Délibération n° 2024-033 du 25 avril 2024 portant avis sur un projet de décret portant autorisation d'un traitement de données à caractère personnel relatif aux étrangers sollicitant la délivrance d'un visa dénommé France-Visas

N° de demande d'avis : 23015742. Thématiques : visas, données biométriques, fichiers de police. Organisme(s) à l'origine de la saisine : ministère de l'intérieur. Fondement de la saisine : article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. L'essentiel : Le traitement France-Visas a pour finalité principale de permettre l'instruction des demandes de visas. Le projet de décret s'inscrit dans la perspective d'une refonte de ce traitement, engagée depuis plusieurs années. Il précise les finalités du traitement, les catégories de données pouvant être enregistrées, les durées de conservation, ou encore les accédants et destinataires. La CNIL accueille favorablement ces évolutions et souligne que les échanges avec le ministère ont conduit à préciser certaines caractéristiques du traitement. Néanmoins, elle émet des observations sur : l'articulation entre France-Visas et d'autres traitements relatifs aux visas, s'agissant notamment de l'enregistrement, dans ces traitements, de données biométriques ; le traitement de certaines catégories de données, enregistrées dans France-Visas, qui seront issues d'autres fichiers. Par ailleurs, elle formule des recommandations sur les modalités d'information des personnes concernées par le traitement de leurs données et sur les mesures de sécurité. _______________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 32 ; Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Mis en œuvre par le ministère de l'intérieur et le ministère de l'Europe et des affaires étrangères, le traitement France-Visas a pour finalité principale de permettre l'instruction des demandes de visas. Il a été créé initialement par un arrêté du 26 septembre 2017 pour remplacer progressivement le traitement dénommé réseau mondial visas 2 (RMV 2), qui permet la collecte des données nécessaires à cette instruction. La CNIL a déjà eu l'occasion de se prononcer sur ce projet d'évolution (CNIL, SP, 18 mai 2017, avis sur projet d'arrêté, France-Visas, n° 2017-151, publié). D'autres traitements relatifs aux visas sont, en parallèle, mis en œuvre. A cet égard, le traitement VISABIO permet la centralisation et le stockage des données biométriques de tous les demandeurs de visas ainsi que le contrôle des visas aux frontières extérieures et sur le territoire national (v. les art. R. 142-1 et s. du code de l'entrée et du séjour des étrangers et du droit d'asile ou CESEDA ). Par ailleurs, le système européen d'information sur les visas (VIS) permet de centraliser et de faciliter le partage d'informations relatives aux demandes de visas de court séjour déposées auprès des consulats des pays membres de l'espace Schengen. Les dispositions encadrant le VIS ont été récemment modifiées pour renforcer la sécurité et la procédure de délivrance des visas de court séjour, inclure les visas de long séjour et les titres de séjour dans le système, et permettre l'interopérabilité entre le VIS et les autres systèmes d'information européens. Selon les précisions apportées, le déploiement opérationnel de la nouvelle version du VIS est prévu pour 2026. B. - L'objet de la saisine Le ministère de l'intérieur a saisi la CNIL d'un projet de décret portant autorisation d'un traitement de données à caractère personnel relatif aux étrangers sollicitant la délivrance d'un visa, dénommé France-Visas. L'article 32 de la loi informatique et libertés prévoit en effet que les traitements de données à caractère personnel comportant des données biométriques doivent être autorisés par décret en Conseil d'Etat pris après avis de la CNIL. Ce projet s'inscrit dans une perspective de refonte de France-Visas. En effet, le traitement projeté vise à remplacer le traitement RMV 2 encadré par l'arrêté du 22 août 2001 ainsi que le traitement France-Visas autorisé par l'arrêté du 27 septembre 2017. Le projet de décret prévoit des finalités similaires à celles du traitement France-Visas actuellement mis en œuvre. Il reprend, par ailleurs, la plupart des accédants et destinataires prévus par les textes encadrant RMV 2 et France-Visas. Néanmoins, il introduit la possibilité d'enregistrer dans France-Visas les empreintes digitales des demandeurs ainsi que des données issues de plusieurs autres fichiers. II. - L'avis de la CNIL A. - Sur les finalités de France-Visas France-Visas a pour finalités : d'instruire les demandes de visas, en procédant notamment à l'échange d'informations, d'une part, avec les autorités nationales, d'autre part, avec les autorités des Etats mettant en œuvre l'acquis de Schengen ; d'améliorer les conditions de délivrance des visas au moyen, d'une part, d'un portail internet et d'un téléservice destinés à informer les demandeurs et à leur permettre de présenter des demandes de visa en ligne et, d'autre part, pour les entreprises et institutions habilitées, d'un espace de dépôt d'invitation en faveur de leurs partenaires étrangers soumis à l'obligation de visa ; dans le cadre de l'instruction des demandes de visas, de lutter contre l'entrée et le séjour irréguliers des étrangers en France, en prévenant les fraudes documentaires, les usurpations d'identité et les détournements de procédure. Ces finalités reprennent, en grande partie, celles du traitement actuellement mis en œuvre. La CNIL souligne cependant que le fait d'améliorer les conditions de délivrance des visas par l'informatisation du service (deuxième finalité prévue par le décret) ne constitue pas une finalité du traitement des données mais plutôt une description des moyens mis en œuvre pour ce traitement. Elle invite donc le ministère à ne pas présenter cela comme une finalité mais comme une caractéristique du traitement. S'agissant de la finalité relative à l'instruction des demandes de visas et aux échanges d'informations afférents, le projet de décret supprime la mention des visas de court séjour et la précision selon laquelle les échanges d'informations sont réalisés au moyen du VIS . Selon les précisions apportées, ces échanges pourront être réalisés tant au moyen du VIS que d'autres systèmes d'information européens (système d'entrée/de sortie ou EES , système d'information Schengen ou SIS , ou encore modules européens d'interopérabilité). S'agissant de l'EES, la CNIL prend acte de ce que les échanges d'informations seront opérés au moyen de l'interconnexion entre le VIS et l'EES, dans les conditions prévues par les règlements encadrant ces traitements. Elle regrette, néanmoins, de ne pas disposer d'informations supplémentaires sur les échanges réalisés au moyen d'autres systèmes européens, et notamment des futurs modules d'interopérabilité. B. - Sur l'articulation de France-Visas avec d'autres traitements relatifs aux visas France-Visas s'articulera avec les traitements VISABIO et VIS (v. supra, §§3-5) selon les modalités suivantes : les données traitées dans France-Visas seront versées soit dans le VIS, soit dans VISABIO, selon la catégorie de visa (le VIS ne contenant, pour l'instant, que les données relatives aux visas de court séjour) ; au niveau national, France-Visas a vocation à couvrir l'instruction des demandes de visas, tandis que VISABIO permettra le stockage des données relatives aux visas ; VISABIO est également utilisé dans le cadre, par exemple, des contrôles et vérifications effectués par les services de la police et de la gendarmerie nationales. En premier lieu, il ressort des textes encadrant respectivement France-Visas et VISABIO que ces deux traitements poursuivent en partie les mêmes finalités, dans la mesure où l'une des finalités de VISABIO est de permettre l'instruction des demandes de visas. La CNIL prend acte de ce que VISABIO participe à l'instruction des demandes de visas dans la mesure où il est interrogé, à partir de France-Visas, pour vérifier l'existence d'antécédents de visas (long-séjour ou outre-mer) et de données biométriques qui auraient été préalablement collectées. En second lieu, la collecte et le stockage de données biométriques sont réalisés par l'intermédiaire de VISABIO. En parallèle, le projet de décret prévoit l'enregistrement des empreintes digitales des demandeurs dans France-Visas, ce qui n'était pas le cas précédemment (v. CNIL, SP, 18 mai 2017, avis sur projet d'arrêté, France-Visas, n° 2017-151, publié). Selon les précisions apportées, les empreintes digitales seront enregistrées dans France-Visas aux seules fins de l'instruction des demandes, pour une durée limitée (un mois), soit jusqu'à leur enregistrement pérenne dans le VIS ou VISABIO. En ce sens, les empreintes digitales ne seraient pas enregistrées, de façon concomitante, dans France-Visas et d'autres fichiers. La CNIL rappelle toutefois que le traitement de données biométriques dans VISABIO entraine déjà de forts risques du point de vue de la protection des données à caractère personnel en cas de violation de données, car ces données ne sont pas modifiables. Dès lors, elle invite le ministère à réfléchir à une architecture informatique qui permette d'éviter le traitement des empreintes digitales des demandeurs de visas dans plusieurs fichiers. C. - Sur le traitement de données issues des consultations sécuritaires Le projet de décret autorise le traitement de données relatives aux consultations sécuritaires qui sont opérées dans le cadre de l'instruction des demandes de visas. Ces données sont issues de la consultation du fichier des personnes recherchées (FPR) et du système d'information Schengen (SIS). Elles recouvrent également le sens de l'avis qui aurait le cas échéant été émis par la direction générale de la sécurité intérieure (DGSI) ainsi que des données relatives à l'avis consolidé du bureau de l'instruction des demandes de la sous-direction des visas. Une interrogation directe du FPR et du SIS permettra aux personnels habilités d'avoir accès à des données complètes et à jour, ce que la CNIL accueille favorablement (en ce sens, v. CNIL, SP, 18 mai 2017, avis sur projet d'arrêté, France-Visas, n° 2017-151, publié). Elle conduira, néanmoins, à enregistrer dans France-Visas des données issues de ces fichiers. Ainsi, le projet de décret prévoit l'enregistrement de l'indication de l'enregistrement ou non de la personne dans ces fichiers et des documents de voyage en sa possession. En cas d'enregistrement de la personne dans le FPR ou de suspicion d'enregistrement dans le SIS, plusieurs données pourront être versées dans France-Visas. a) Données inscrites en cas de suspicion d'enregistrement dans le SIS Selon les précisions apportées, la suspicion d'enregistrement mentionnée par le décret renvoie au hit obtenu après consultation du SIS, c'est à dire à l'existence dans ce fichier de données totalement ou partiellement identiques à celles communiquées par le demandeur de visa. D'une part, la CNIL invite le ministère à employer un critère différent de celui de la suspicion d'enregistrement dans le SIS, pour utiliser une notion plus objective. Elle souligne qu'une telle suspicion devra nécessairement être établie à la suite d'une interrogation du SIS à partir des données alphanumériques du demandeur de visa, au regard des résultats de cette consultation. En tout état de cause, et en vue de garantir l'exactitude des données, les informations afférentes devront être clairement distinguées des données pour lesquelles il n'existe aucun doute qu'elles correspondent au demandeur (par le biais d'un marquage spécifique, par exemple). D'autre part, l'information relative à une possible inscription dans le SIS devra être conservée pour la seule durée nécessaire à l'instruction de la demande de visa. b) Conservation des données issues des consultations sécuritaires Les données issues des consultations sécuritaires seront conservées pendant une durée maximale de cinquante jours, par dérogation au principe de conservation des données pendant cinq ans prévue pour les autres données de France-Visas. Seule la référence au résultat positif de la consultation (identifiant du signalement) sera conservée pendant cinq ans. La CNIL observe que certaines durées de conservation des données ont, au cours de l'instruction du dossier, été réduites. A cet égard, une durée de conservation maximale de cinquante jours apparait pertinente et nécessaire aux finalités du traitement, dans la mesure où elle s'aligne sur les délais d'instruction des demandes de visas. En revanche, la CNIL s'interroge sur la nécessité, pour atteindre les finalités du traitement, de conserver pendant cinq ans l'information de la présence du demandeur dans le FPR ou le SIS, alors qu'entre-temps la fiche correspondant à cette personne dans ces fichiers aura pu disparaître. D. - Sur les destinataires des données du traitement Le projet de décret prévoit, parmi les destinataires des données du traitement, les opérateurs de protection sociale dans le cadre de la lutte contre la fraude ainsi que certains services du ministère de l'intérieur et du ministère des armées. A titre liminaire, la CNIL rappelle qu'un destinataire est la personne qui reçoit ou accède aux données pour une autre finalité que la finalité du traitement, et qui peut les traiter ensuite pour son propre compte. Les finalités du traitement de destination doivent, toutefois, être compatibles avec celles du traitement dont les données sont issues (en ce sens, v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). En l'espèce, le ministère précise que la transmission de données aux opérateurs de protection sociale : s'inscrit dans le cadre des échanges d'informations prévus par l'article L. 114-11 du code de la sécurité sociale ; permettra aux opérateurs de protection sociale de s'assurer qu'une personne demandant le bénéfice de l'aide médicale d'Etat (AME) ne dispose pas d'un visa et, ainsi, remplit les critères d'attribution de l'AME. Néanmoins, les organismes de sécurité sociale peuvent déjà consulter VISABIO pour vérifier les conditions de prise en charge au titre de l'AME (à ce propos, v. CNIL, SP, 19 mars 2020, avis sur projet de décret, VISABIO, n° 2020-035, publié). La CNIL invite le ministère à garantir que les données de France-Visas ne pourront être transmises aux opérateurs de protection sociale que dans la seule hypothèse où VISABIO ne couvrirait pas l'ensemble des demandes de visas. Il conviendra, le cas échéant, d'adapter les dispositions encadrant VISABIO, dans la mesure où elles semblent couvrir tout type de visa, y compris les visas de court séjour. Le projet de décret prévoit également la transmission des données à certains services du ministère de l'intérieur et des armées à raison de leurs attributions. La CNIL invite le ministère à préciser davantage pour quelles finalités les données sont transmises à ces services. Elle prend acte des dernières précisions apportées selon lesquelles l'AIPD a été complétée en ce sens. E. - Sur l'information des personnes Selon l'analyse d'impact relative à la protection des données (AIPD), l'information des personnes est effectuée selon les modalités prévues par les articles 13 et 14 du RGPD. En pratique, une information contenant les mentions requises par le RGPD sera disponible, en six langues, sur le portail France-Visas ; une information sera disponible sur les formulaires ainsi que dans les cabines biométriques. La CNIL souligne que les mentions d'information devront être : facilement accessibles lors de la saisie de la demande (onglet visible, mentions sur le formulaire, etc.) ; clairement différenciées des autres informations non liées à la vie privée, et ainsi se distinguer des conditions générales d'utilisation , par exemple (v. en ce sens les lignes directrices du CEPD sur la transparence au sens du RGPD) ; fournies par les consulats et prestataires de service extérieurs ; rédigées en des termes simples et clairs. Par ailleurs, les données collectées pour l'instruction des demandes de visas ont vocation à alimenter, outre France-Visas, les fichiers VIS et VISABIO . Dès lors, les personnes concernées devront également être informées du traitement de leurs données dans le VIS et VISABIO. A des fins d'intelligibilité et de clarté de l'information transmise, plusieurs niveaux d'information pourraient être prévus. A un premier niveau (via un encadré synthétique, par exemple), une information sur l'ensemble des traitements concernés, leurs finalités, ainsi que l'identité des responsables de traitement pourrait être communiquée. F. - Sur les mesures de sécurité En premier lieu, une homologation de sécurité du traitement France-Visas a été réalisée en mars 2022. Cette homologation, attribuée pour une durée d'un an, a été reconduite pour une durée d'un an en mars 2023. Selon les précisions apportées, des audits de sécurité réguliers sont effectués. La nouvelle commission d'homologation de mars 2024 a attribué une décision d'homologation, sans réserve, pour une durée de trois ans. En deuxième lieu, les données personnelles stockées dans France-Visas ne sont pas chiffrées. Il ressort des précisions apportées que l'opportunité de chiffrer certaines données, telles que les pièces justificatives ou encore les données biométriques, était à l'étude. La CNIL demande au ministère de chiffrer les données, en base, à l'aide d'algorithmes et de procédures de gestion des clés réputés sûrs, conformément à ses recommandations et à celles de l'ANSSI en la matière. Un tel chiffrement est nécessaire en premier lieu pour les données les plus sensibles et, à terme, pour la totalité des données. En outre, le chiffrement des socles, c'est-à-dire des stations de travail utilisées par les agents et prestataires de services extérieurs (PSE), n'est pas systématiquement mis en œuvre. Si les disques durs des ordinateurs portables sont chiffrés, d'une manière générale les stations de travail fixes ne le sont pas. Pour le périmètre du ministère de l'Europe et des affaires étrangères (MEAE), le décommissionnement des postes en fin de vie suit des procédures strictes, le traitement est en mode client-serveur sans stockage permanent de données sur les stations. Néanmoins, la CNIL propose, au regard des caractéristiques du traitement, de déployer des solutions de chiffrement des disques. En troisième lieu, il est prévu de centraliser les journaux du Front-Office (composé du module d'information, du module de demande et du module guichet) au sein d'un puits de journalisation. De même, il est envisagé de mettre en œuvre une analyse automatique de ces journaux au cours du premier semestre 2024. Enfin, dans un second temps, il sera envisagé de réaliser ces actions d'analyse pour l'ensemble des journaux du traitement. La CNIL prend acte de ces éléments et invite vivement le ministère à les mener à terme au plus tôt. S'agissant de la gestion de l'authentification, la politique de mot de passe du Front-Office est choisie conformément à la délibération de la CNIL n° 2022-100 du 21 juillet 2022 (prestataires de services extérieurs et usagers). Pour les agents du MEAE, cette politique est définie par l'authentification unique (SSO) du ministère. S'agissant de l'accès au Back-Office , le ministère indique que la politique des mots de passe (ou l'utilisation de la carte agent) est de la responsabilité des différents fournisseurs d'identité et que l'authentification s'effectue, de fait, par le biais des solutions des différents ministères. La CNIL demande au ministère de préciser aux différents partenaires ministériels le minimum attendu au sujet de l'authentification. Enfin, la CNIL prend acte des mesures mises en œuvre au niveau du chiffrement des échanges, qu'il s'agisse des flux sur Internet, des flux entre les prestataires de services extérieurs et le ministère ou encore l'ensemble des flux internes, en Back-Office, sur le réseau Interministériel de l'Etat (RIE). La présidente, M.-L. Denis


Décision DR-2024-116 autorisant l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la comparaison entre une échocardiographie et une absence d’échocardiographie chez les personnes présentant une bactériémie à staphylococcus aureus et un score VIRSTA 3, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2025 à 2029, intitulée « Virsta-Val». (Demande d’autorisation n° 924086)


Décision DT-2024-023 du 21 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DIJON BOURGOGNE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EREBIA ». (Demande d’autorisation n° 2234836).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : des modalités d’information des personnes concernées ; de certaines mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel " entrepôt de données dans le domaine de la santé ". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " EREBIA ". Ce dernier a pour finalités : la production d’indicateurs et le pilotage stratégique, tel que des bilans d’activité, des évaluations de la qualité et de la pertinence de la prise en charge ou encore le calcul d’indicateurs ; l’amélioration de la qualité de l’information médicale ou l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information (PMSI) ; le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ; la réalisation d’étude de faisabilité (pré-screening) ; la réalisation d’études, recherches et d’évaluations dans le domaine de la santé. Sur l’information des personnes S’agissant des professionnels de santé n’exerçant plus au sein de l’établissement dont les données ont été collectées antérieurement à la constitution de l’entrepôt : Les professionnels de santé dont les coordonnées figurent dans le dossier administratif géré par le CHU de Dijon Bourgogne recevront une information individuelle comportant l’ensemble des mentions prévues par le RGPD. En application de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle s’agissant des professionnels de santé n’exerçant plus au sein de l’établissement et dont les coordonnées ne figurent pas dans le dossier administratif géré par le CHU de Dijon Bourgogne. Des mesures appropriées seront mises en œuvre, telles que la diffusion d’une information comportant l’ensemble des mentions prévues par le RGPD sur le site web du responsable de traitement, sur les réseaux sociaux ainsi que par la publication d’un article dans une presse locale. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art, à l’exception de l’authentification multifacteur dont la mise en place est prévue d’ici la fin de l’année 2024. Elle devra être effective préalablement à la mise en œuvre du traitement. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DIJON BOURGOGNE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-022 du 17 octobre 2024 autorisant l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2234164).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de : la gouvernance de l’entrepôt ; de certaines mesures de sécurité. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel " entrepôt de données dans le domaine de la santé ". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Ce dernier vise la réalisation d’évaluations dans le domaine de la santé. Il a notamment pour finalités l’analyse et l’évaluation du dispositif de prévention des suicides " VigilanS ". Ce dispositif de soin post-hospitalier consiste à organiser un suivi systématique des personnes suicidantes. Il est intégré à la stratégie nationale de prévention du suicide, mise en place par l’instruction DGS/SP4/2022/171 du 6 juillet 2022 du ministre de la santé et de la prévention. Cette instruction confie à l’Agence nationale de santé publique la centralisation de l’ensemble des bases de données régionales " VigilanS " aux fins de surveillance et d’évaluation. Pour ce faire, l’EDS a pour objectif la production d’indicateurs concernant : le dispositif de veille des patients ; le profil des patients inclus dans le dispositif ; le taux de couverture du dispositif " VigilanS " ; le taux d’inclusion de patients dans le dispositif par rapport au nombre total de patients suicidants au plan national. Les utilisations ultérieures des données contenues dans cet entrepôt, constituant d’études, recherches ou évaluations dans le domaine de la santé, s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public. Un comité de pilotage est mis en place et composé de membres : de l’Agence nationale de santé publique (ANSP) ; de la Direction générale de la santé (DGS) ; de la Direction générale de l’organisation des soins (DGOS) ; de la mission nationale d’appui aux cellules Vigilans ; de la société Acsantis, prestataire d'infogérance. Ce comité a été mis en place pour piloter la totalité du dispositif Vigilans. Dans ce cadre, la DGS et la DGOS ont confié à l’ANSP une mission de surveillance et d’évaluation du dispositif, en adéquation avec ses missions d’intérêt public. A ce titre, seule l’ANSP accèdera aux données de l’entrepôt pour la réalisation des finalités visées plus haut. L’EDS a vocation à intégrer le catalogue de la Plateforme des données de santé (PDS), mentionné à l’article R. 1461-2 du code de la santé publique. C’est dans ce cadre que les données de l’entrepôt seront mises à la disposition de tiers en vue de la réalisation d’études, recherches et évaluations dans le domaine de la santé. Sur les données traitées Les données à caractère personnel des patients ayant accepté d’être suivis par un centre " VigilanS " et versées dans l’entrepôt sont : données administratives/d’identification des patients : code pseudonyme, date de naissance, sexe, code postal de résidence, commune de résidence, cause de décès, situation maritale, mesure de protection, situation professionnelle/scolaire ; données de santé des patients : état de santé somatique, état de santé psychique, antécédents psychiatriques ; données liées à la tentative de suicide : date, FINESS géographique du centre prescripteur, mode de tentative de suicide, lieu, hospitalisation, association d’alcool, récidive ; données liées au suivi des patients : date de l’appel, destinataire, date d’envoi du courrier, appels entrants. La date de naissance complète devra être supprimée lorsque des tranches d’âge harmonisées auront été déterminées. Ces données seront pseudonymisées avant leur intégration dans l’entrepôt. Le numéro d'inscription au répertoire national d’identification des personnes physiques (NIR) ne sera pas collecté. Aucune donnée relative aux professionnels de santé ne sera collectée. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter de leur collecte puis archivées conformément au régime général des archives publiques et notamment aux article L. 211-1 et suivants et L. 212-3 du code de la santé publique. Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, dans ces conditions, l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. Le directeur adjoint à la direction de l’accompagnement juridique Paul HEBERT


Décision DT-2024-017 du 8 octobre 2024 autorisant le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « Platform for Primary Care (P4DP) ». (Demande d’autorisation n° 2234538).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : de la nature des données traitées ; des accédants aux données ; de certaines mesures de sécurité. La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " Platform for Primary Care (P4DP) ". Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ; la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ; la production d’indicateurs pour la veille sanitaire et épidémiologique ; la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ; la réalisation d’études de faisabilité (pré-screening). L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD). Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD. Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP. Les données dont le traitement n’est pas prévu par le référentiel " entrepôt de données dans le domaine de la santé " sont les suivantes : données des professionnels de santé : l’âge et l’année de thèse ; maître de stage ou non ; statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ; nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ; département et région ; logiciel de consultation. données des personnes concernées : NIR de l’ouvrant droit. Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP). La collecte de ces données a été justifiée dans le dossier de demande : - d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ; - et d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt " P4DP " aux données du SNDS (qui fera l’objet d’une demande de modification substantielle). La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits. La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt. Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD. Sur les accédants aux données Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel " entrepôts de données de santé ", à l’exception de ceux permis aux médecins de l’information médicale des universités. Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes : administration de la chaîne d’intégration des données au sein de l’entrepôt ; création et administration des jeux de données et des espaces projets des équipes de recherche ; génération de rapports d'analyses ; revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ; exercice des droits des patients. Ces modalités d’accès sont satisfaisantes. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées. Par exception au référentiel " entrepôt de données dans le domaine de la santé ", les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une " zone de prétraitement " de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats. La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt. AUTORISE, dans ces conditions, le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-195 autorisant l’ASSISTANCE PUBLIQUE – HÔPITAUX DE PARIS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le dépistage du cancer du poumon par scanner faible dose chez les femmes, intitulée « CASCADE ». (Demande d’autorisation n° 921425v2)


Décision DR-2024-196 autorisant la SOCIETE THERAKOS FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le rejet humoral chez les patients transplantés cardiaques, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2025. (Demande d’autorisation n° 924203)


Décision DR-2024-197 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les troubles du sommeil dans la maladie de Parkinson prodromique et définie, intitulée « SOMPARK ». (Demande d’autorisation n° 924201)


Décision DR-2024-198 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’interchangeabilité des mesures d’intégrale temps-vitesse sous-aortique entre experts et opérateurs peu expérimentés, avec l’aide d’un logiciel d’intelligence artificielle pour l’optimisation des images échographiques, intitulée « MINI-TRAINED VTI ». (Demande d’autorisation n° 924184)


Décision DR-2024-199 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’intérêt du séquençage haut débit du génome entier dans le diagnostic et la prise en charge des patients atteints de formes atypiques de diabète, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2032, intitulée « GLUCOGEN ». (Demande d’autorisation n° 923191)


Décision DR-2024-200 autorisant la société BAYER AG à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les modes d'utilisation et la sécurité de la suspension orale de rivaroxaban chez les enfants de moins de deux ans atteints de thromboembolie veineuse, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2020 à 2027, intitulée « XAPAEDUS ». (Demande d’autorisation n° 924206)


Décision DR-2024-201 autorisant la société SANOFI à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les schémas thérapeutiques, l’utilisation des ressources de santé et les résultats cliniques chez les patients atteints de myélome multiple nouvellement diagnostiqués en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2023. (Demande d’autorisation n° 922007v1)


Décision DR-2024-202 autorisant l’INSTITUT NATIONAL DU CANCER et l’UNIVERSITE AIX-MARSEILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact des trajectoires de non-adhésion à l’hormonothérapie adjuvante  sur la survie sans rechute chez des femmes traitées pour un cancer du sein en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2021, contenues dans la Plateforme des données en cancérologie, intitulée « TRADHOR ». (Demande d’autorisation n° 924194)


Décision DR-2024-203 autorisant la société MSD FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le fardeau des papillomatoses respiratoires récurrentes chez les adultes et les enfants, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2023, intitulée « BREATH ». (Demande d’autorisation n° 924215)


Décision DR-2024-204 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les infections cutanées virales au cours des syndromes de restauration immunes chez des patients infectés par le virus de l'immunodéficience humaine après introduction d’un traitement antirétroviral hautement actif, intitulée « VIRIS ». (Demande d’autorisation n° 924157)


Décision DR-2024-205 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une stratégie d’intervention multimodale pour les proches de patients en fin de vie au sein d’un service d’accueil des urgences, intitulée « MYRIADE ». (Demande d’autorisation n° 924216)


Décision DR-2024-206 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les anomalies de la réponse immunitaire liées aux interférons de type I, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2028, intitulée « COVIFERON ». (Demande d’autorisation n° 924069)


Décision DR-2024-207 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la résilience cognitive et affective chez l'enfant après les évènements du 13 novembre 2015, intitulée « CARE 13-11 ». (Demande d’autorisation n° 924078)


Décision DR-2024-208 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’influence des expositions environnementales aux polluants atmosphériques et aux pesticides dans la survenue de la mort inattendue du nourrisson, intitulée « ExpoMIN ». (Demande d’autorisation n° 924124)


Décision DR-2024-209 autorisant la société IQVIA à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de la prévalence et l’incidence de la maladie rénale chronique chez les patients atteints de diabète de type 2, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2023, intitulée « OREOT ». (Demande d’autorisation n° 920226v1)


Décision DR-2024-210 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de la thrombectomie mécanique dans le traitement des accidents vasculaires cérébraux ischémiques aigus liés à l’occlusion artérielle distale, intitulée « DISCOUNT ». (Demande d’autorisation n° 921298v2)


Décision DR-2024-211 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la désescalade thérapeutique associée à l’utilisation des modulateurs du gène CFTR dans la mucoviscidose, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2024, intitulée « RELIEF CF ». (Demande d’autorisation n° 924118)


Décision DR-2024-212 autorisant l’INSTITUT DU CERVEAU ET DE LA MOELLE EPINIERE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les marqueurs multimodaux des maladies neurodégénératives aux stades présymptomatiques, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composante du Système national des données de santé (SNDS), pour les années 2014 à 2044, intitulée « NeuroPrems ». (Demande d’autorisation n° 924222)


Décision DR-2024-213 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du risque tératogène des médicaments au cours de la grossesse, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du système national des données de santé (SNDS), pour les années 2010 à 2023. (Demande d’autorisation n°920302v3)


Décision DR-2024-214 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE GRENOBLE ALPES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’organisation du travail en équipe au service des urgences et la qualité de vie au travail, intitulée « NEWCARE ». (Demande d’autorisation n° 923067v1)


Décision DR-2024-215 autorisant la société LDR MEDICAL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les patients implantés avec la prothèse discale cervicale MOBI-C PLUG&FIT, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2030. (Demande d’autorisation n° 924242)


Décision DR-2024-216 autorisant la société GLAXOSMITHKLINE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les patients atteints de lupus systémique et leurs dommages d’organes, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2024, intitulée « EPILOG ». (Demande d’autorisation n° 924238)


Décision DR-2024-218 autorisant le GCS RAMSAY SANTE ENSEIGNEMENT ET RECHERCHE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’élaboration d’un modèle prédictif de ruptures itératives du ligament croisé antérieur, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2024, intitulée « LCA-REOP ». (Demande d’autorisation n° 924170)


Décision DR-2024-219 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les effets de l'accessibilité spatiale et de la défavorisation sociale sur l’accès à la liste d’attente et à la greffe rénale en France. (Demande d’autorisation n° 924175)


Décision DR-2024-220 autorisant le RESEAU DE L'INSUFFISANCE RENALE EN NOUVELLE-CALEDONIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le recours au soin des patients ayant une maladie rénale chronique de stade 3 à 5 sans traitement de suppléance en Nouvelle-Calédonie, intitulée « EPI-REIN-CAL ». (Demande d’autorisation n° 924142)


Décision DR-2024-221 autorisant la société DIVOLUCI à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’apport d’un outil numérique associé à une coordination humaine de support pour les soins transitionnels de patients en hospitalisation non programmée en court séjour gériatrique, intitulée « SUNH-ST ». (Demande d’autorisation n° 924116)


Décision DR-2024-222 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE AMIENS - PICARDIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation quantitative par oculométrie de l’attention portée aux visages de patients bénéficiant d’une chirurgie orthognathique, intitulée « OCHIRO ». (Demande d’autorisation n° 924240)


Décision DR-2024-223 autorisant la société STALLERGENES-GREER à mettre en oeuvre la modification d’un traitement de données ayant pour finalité la réalisation d’une étude portant sur l’évaluation des traitements par Allergènes Préparés Spécialement pour un seul Individu (APSI) en vie réelle, nécessitant un accès aux données du PMSI et du SNIIRAM, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2018. (Demande d’autorisation n° 919412v2)


Décision DR-2024-224 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le suivi des grossesses et des enfants des femmes porteuses d’une sclérose en plaques au sein de l’observatoire français de la sclérose en plaque, intitulée « RESPONSE ». (Demande d’autorisation n° 919084v2)


Décision DR-2024-225 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation précoce et objective du pronostic neurologique des patients victimes d’arrêt cardiaque, intitulée « HYPERION 2 ». (Demande d’autorisation n° 924155)


Décision DR-2024-226 autorisant la société TAKEDA PHARMACEUTICAL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la quantification des taux de malignité chez les patients atteints de la maladie de Crohn présentant une fistule périanale complexe traitée par darvadstrocel, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2025. (Demande d’autorisation n° 924251)


Décision DR-2024-227 autorisant l’INSTITUT PASTEUR à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de nouveaux outils de diagnostic rapides de l’histoplasmose, intitulée « EvaDiag-Histo ». (Demande d’autorisation n° 923225v1)


Décision DT-2024-012 autorisant l’association DAT’AIDS à mettre en oeuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2232066)


Décision DT-2024-013 autorisant la société LOGIPREM-F à mettre en oeuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EDS LOGIPREN ». (Demande d’autorisation n°2233577).


Décision DT-2024-014 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en oeuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « eDOL ». (Demande d’autorisation n° 2233463)


Décision DT-2024-015 autorisant la FEDERATION NATIONALE DES CENTRES DE LUTTE CONTRE LE CANCER à mettre en oeuvre la modification d’un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2030, dénommé « HARMONIE ». (Demande d’autorisation n° 2230256v1)


Décision DR-2024-184 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS  à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le développement d’un algorithme d’aide à la décision pour l’admission en réanimation des personnes âgées atteintes d’infection respiratoire aigüe, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2021, intitulée « Genially ». (Demande d’autorisation n° 924084)


Décision DR-2024-177 autorisant L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’effet de la qualité des soins sur le coût des établissements de santé français dans la prise en charge de l’infarctus du myocarde (Demande d’autorisation n° 924091).


Décision DR-2024-185 autorisant la société ABBVIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la sécurité et l’efficacité de l’upadacitinib dans le traitement du vitiligo non segmentaire. (Demande d’autorisation n° 924126)


Décision DR-2024-186 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la contribution du microbiote intestinal dans la prédiction de la survenue d’évènements cardiométaboliques, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2023, intitulée « METACARDIS-EVOLUTION ». (Demande d’autorisation n° 924171)


Décision DR-2024-187 autorisant les LABORATOIRES THEA à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’association entre collyres hypotonisants avec ou sans conservateur, le recours à une chirurgie du glaucome, l’utilisation de substituts lacrymaux et la compliance thérapeutique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2018, intitulée « MISTRAL » (Demande d’autorisation n° 919284v2)


Décision DR-2024-188 autorisant la société PERFUZE LTD à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’examen des caractéristiques de performance et de sécurité du système Millipede lorsqu’il est utilisé pour la revascularisation de patients ayant subi un accident vasculaire cérébral ischémique aigu dû à une occlusion des gros vaisseaux, intitulée « MARRS ». (Demande d’autorisation n° 924134)


Décision DR-2024-189 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’expérimentation d’un envoi postal direct à domicile du kit de dépistage du cancer colorectal sans commande préalable, intitulée « EXPEDIT ». (Demande d’autorisation n° 924089)


Décision DR-2024-190 autorisant le CENTRE HOSPITALIER DE BORDEAUX à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le développement et la validation d’indicateurs de qualité de parcours de patients victimes d’accident vasculaire cérébral et de syndrome coronarien chronique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2023, intitulée « DELIQUA-CNV ». (Demande d’autorisation n° 923082v1)


Décision DR-2024-191 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité étude portant sur le suivi des sujets âgés chuteurs recrutés au sein des filières gériatriques de plusieurs hôpitaux français, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2018 à 2026, intitulée « PREMOB ». (Demande d’autorisation n° 921365v1)


Décision DR-2024-192 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de la synergie entre l'élévation de la tête et du thorax et l'occlusion endovasculaire de l'aorte par ballonnet dans le traitement de l’arrêt cardiaque extrahospitalier, intitulée « GRAVITY 2 ». (Demande d’autorisation n° 924197)


Décision DR-2024-193 autorisant la société NOVARTIS PHARMACEUTICALS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation de l'impact des crises vaso-occlusives chez les patients atteints de drépanocytose, nécessitant un accès aux données du SNIIRAM et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2018, intitulée « EVOC » (Demande d’autorisation n° 919281v2)


Décision DR-2024-194 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les asthmes sévères, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2032, intitulée « RAMSES ». (Demande d’autorisation n° 924187)


Décision DR-2024-181 du 12 juillet 2024 autorisant la société SANOFI PASTEUR à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’analyse de l’efficacité vaccinale entre les vaccins antigrippaux quadrivalents à haute dose et les vaccins antigrippaux quadrivalents à dose standard en France entre 2020 et 2023 chez les individus âgés de 65 ans et plus, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) ainsi qu’aux données de la base Resid-EHPAD, pour les années 2015 à 2023, intitulée « DRIVEN ». (Demande d’autorisation n°922026v3)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’3autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Modification du traitement de données La modification envisagée porte sur la réalisation d’une analyses descriptive complémentaire visant à identifier de potentiels facteurs associés avec la dispensation soit des vaccins grippaux dose standard, ou bien du vaccin grippal haute dose, parmi les individus de 65 ans et plus vaccinés lors des saisons grippales 2021/2022 et 2022/2023. Cette analyse sera notamment réalisée à partir des données du SNDS. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société SANOFI PASTEUR à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DT-2022-017 autorisant LE GROUPEMENT DE COOPERATION SANITAIRE
UNICANCER à mettre en oeuvre un traitement automatisé de données ayant pour finalité
la constitution d’un entrepôt de données de santé, dénommé « OncoDataHub »
(Demande d’autorisation n° 2226364).


Délibération n° HAB-2024-003 du 28 novembre 2024 habilitant des agents de la Commission nationale de l'informatique et des libertés à procéder à des missions de vérification

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2. g, 10, 11 et 19 ; Après avoir entendu les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement, Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 : M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation . M. Mehdi ARFAOUI, sociologue du numérique au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation. M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Elisabeth BARSACQ, cheffe du service des affaires européennes et internationales. Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Jean BAUDRILLARD, adjoint à la cheffe du service des relations avec les publics à la direction des relations avec les publics. M. Corentin BEAUFILS, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Anne-Lise BECHARA, cheffe du service des relations avec les publics à la direction des relations avec les publics. Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Nicolas BERKOUK, ingénieur intelligence artificielle au service de l'intelligence artificielle à la direction des technologies et de l'innovation. Mme Najma BICHARA, juriste au service des affaires européennes et internationales. M. Martin BIÉRI, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation. Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Renaud BOITOUZET, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Mme Sandrine BONTROND, juriste au service des relations avec les publics à la direction des relations avec les publics. Mme Cécile BOSSER, juriste conseil au service des relations avec les publics à la direction des relations avec les publics. M. Tanguy BOUCHER, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Taïna BOUGANIM, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Céline BRÉZILLON, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Vincent BRINGER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Solenn BRUNET, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation. M. Clément BUNEL, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions. Mme Madeleine CAZETTES DE SAINT LÉGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Régis CHATELLIER, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation. Mme Tiphaine CHELLABI, juriste au service des affaires européennes et internationale. Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Isabelle COHEN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Tess D'ARMAGNAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions. Mme Audrey DANEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Justine DEBOTÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Grégoire DELETTE, adjoint au chef du service des contrôles à la direction de la protection des droits et des sanctions. M. Florent DELLA VALLE, chef du service de l'expertise technologique à la direction des technologies et de l'innovation. M. Xavier DELPORTE, directeur des relations avec les publics. Mme Caroline DEROUET, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Rosine DOLBEC, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions. M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. M. Louis DUTHEILLET DE LAMOTHE, secrétaire général. Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Louise FAUVEL, adjointe à la cheffe du service des affaires européennes et internationale. Mme Alicia FILIPIAK, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovatio. Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales. Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général. Mme Marie GAILLARDON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Linda GAMIETTE, juriste au service des relations avec les publics à la direction des relations avec les publics. M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. M. Antoine GAUME, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. M. Rodolphe GÉNISSEL, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Sophie GENVRESSE, cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Laurène GOIRAND, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions. Mme Christelle GUICHARD, cheffe de service du service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique. Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Sandra GREBER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Nourhane HADDAD, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. M. Célestin HERNANDEZ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Manel HOUD, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions. Mme Sonia HUDELA, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Marion JABOT, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. M. Alexis JACQUEMARD, chef de service des contrôles à la direction de la protection des droits et des sanctions. Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions. M. Hugo JAUFFRET, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions. M. Julien JEDRZEJCZAK, chargé d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions. M. Anton KISYELYOV, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Jérémie KOUZMINE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Névine LAHLOU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Victor LARGER, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Sébastien LASTRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Mme Nina LE BONNIEC, juriste au service des contrôles à la direction de la protection des droits et des sanctions. M. Aurélien LE BRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions. Mme Delphine LEGOHEREL, directrice adjointe de la protection des droits et des sanctions. Mme Morgane LE HIR, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. M. Emmanuel LEROUX, juriste au service des affaires européennes et internationales. Mme Noémie LICHON, directrice adjointe de la protection des droits et des sanctions. Mme Yamina LOUATI, assistante au service des contrôles à la direction de la protection des droits et des sanctions. Mme Marie-Françoise MAINDRON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Spyridon MAKRIS, juriste au service des affaires européennes et internationales. M. Erevan MALROUX, analyste intelligence artificielle au service de l'intelligence artificielle à la direction des technologies et de l'innovation. Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Delphine MARGULIS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Tony MARTIN, chef de service des contrôles à la direction de la protection des droits et des sanctions. Mme Clothilde MAULIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Oriane MAURICE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Nina MC EVOY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Lynda MEKKI, ingénieure cybersécurité spécialisée en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Francis MORDELET, juriste au service des affaires européennes et internationales. M. Mathias MOULIN, secrétaire général adjoint. Mme Anaëlle MORIN, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Romain PIALAT, ingénieur recherche & développement au service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation. M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Laetitia RACINE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Délia RAHAL-LOFSKOG, chargée de mission au service des affaires européennes et internationales. Mme Marine REVEL, juriste au service des affaires européennes et internationales. Mme Myriam RICHARD, assistante au service des contrôles à la direction de la protection des droits et des sanctions. Mme Albane RICHET, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Caroline RILOS MACIAS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Anne-Charlotte ROUGELIN, juriste conseil au service des relations avec les publics à la direction des relations avec les publics. Mme Claudine SANLAVILLE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Hugo SENAYA, juriste conseil au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. Mme Lauren SÉRAN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions. Mme Laëtitia SIMON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Abdoulaye TALL, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Mme Ahlem TAMOUZA, adjointe à la cheffe du service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique. Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Vincent TOUBIANA, chef du service laboratoire d'innovation numérique de la CNIL à la direction des technologies et de l'innovation. Mme Rokia TRAORE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions. M. Félicien VALLET, chef du service de l'intelligence artificielle à la direction des technologies et de l'innovation. M. Marco VERMEIL, chargé de mission sensibilisation aux droits à la direction des relations avec les publics. Mme Mathilde VIDALOT, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique. M. Christophe VIVENT, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation. Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics à la direction des relations avec les publics. Mme Aminata VOYEL, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Article 2 La délibération n° HAB-2024-002 du 4 avril 2024 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Décision DR-2024-279 du 13 novembre 2024 autorisant la société BMOTION TECHNOLOGIES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’effet du dispositif médical numérique d’entraînement cognitif et rythmique Poppins Clinical en complément de la prise en charge conventionnelle réduite sur les capacités de lecture et d’écriture des patients enfants ayant un trouble spécifique des apprentissages avec déficit de la lecture et/ou de l’expression écrite (TSApp Lecture) comparativement à un groupe contrôle bénéficiant de la prise en charge conventionnelle classique , intitulée « POPPINS-02 ». (Demande d’autorisation n° 924196)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est I du 5 février 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des noms et prénoms des participants par le sous-traitant du responsable de traitement est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. La collecte de la commune de résidence des participants et d’installation des orthophonistes a été justifiée dans le dossier de demande. Mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet POPPINS-02. Afin d’assurer la séparation des données directement identifiantes par rapport aux données de l’étude, le sous-traitant dispose d’une architecture technique spécifiquement conçue et de procédures organisationnelles assurant la gestion des habilitations d’accès. Une attention particulière devra être portée sur l’attribution de profils accédant aux deux catégories de données : elle devra faire l’objet d’une validation hiérarchique spécifique et être limitée aux données strictement nécessaires aux missions de la personne habilitée. Afin d’assurer la confidentialité des informations sensibles échangées entre le personnel des centres investigateurs et les participants à l’étude, la solution de visioconférence choisie dispose d’un haut niveau de sécurité et ne permet pas d'enregistrer les sessions ; les messages instantanés et autres données de session sont automatiquement supprimées à la fin d’une session. En outre, le personnel de l'étude est formé afin qu'aucun échange d'informations écrites non autorisé n'ait lieu pendant la visioconférence. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Transferts hors Union européenne Le responsable de traitement prévoit de transférer à Jersey, pays reconnu comme adéquat par l’Union européenne, certaines données pseudonymisées des participants à l’étude. Le responsable de traitement prévoit de transférer aux Etats-Unis certaines données des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau "cadre de protection des données" ("data privacy framework", ci-après "DPF"). En l’espèce, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Prenant en considération l’arrêt C311/18 rendu par la CJUE le 16 juillet 2020, il ne peut être totalement exclu une divulgation non autorisée par le droit de l’Union européenne, en violation de l’article 48 du RGPD aux autorités publiques étatsuniennes, sur le fondement de la section 702 de la loi FISA et de l’Executive Order 12 333. Le responsable de traitement devra mettre en œuvre des mesures empêchant tout accès aux données par le prestataire, telles que le chiffrement des données sauvegardées par des algorithmes à l’état de l’art et la non-transmission des clés de chiffrement au prestataire. Durées de conservation en base active et en archivage Les données nominatives seront conservées deux ans puis détruites. Autres données : Base active : deux ans Archivage : quinze ans. AUTORISE la société BMOTION TECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT