de maintenance technique, Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes. Les participants en sont informés. Destinataires des données directement identifiantes Plusieurs sous-traitants interviendront dans le cadre de la mise en œuvre de l’étude : D’une part, une CRO analysera les données collectées par la solution de télésurveillance et soumettra aux participants des questionnaires relatifs à la qualité de vie et l’évolution de leurs symptômes ; D’autre part, des cellules de télésurveillance assureront le suivi des patients ainsi que les opérations inhérentes à l’installation, la récupération et à la maintenance technique de la solution de télésurveillance Bora Care. Les membres du personnel de la CRO de la société BIOCENSY auront accès : aux données de santé des participants afin de réaliser l’analyse des données pour les besoins de l’étude ; aux données nominatives ainsi qu’aux coordonnés téléphoniques des participants à l’étude, dans le cadre de leur suivi. Aux fins d’assurer le suivi des participants, l’installation et la récupération du matériel nécessaire au fonctionnement de la solution de télésurveillance Bora Care ainsi que le support technique, les membres du personnel de cellules de télésurveillance, intervenant en tant que sous-traitant de BIOSENSY, auront par ailleurs accès : aux données de santé ; aux données nominatives ainsi qu’aux coordonnées téléphoniques et postales des participants. Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants Sur l’information et les droits des personnes Tous les participants à l’étude recevront une note d’information individuelle comportant l’ensemble des mentions prévues par l’article 13 du RGPD. Durée de conservation en base active et en archivage Les données directement identifiantes (nom, prénom, coordonnées téléphoniques et postales) transmises aux sous-traitants seront conservées pour une durée de six mois à compter de la fin du suivi des participants puis seront détruites. Les données collectées auprès du participant en vue de la création et de la gestion de son compte utilisateur sur la plateforme Bora Care seront conservées par BIOSENCY pour une durée de six mois à compter de la fin de l’étude. Autres données : Base active : deux ans Archivage : quinze ans Sur la réutilisation des données de l’étude Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE la société BIOSENCY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-169 du 9 juillet 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique du parcours de soins en médecine générale des sujets à haut risque cardiovasculaire basée sur le dépistage de l'artériopathie oblitérante des membres inférieurs asymptomatique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2025, intitulée « DAMAGE ». (Demande d’autorisation n° 924111).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes du Sud-Ouest et Ouest Mer IV du 29 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception de la nature des données collectées (rapprochement des données cliniques avec les données du Système national des données de santé (SNDS) grâce à un appariement déterministe). Catégories particulières de données traitées (autres que données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d'identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Ces données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Le tiers de confiance devra avoir été désigné avant le début de la collecte du NIR. Ce tiers de confiance devra être indépendant juridiquement et économiquement du responsable de traitement et des sous-traitants (centres investigateurs, etc.). Enfin, le tiers de confiance ne devra pas se trouver en situation de conflit d’intérêts vis-à-vis du responsable de traitement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2022 à 2025, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Information et droits des personnes Tous les participants seront individuellement de l’appariement de leurs données. Cette note d’information devra être complétée afin de comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durée d’accès et de conservation des données en base active et en archivage Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. Données du SNDS : quatre ans à compter de la mise à disposition des données. Autres données : Base active : deux ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE LE CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-173 du 10 juillet 2024 autorisant la société GILEAD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la quantification et la caractérisation de la population à haut risque de séropositivité au virus de l’immunodéficience humaine en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « EpiPrEP ».  (Demande d’autorisation n° 924191)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Utilisation de données issues du SNDS historique Composantes et profondeurs historiques concernées : SNIIRAM et PMSI pour les années 2008 à 2023 Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Information et droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera également rendue publique sur le site web du responsable de traitement et sur celui du bureau d’études. Elle devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès aux données Trois ans à compter de la mise à disposition des données. AUTORISE la société GILEAD à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-176 du 12 juillet 2024 autorisant la FONDATION ADOLPHE DE ROTHSCHILD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité du glenzocimab pour les accidents vasculaires cérébraux ischémiques étendus éligibles à un traitement endovasculaire, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS) pour les années 2024 à 2030, intitulée « GALICE » (Demande d’autorisation n° 924164)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VII du 13 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec les données du Système national des données de santé), des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom et des coordonnées téléphoniques, est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2024 à 2030, sous réserve qu’elles soient diffusables par la CNAM Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Durée d’accès/ Durées de conservation en base active et en archivage Les données nominatives et les coordonnées téléphoniques du patient seront détruites à la fin du suivi des patients. Données du SNDS : trois ans à compter de la dernière mise à disposition des données. Autres données : Base active : quatre ans Archivage : vingt-cinq ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE la FONDATION ADOLPHE DE ROTHSCHILD à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-174 du 10 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les patients présentant des anomalies de développement et/ou un trouble du développement intellectuel, intitulée « GAnDI ». (Demande d’autorisation n° 924167)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes S’agissant des patients dont le dernier suivi est antérieur au 1er janvier 2022 : En application de l'article 14 du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. S’agissant des autres patients : Les patients majeurs ne faisant pas l’objet d’une mesure de protection recevront une note d’information individuelle. S’ils sont mineurs, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle. Dans l’hypothèse où le patient ferait l’objet d’une mesure de tutelle, son représentant légal sera également informé. Les notes d’information seront transmises par voie postale. Durée de conservation en base active et en archivage Base active : douze ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-175 du 15 juillet 2024 autorisant le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les profils allergologiques des enfants atteints d’œsophagite à éosinophiles. (Demande d’autorisation n° 924120)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Catégorie particulière de données traitées (autres que données de santé) La collecte de l’adresse postale connue au moment du diagnostic a été scientifiquement justifiée dans le dossier de demande. Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder à ces données. Information et droits des personnes S’agissant des modalités d’information : Les titulaires de l’exercice de l’autorité parentale recevront par voie postale une note d’information individuelle en vue du traitement des données de leur enfant mineur. Les mineurs participant à l’étude recevront une note d’information individuelle. S’agissant des personnes pour lesquelles la note d’information ne pourrait être délivrée par voie postale (mention NPAI ), en application de l'article 14 du règlement général sur la protection des données (RGPD), le responsable de traitement prendra des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. A ce titre, une note d’information relative à la présente étude devra être rendue publique sur le site web du responsable de traitement. Ces documents comporteront l’ensemble des mentions prévues par le RGPD. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Base active : deux ans. Archivage : cinq ans. AUTORISE le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-178 du 19 juillet 2024 autorisant la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le suivi clinique post-commercialisation de prothèses de hanche, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2031 intitulée « HYPE-SNDS ». (Demande d’autorisation n° 924165)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes et de la nature des données traitées (appariement probabiliste des données cliniques avec celles du Système national des données de santé). Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2012 à 2031 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Information et droits des personnes S’agissant des personnes dont les données seront extraites des dossiers médicaux : Elles recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des personnes dont les données seront exclusivement issues du SNDS : En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude, comportant l’ensemble des mentions prévues par le RGPD. Durée d’accès Données du SNDS : 3 ans à compter de la dernière extraction des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-179 du 26 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS, à mettre en œuvre un traitement de données ayant pour finalité une étude du génome entier de patients ayant une amylose héréditaire à transthyrétine, intitulée « GWAS-AHTTR ». (Demande d’autorisation n° 924192)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer 1 du 29 mai 2024. Conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les échantillons et les données cliniques associées recueillis dans le cadre de la prise en charge habituelle des patients pris en charge au sein du Centre hospitalier universitaire de Bicêtre seront réutilisés dans le cadre de cette étude. Catégorie particulière de données traitées (autres que données de santé) Le responsable de traitement souhaite réaliser, dans le cadre de ce projet, un examen des caractéristiques génétiques des patients à des fins de recherche scientifique à partir de reliquats d’échantillons biologiques issus de précédentes recherches conformément aux dispositions de l’article L. 1130-5 du code de la santé publique. Information des personnes A l’exception de ceux qui sont décédés, tous les patients recevront par voie postale une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant vingt ans puis détruits. Autres données : Base active : cinq ans Archivage : quinze ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche relève, sauf en cas de recueil du consentement conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et/ou des données cliniques associées devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-180 du 12 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les ondes lentes pendant le sommeil et l'éveil, intitulée « MemoAge ». (Demande d’autorisation n° 924190)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du comité de protection des personnes Ouest V du 17 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées Catégories particulières de données traitées Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ce traitement est nécessaire au suivi des participants qui en sont informés. Leur consentement en vue de la réalisation des enregistrements sera recueilli. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DT-2024-025 du 28 octobre 2024 autorisant l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé portant sur les données cliniques, biologiques et anatomopathologiques de personnes atteintes de leucémies aiguës myéloïdes, intitulé « DOREMy ». (Demande d’autorisation n° 2223717)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur le point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception des durées de conservation des données. En dehors de ce point, qui a fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel. Sur les données traitées Cet entrepôt sera alimenté par des données à caractère personnel issues de : l’étude "ALARM3" dont le responsable de traitement est l’Assistance publique – Hôpitaux de Paris (AP-HP). Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ; l’étude "MyeCHILD01" dont le responsable de traitement est l’AP-HP. Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ; l’étude "OSCARE" dont le responsable de traitement est le Centre hospitalier universitaire de Bordeaux. Cette étude a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 ; l’étude "LEA" dont le responsable de traitement est l’AP-HP (demande d’autorisation n°904547) ; l’étude "co-DOREMy" dont le responsable de traitement est l’AP-HP. Cette étude a été a été réalisée dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 ; l’étude "observatoire post-ELAM02" dont le responsable de traitement est le Centre hospitalier universitaire de Rennes (demande d’autorisation n°1923380). Sur la conservation des données Les données, dont les données directement identifiantes et les dates de naissance, sont conservées vingt ans à compter de leur versement dans l’entrepôt. Sur la sécurité des données Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par le f) du 1 de l’article 5 et de l’article 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DT-2025-026 du 13 décembre 2024 autorisant la SOCIETE RECORDATI RARE DIESEASES à mettre en œuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité QARZIBA (dinutuximab beta) 4,5 mg/ml, solution à diluer pour perfusion pour le traitement des patients âgés de douze mois et plus atteints d’un neuroblastome à haut risque. (Demande d’autorisation n°2236277).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Remarque liminaire La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement (ANSM) du 30 septembre 2024 établissant un cadre de prescription compassionnelle pour la spécialité Qarziba (dinutuximab beta) 4,5 mg/ml, solution à diluer pour perfusion dans l’indication "Traitement des patients âgés de 12 mois et plus atteints d’un neuroblastome à haut risque : en association à la chimiothérapie d’induction de type TOTEM ou TEMIRI en rechute/progression après chimiothérapie de première ligne ; en association à la chimiothérapie d’induction en seconde rechute/progression (ou plus) après chimiothérapie de type TOTEM ou TEMIRI". Points de non-conformité au référentiel concerné Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception : du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle, de la source des données ; des organismes qualifiés de sous-traitants ; des modalités d’exercice des droits ; des durées de conservation. En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par le référentiel RS-004. Finalité du traitement Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. Réutilisation des données d’une base existante Les données de l’étude "SACHA" mise en œuvre par l’Institut Gustave Roussy (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003) seront réutilisées dans le cadre du présent traitement, s’agissant uniquement des patients bénéficiant du médicament visé par la décision de l’ANSM. La société Recordati Rare Diseases n’aura accès qu’aux rapports de synthèse mentionnés à l’article R. 5121-76 du code de la santé publique (CSP), produits par l’Institut Gustave Roussy. Elle n’aura pas accès aux données traitées dans le cadre de l’étude SACHA. Sous-traitant L’Institut Gustave Roussy interviendra en qualité de sous-traitant pour la mise en œuvre de ce traitement, notamment s’agissant de l’extraction des données issues du registre SACHA et de l’analyse de ces données en vue de la production des rapports de synthèse mentionnés à l’article R. 5121-76 du CSP. Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article28 du Règlement général sur la protection des données. Information et droits des personnes Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. Il est rappelé que chacun des titulaires de l’exercice de l’autorité parentale devra recevoir une note d’information individuelle en vue du traitement des données à caractère personnel d’un patient mineur. Les droits des personnes pourront s’exercer auprès : du responsable de traitement ; du professionnel de santé ayant prescrit la spécialité ; de l’Institut Gustave Roussy. Durées de conservation Les rapports de synthèse mentionnés à l’article R. 5121-76 du CSP seront conservées pendant dix ans à compter de leur production. Autres données : Base active : pendant la durée de validité de la décision de l’ANSM Archivage : les données seront archivées en base intermédiaire jusqu’à 25 ans, à compter de : l'expiration de la décision de l'ANSM établissant le cadre de prescription compassionnelle ; la date de la décision de l'ANSM prononçant la suspension ou le retrait du cadre de prescription compassionnelle. Ces durées de conservation n’excédent pas celles nécessaires à la poursuite des finalités pour lesquelles les données sont collectées. Observations particulières Une analyse d’impact relative à la protection des données (AIPD) a été transmise à l’appui de la demande d’autorisation. Conformément à l’article 35 du RGPD, lu à la lumière des lignes directrices du Comité européen sur la protection des données, cette AIPD devra être complétée afin de tenir compte de l’intervention d’un sous-traitant et des mesures techniques et organisationnelles mises en œuvre à cet égard. AUTORISE la société recordati rare dieseases à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2025-027 du 31 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « UroCCR ». (Demande d’autorisation n°2231991)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception : des durées de conservation des données ; des mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "UroCCR". La constitution de cet entrepôt multicentrique spécifique au cancer du rein aura pour finalités : de favoriser les recherches, études ou évaluations en structurant les ressources et capacités nationales ; de créer une base de données associée à une collection d’échantillons biologiques annotée multicentrique. Sont concernés par cet entrepôt de données de santé tous les patients présentant une tumeur du rein et consultant ou ayant consulté dans un centre participant à UroCCR, à l’exception des majeurs protégés et des mineurs. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Le traitement mis en œuvre par le responsable de traitement est nécessaire à l'exécution d'une mission d'intérêt public dont il est investi. Ce traitement est licite au regard de l’article 6-1-e) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’article 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter du dernier suivi du patient puis supprimées ou anonymisées. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel "entrepôt de données dans le domaine de la santé". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . L’entrepôt comporte le point de non-conformité suivant vis-à-vis des mesures de sécurité : l’inclusion du mois de naissance, de l’année de naissance, de l’année et du sexe dans la base de données principale de l’entrepôt. Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures relatives à certaines exigences du référentiel "entrepôt de données dans le domaine de la santé", et en particulier : le cloisonnement des données directement identifiantes par rapport aux données de santé contenues dans l’entrepôt ; la génération d’un identifiant pseudonyme unique par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr ; l’hébergement des données chez un hébergeur certifié HDS en cas d’externalisation de l’hébergement. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par le responsable de traitement et qu’un bilan lui soit transmis à cette fin. Les mesures de sécurité, renforcées par ce plan d’actions, sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit néanmoins procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, dans ces conditions, le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DT-2024-028 du 31 décembre 2024 autorisant la société STANE GROUPE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n°2235659)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception : de la base légale du traitement ; de la nature des données traitées ; des mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, ayant pour finalités la réalisation de recherches, études ou évaluations dans le domaine de la santé et d’études relatives au pilotage d’établissement. Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données alimentant l’entrepôt seront issues uniquement des logiciels de gestion mentionnés dans le dossier de demande et utilisés par les professionnels du réseau STANE. Les données dont le traitement n’est pas conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" sont les identifiants locaux des professionnels de santé dans ces logiciels de gestion. La CNIL relève que le responsable de traitement s’est engagé à réévaluer régulièrement la pertinence de la collecte des données d’identification (notamment directement identifiantes) des patients et des professionnels de santé. Cette évaluation devra également tenir compte du déploiement progressif de l’INS au sein des logiciels des professionnels de santé partenaires. Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire qu’un bilan de cette évaluation lui soit transmis. Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. Sur la conservation des données Les données versées dans l’entrepôt concerneront l’ensemble des personnes ayant consulté au moins une fois un professionnel de santé du réseau STANE dans les 24 mois précédant la présente décision et ne s’étant pas opposées au traitement de leurs données à cette fin. La profondeur historique des données versées dans l’entrepôt lors de sa constitution sera de cinq ans maximum. Les données versées dans l’entrepôt seront ensuite conservées vingt ans à compter de leur collecte initiale dans le cadre des soins, puis supprimées. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "EDS STANE", ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Les point de non-conformité vis-à-vis de ces mesures de sécurité sont les suivants : l’inclusion du sexe, mois, année de naissance et zone IRIS du lieu de naissance dans la base de données principale de l’entrepôt ; la pseudonymisation des données dans une zone interne de l’entrepôt avec accès restreint et processus automatisés, comportant des mesures organisationnelles et techniques spécifiques. Ces non-conformités ont été dûment justifiées et compensées par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Par ailleurs, certaines mesures de sécurité techniques et organisationnelles sont actuellement en cours d’implémentation afin d’améliorer le niveau de sécurité vis-à-vis de risques identifiés, notamment : le hachage du matricule INS par un algorithme de hachage cryptographique à l’état de l’art comportant un sel aléatoire avant la mise en œuvre de l’entrepôt ; la mise en place d’alertes automatisées en lien avec un puit de logs ; l’évaluation des techniques de pseudonymisation envisagées (règles fixes, voire apprentissage automatique en fonction des résultats obtenus). Ces mesures devront être implémentées dans le cadre du plan d’actions communiqué par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, des mesures de sécurité. AUTORISE, dans ces conditions, la société STANE GROUPE à mettre en œuvre le traitement décrit ci-dessus pendant une durée de trois ans . Le Directeur adjoint de l’accompagnement juridique Paul HEBERT