Délibération n° HAB-2024-002 du 4 avril 2024 habilitant des agents de la Commission nationale de l'informatique et des libertés à procéder à des missions de vérification

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g), 10, 11 et 19 ; Après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement , Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 : M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Mehdi ARFAOUI, sociologue du numérique au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation ; M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jean BAUDRILLARD, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics ; M. Corentin BEAUFILS, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Najma BICHARA, juriste au service des affaires européennes et internationales ; M. Martin BIÉRI, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation ; M. Thomas BIZET, chef du service des relations avec les publics à la direction des relations avec les publics ; Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Renaud BOITOUZET, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sandrine BONTROND, juriste au service des relations avec les publics à la direction des relations avec les publics ; Mme Cécile BOSSER, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Céline BRÉZILLON, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Sophie BRIET, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Vincent BRINGER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Solenn BRUNET, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Clément BUNEL, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Madeleine CAZETTES DE SAINT LÉGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Régis CHATELLIER, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation ; Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle COHEN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Tess D'ARMAGNAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Audrey DANEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Justine DEBOTÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Grégoire DELETTE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Amélie DELEUZE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Florent DELLA VALLE, chef de service au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Xavier DELPORTE, directeur des relations avec les publics ; Mme Caroline DEROUET, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Rosine DOLBEC, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ; M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Louis DUTHEILLET DE LAMOTHE, secrétaire général ; Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales ; Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ; Mme Marie GAILLARDON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Linda GAMIETTE, juriste au service des relations avec les publics à la direction des relations avec les publics : M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Antoine GAUME, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Rodolphe GÉNISSEL, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sophie GENVRESSE, cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Laurène GOIRAND, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sandra GREBER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Nourhane HADDAD, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Manel HOUD, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sonia HUDELA, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Marion JABOT, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Alexis JACQUEMARD, chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ; M. Hugo JAUFFRET, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ; M. Julien JEDRZEJCZAK, chargé d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Karin KIEFER, directrice de la protection des droits et des sanctions ; M. Anton KISYELYOV, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jérémie KOUZMINE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Névine LAHLOU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Victor LARGER, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Sébastien LASTRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Aurélien LE BRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Alexis LEAUTIER, ingénieur intelligence artificielle au service de l'intelligence artificielle à la direction des technologies et de l'innovation ; Mme Delphine LEGOHEREL, directrice adjointe de la protection des droits et des sanctions ; Mme Morgane LE HIR, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Emmanuel LEROUX, juriste au service des affaires européennes et internationales ; Mme Noémie LICHON, directrice adjointe de la protection des droits et des sanctions ; Mme Marie-Françoise MAINDRON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Delphine MARGULIS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Astrid MARIAUX, cheffe de service des contrôles à la direction de la protection des droits et des sanctions ; M. Tony MARTIN, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Clothilde MAULIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Oriane MAURICE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Nina MC EVOY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Lynda MEKKI, ingénieure cybersécurité spécialisée en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Mathias MOULIN, secrétaire général adjoint ; Mme Anaëlle MORIN, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Sophie NERBONNE, directrice chargée de co-régulation économique ; Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Bertrand PAILHÈS, directeur des technologies et de l'innovation ; Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Romain PIALAT, ingénieur recherche & développement au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation ; M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Laetitia RACINE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Délia RAHAL-LOFSKOG, chargée de mission au service des affaires européennes et internationales ; M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Albane RICHET, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Anne-Charlotte ROUGELIN, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; Mme Claudine SANLAVILLE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Hugo SENAYA, juriste conseil au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Lauren SÉRAN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Abdoulaye TALL, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Ahlem TAMOUZA, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Vincent TOUBIANA, chef du service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation ; Mme Rokia TRAORE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Félicien VALLET, chef du service de l'intelligence artificielle à la direction des technologies et de l'innovation ; M. Marco VERMEIL, chargé de mission sensibilisation aux droits à la direction des relations avec les publics ; Mme Mathilde VIDALOT, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Christophe VIVENT, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics à la direction des relations avec les publics ; Mme Aminata VOYEL, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Liens relatifs Article 2 La délibération n° HAB-2024-001 du 8 février 2024 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Décision DR-2024-162 du 4 juillet 2024 autorisant l’INSTITUT NATIONAL DU CANCER et LA SOCIÉTÉ MSD FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les délais et les coûts des parcours diagnostiques du cancer du poumon primitif, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2019, contenues dans la Plateforme des données en cancérologie, intitulée « LUCIEN ». (Demande d’autorisation n° 924141)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les deux responsables de traitement, l’Institut national du cancer (INCa) et la société MSD France déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (rapprochement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Des données issues de la Plateforme des données en cancérologie autorisée par la CNIL (délibération n°2023-040) seront réutilisées dans le cadre de la présente étude et plus précisément : les données issues du SNDS (SNIIRAM et PMSI des années 2013 à 2019) ; les données issues des dossiers communicant en cancérologie (comptes-rendus de génétique moléculaire et fiches de concertation pluridisciplinaires des années 2013 à 2019). Utilisation de données issues du SNDS historique Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui La société MSD France n’aura pas accès aux données individuelles du SNDS. Information et droits des personnes En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Ces mesures appropriées consisteront dans la diffusion d’une information relative au projet de recherche sur les sites web des responsables conjoints de traitement de l’étude. Mesures de sécurité Les données seront hébergées au sein de la Plateforme de cancérologie de l’INCa. Au vu de l’acceptation des risques résiduels par le responsable de traitement dans sa décision d’homologation datant du 3 avril 2023, le traitement paraît conforme aux exigences prévues par les articles 5-1-f et 32 du RGPD, ainsi qu’au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 3 avril 2026 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Durées de conservation en base active et en archivage Trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’institut national du cancer et la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-164 du 4 juillet 2024 autorisant LE CENTRE REGIONAL DE COORDINATION DU DEPISTAGE DES CANCERS DU GRAND-EST ET LE CENTRE INTERNATIONAL DE RECHERCHE SUR LE CANCER à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du dépistage du cancer du col utérin par auto-prélèvement proposé à l’invitation, intitulée « MIRABELLE ». (Demande d’autorisation n° 924114)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les deux responsables de traitement, le centre régional de coordination du dépistage des cancers (CRCDC) du Grand-Est et le centre international de recherche sur le cancer (CIRC-OMS), déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données de la base du CRCDC du Grand-Est seront réutilisées dans le cadre de la présente étude. Information et droits des personnes Tous les participants recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. Une note d’information collective sera également publiée sur le site web du CIRC-OMS. Durées de conservation des données. Base active : cinq ans. AUTORISE LE CENTRE REGIONAL DE COORDINATION DU DEPISTAGE DES CANCERS DU GRAND-EST ET LE CENTRE INTERNATIONAL DE RECHERCHE SUR LE CANCER à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-165 du 4 juillet 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la recherche de facteurs de gravité lors de la prise en charge initiale et du suivi de l’évolution du syndrome du bébé secoué. (Demande d’autorisation n° 924087).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude et par voie d’affichage au sein des centres participants d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : deux ans Archivage : quinze ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE les HOSPICES CIVILS DE LYON à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-168 du 11 juillet 2024 autorisant la société BIOSENCY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de broncho-pneumopathie chronique obstructive avec la solution de télé- surveillance BORA Care , intitulée « AUSTRAAL ». (Demande d’autorisation n° 924077)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du comité de protection des personnes Ouest VI du 21 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. Sur les catégories particulières de données traitées La collecte des données nominatives (nom, prénoms), du mois et de l’année de naissance ainsi que des coordonnées (postales, électronique et téléphoniques) des personnes est nécessaire pour : assurer leur suivi du patient au cours de l’étude assurer les opérations de maintenance technique, Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes. Les participants en sont informés. Destinataires des données directement identifiantes Plusieurs sous-traitants interviendront dans le cadre de la mise en œuvre de l’étude : D’une part, une CRO analysera les données collectées par la solution de télésurveillance et soumettra aux participants des questionnaires relatifs à la qualité de vie et l’évolution de leurs symptômes ; D’autre part, des cellules de télésurveillance assureront le suivi des patients ainsi que les opérations inhérentes à l’installation, la récupération et à la maintenance technique de la solution de télésurveillance Bora Care. Les membres du personnel de la CRO de la société BIOCENSY auront accès : aux données de santé des participants afin de réaliser l’analyse des données pour les besoins de l’étude ; aux données nominatives ainsi qu’aux coordonnés téléphoniques des participants à l’étude, dans le cadre de leur suivi. Aux fins d’assurer le suivi des participants, l’installation et la récupération du matériel nécessaire au fonctionnement de la solution de télésurveillance Bora Care ainsi que le support technique, les membres du personnel de cellules de télésurveillance, intervenant en tant que sous-traitant de BIOSENSY, auront par ailleurs accès : aux données de santé ; aux données nominatives ainsi qu’aux coordonnées téléphoniques et postales des participants. Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants Sur l’information et les droits des personnes Tous les participants à l’étude recevront une note d’information individuelle comportant l’ensemble des mentions prévues par l’article 13 du RGPD. Durée de conservation en base active et en archivage Les données directement identifiantes (nom, prénom, coordonnées téléphoniques et postales) transmises aux sous-traitants seront conservées pour une durée de six mois à compter de la fin du suivi des participants puis seront détruites. Les données collectées auprès du participant en vue de la création et de la gestion de son compte utilisateur sur la plateforme Bora Care seront conservées par BIOSENCY pour une durée de six mois à compter de la fin de l’étude. Autres données : Base active : deux ans Archivage : quinze ans Sur la réutilisation des données de l’étude Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE la société BIOSENCY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-175 du 15 juillet 2024 autorisant le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les profils allergologiques des enfants atteints d’œsophagite à éosinophiles. (Demande d’autorisation n° 924120)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Catégorie particulière de données traitées (autres que données de santé) La collecte de l’adresse postale connue au moment du diagnostic a été scientifiquement justifiée dans le dossier de demande. Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder à ces données. Information et droits des personnes S’agissant des modalités d’information : Les titulaires de l’exercice de l’autorité parentale recevront par voie postale une note d’information individuelle en vue du traitement des données de leur enfant mineur. Les mineurs participant à l’étude recevront une note d’information individuelle. S’agissant des personnes pour lesquelles la note d’information ne pourrait être délivrée par voie postale (mention NPAI ), en application de l'article 14 du règlement général sur la protection des données (RGPD), le responsable de traitement prendra des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. A ce titre, une note d’information relative à la présente étude devra être rendue publique sur le site web du responsable de traitement. Ces documents comporteront l’ensemble des mentions prévues par le RGPD. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Base active : deux ans. Archivage : cinq ans. AUTORISE le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-177 du 12 juillet 2024 autorisant L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’effet de la qualité des soins sur le coût des établissements de santé français dans la prise en charge de l’infarctus du myocarde (Demande d’autorisation n° 924091).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données des études nationales de coûts (ENC) collectées entre 2009 et 2023 par l'Agence technique de l'information sur l'hospitalisation (ATIH) (demande d’autorisation n° 1252075) seront réutilisées dans le cadre de la présente étude. Information et droits des personnes En application de l'article 14 du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de l’ATIH d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Mesures de sécurité Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du Règlement général sur la protection des données. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement reste pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durée d’accès 2 ans à compter de la mise à disposition des données. AUTORISE L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-152 du 24 juin 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’épidémiologie des infections virales respiratoires de l’enfant de moins d’un an aux urgences pédiatriques suite à l’émergence du Covid-19. (Demande d’autorisation n°924093)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR004, à l'exception de la nature des données traitées et de la réalisation d’un appariement entre les données déjà existantes d’un même individu issues de plusieurs centres participants (dossiers médicaux). Catégorie(s) particulière(s) de données traitées (autres que données de santé) La collecte de la date de naissance complète est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude comportant l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : deux ans Archivage : trois ans. Les dates de naissance complètes des participants ne seront pas conservées après l’appariement. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-157 du 27 juin 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les pratiques communicationnelles dans les consultations d’infirmières en pratique avancée en oncologie, dénommée « CAPTAIN ». (Demande d’autorisation n° 924066)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023. Point de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les données de l’étude, réponses aux questionnaires et enregistrements vidéo pseudonymisés seront conservés pendant 15 ans puis détruits. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD