Délibération n°2023-136 du 16 novembre 2023 portant avis sur un projet de traitement à des fins de recherche scientifique relatif à la mise en œuvre de l’enquête Expériences de la Prison et Réinsertion Sociale à la Sortie (ExPReSS)

Date de l’avis : 16 novembre 2023 N° de la délibération : 2023-136 N° de demande d’avis : 2230740 Organisme(s) à l’origine de la saisine : Institut national d’études démographiques Projet concerné : projet de recherche hors santé relatif à l’enquête Expériences de la Prison et Réinsertion Sociale à la Sortie (ExPReSS) Thématiques : Recherches scientifiques (hors santé), casier judiciaire national, enquête réinsertion sociale à la sortie de prison, Genesis, Cassiopée Fondement de la saisine : article 44.6° de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : La CNIL estime les traitements de données à caractère personnel mis en œuvre dans le projet de recherche et d’enquête " Expériences de la Prison et Réinsertion Sociale à la Sortie " poursuivent une finalité légitime. La CNIL clarifie dans quelles conditions il est possible d’accéder, à des fins de recherche scientifique, à des données contenues dans des traitements encadrés par des textes qui ne prévoient ni la finalité recherche ni n’autorise un tiers à être rendu destinataire de ces données pour une telle finalité. En l’espèce, elle considère que l’INED n’est pas le responsable des traitements concernés et ne relève d’aucune des catégories d’accédant ou de destinataire des données des fichiers susmentionnés, ce qui pourrait constituer un obstacle à son accès à ces données à des fins de recherche scientifique. Des voies alternatives sont toutefois identifiées. La CNIL invite l’INED à supprimer les réponses issues des champs libres après le recodage et appelle son attention sur la nécessité qu’un nombre strictement limité de personnes habilitées puissent accéder aux données directement identifiantes. Elle rappelle également la nécessité de fixer une durée de conservation pour les données pseudonymisées. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ; Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Damien MILIC commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Le projet d’enquête sur les " Expériences de la Prison et Réinsertion Sociale à la Sortie " (ExPReSS), porté par l’Institut national d’études démographiques (INED), vise à évaluer les capacités de réinsertion des personnes ayant été détenues et permettra de contribuer à la réflexion des pouvoirs publics sur la réinsertion et le risque de récidive. Il s’agit d’un projet de recherche scientifique en sciences sociales qui s’articule autour de quatre objectifs principaux : enrichir la connaissance statistique de la population carcérale en se focalisant sur les sortants de prison ; caractériser les différentes expériences de l’incarcération et leur impact sur les personnes ; recueillir les éléments prospectifs sur ce qui attend la personne à sa sortie ; étudier la récidive des personnes enquêtées. B. L’objet de la saisine La CNIL a été saisie pour avis sur les traitements de données à caractère personnel nécessaires pour mener l’enquête ExPreSS. Dans la mesure où ces traitements portent sur des données sensibles au sens de la réglementation, le traitement doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions de l’article 44.6° de la loi " informatique et libertés ". L’INED est le responsable de ce traitement, qu’il met en œuvre sur la base de l’exécution d’une mission d’intérêt public (article 6.1.e du RGPD). L’enquête comportera plusieurs phases : a. l’enquête quantitative sur un échantillon estimé à environ 500 personnes détenues qui comporte deux étapes : i. l’identification de la base de sondage de personnes détenues à partir de données issues du traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire (Genesis) ; ii. la collecte de données complémentaires via un questionnaire portant notamment sur les conditions de vie en détention, le parcours pénal, les activités et ressources, la santé, la représentation de la prison, la préparation et les conditions de la sortie ; b. les post-enquêtes qualitatives sur environ une cinquantaine de personnes sélectionnées sur la base des réponses qu’elles auront données au questionnaire. L’objectif est d’aborder de façon plus approfondie le ressenti de l’expérience carcérale et son impact sur la vie des personnes ; c. L’appariement au Casier judiciaire national (CJN) ou à Cassiopée affaires terminées (Cassiopée) avec les données issues de l’enquête quantitative. Les données extraites du CJN sont relatives aux condamnations et décisions de justice des personnes enquêtées. Elles permettront d’étudier la récidive de ces personnes dans un délai de cinq ans après leur sortie. II. L’avis de la CNIL A. Sur l’accès aux traitements Genesis, Cassiopée et au CJN L’INED a indiqué réaliser la base de sondage à partir du traitement Genesis. L’extraction des données sera effectuée, selon les critères de sélection fixés par l’INED, par les greffiers des trois établissements pénitentiaires participant à l’enquête. L’INED a par ailleurs indiqué procéder à un appariement de ces données au CJN ou au traitement Cassiopée afin d’examiner les cas de récidive cinq ans après les enquêtes quantitatives et qualitatives. La CNIL rappelle qu’elle considère que, lorsqu’un traitement public fait l’objet d’un encadrement légal ou réglementaire, le responsable de traitement est légitime à effectuer, dans le respect de son champ de compétence, des études, notamment statistiques, à partir des données traitées, sans qu’il soit besoin que la loi ou l’acte réglementaire le précise (CNIL, pl énière, 20 octobre 2022, avis sur le décret " SIROCCO, n° 2022-105) . Le responsable de traitement peut utiliser les données de ces traitements à des fins de recherche scientifique sans que cette finalité soit précisée dans l’acte encadrant le traitement si : D’une part, cette utilisation est en lien avec les finalités du traitement ; et D’autre part, elle relève des missions qui lui sont confiées. Dans le cas où un tiers souhaite utiliser les données à des fins de recherche sans que la recherche soit faite pour le compte du responsable de traitement, cela n’est en principe possible qu’à la condition que ce tiers soit autorisé par l’acte réglementaire à être rendu destinataire de ces données. La CNIL relève que l’INED n’est pas le responsable des traitements concernés et ne relève d’aucune des catégories d’accédant ou de destinataire des données des fichiers susmentionnés, ce qui pourrait constituer un obstacle à son accès à ces données à des fins de recherche scientifique Sauf à modifier la réglementation relative aux fichiers considérés, trois voies alternatives existent pour les chercheurs, pour accéder aux données contenues dans ces traitements : les archives publiques que constituent les documents d’où sont issues les données nécessaires pour l’enquête, sont communicables de plein droit à l’issue des délais fixés à l’article L. 213‑2 du code du patrimoine. L’article L. 213‑3 de ce code prévoit que l’administration des archives peut octroyer aux personnes qui en font la demande l’autorisation de consulter des documents d’archives avant l’expiration de ces délais " dans la mesure où l’intérêt qui s’attache à la consultation de ces documents ne conduit pas à porter une atteinte excessive aux intérêts que la loi a entendu protéger ". L’article R. 170 du code de procédure pénale (CPP) permet la transmission à des tiers de copies de certaines décisions, dont celles rendues par les juridictions d’instruction, ainsi que de copies des autres actes ou pièces d’une procédure pénale sur autorisation du procureur de la République ou du procureur général. Une réutilisation des données peut éventuellement être possible à des fins statistiques. L’accès aux données peut alors notamment avoir lieu via le Centre d’accès sécurisé aux données (CASD) mais uniquement à des fins statistiques, c’est-à-dire que le résultat du traitement ne constitue pas des données à caractère personnel mais uniquement des données agrégées, au sens du considérant 162 du RGPD. Le traitement à des fins statistiques doit être conforme à la loi n°51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques. En l’espèce, les résultats de la recherche n’étant pas agrégés, cette voie n’apparait pas adaptée. Concernant les traitements Cassiopée et Genesis, la CNIL observe que la procédure d’accès aux archives publiques (article L. 213-3 du code du patrimoine) permettrait à l’INED d’accéder aux données issues de ces traitements, sous réserve d’en obtenir l’autorisation des administration concernées. Elle estime par ailleurs que l’article R. 170 du CPP pourrait aussi constituer une voie d’accès. Elle s’interroge toutefois sur l’articulation de cette disposition avec l’article 11 du même code relatif au secret de la procédure au cours de l’enquête et de l’instruction, qui prohibe la communication d’informations relatives à des procédures non clôturées. Concernant en particulier l’accès aux données du CJN, s’agissant des procédures clôturées, la voie d’accès aux archives publiques prévue par le code du patrimoine pourrait permettre à l’INED d’accéder aux données de ce traitement, sous réserve d’en obtenir l’autorisation. La CNIL considère que l’article R.170 du CPP ne devrait pas permettre à l’INED d’avoir accès au relevé intégral des fiches du casier judiciaire applicables à la même personne (dénommé bulletin n°1), au regard de l’article 774 du même code prévoyant que le bulletin n°1 n’est délivré qu’aux autorités judiciaires. Enfin, la CNIL s’interroge sur la possibilité de procéder à l’appariement projeté au regard de l’article 777-3 du CPP, lequel prohibe les interconnexions entre le CJN et tout autre fichier ou traitement de données personnelles détenus par une personne quelconque ou par un service de l’Etat ne dépendant pas du ministère de la justice. B. Sur les catégories de données collectées L’INED a précisé que la très grande majorité des questions appellent des réponses fermées. Certaines sont ouvertes pour saisir des verbatim, concernant, par exemple, les raisons à l’origine des violences subies par les personnes détenues. La CNIL considère cette possibilité légitime, en raison notamment de la très grande diversité des réponses attendues. L’INED précise que les réponses à des questions fermées pseudonymisées seront codées pour être traitées de manière quantitative. La CNIL prend acte de ce que les enquêteurs seront sensibilisés à la nécessité d’éviter une collecte excessive de données dans le cadre de ces verbatim et suggère à l’INED, si cette mesure compatible avec son protocole de recherche, de supprimer immédiatement les réponses après le recodage. Elle appelle son attention sur la nécessité qu’un nombre strictement limité de personnes soient habilitées à accéder aux données directement identifiantes. L’INED a indiqué que les données issues du CJN sont relatives aux condamnations et décisions de justice des personnes faisant l’objet de l’enquête permettant de qualifier la récidive dans un délai de cinq ans. Interrogé sur l’étendue des données permettant de qualifier la récidive, l’INED a indiqué ne pas avoir, au stade de la saisine, identifié sur quelles données issues du CJN (ou de Cassiopée) portera l’étude de la récidive des personnes détenues. De manière générale, la CNIL rappelle que les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités annoncées, conformément à l’article 5-1-c du RGPD. C. Sur les durées de conservation Le " fichier de production et de recherche " - contenant des données issues du questionnaire ainsi que d’autres variables (profession, diplôme, pays de naissance, nationalité, …) sera mis à disposition de la communauté scientifique sur le réseau Quetelet-Progedo-Diffusion ainsi que des chercheurs de l’INED grâce à une copie archivée conservée sur un serveur sécurisé de l’INED pour une durée indéterminée. L’INED a par ailleurs précisé que le fichier est présenté " avec un plus faible risque de réidentification ", sans pour autant que les données soient anonymisées. La CNIL rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi " informatique et libertés " et 116 du décret n°2019-536 du 29 mai 2019. En particulier, les données doivent être préalablement anonymisées pour être diffusées et non seulement pseudonymisées, sauf si l’intérêt des tiers à cette diffusion prévaut sur les intérêts ou libertés et droits fondamentaux de la personne concernée. En pratique, l’exigence de productibilité des résultats présentés par une recherche scientifique implique souvent que les données d’étude soient en partie conservées (y compris des données pseudonymisées). Dans le cas mentionné précédemment où l’intérêt des tiers à cette diffusion prévaut, la CNIL insiste pour que la pseudonymisation soit la plus forte possible et que l’accès aux données soit limité aux chercheurs qui souhaiteraient en faire usage et en étant soumis à des conditions de confidentialité et de déontologie strictes. Elle rappelle que dans le cas de diffusion de données pseudonymisées, il est indispensable de fixer une durée de conservation, ces données ne pouvant rester disponibles pour une durée illimitée. Concernant la conservation d’une copie archivée de l’ensemble des fichiers utilisés lors de la recherche sur un serveur sécurisé de l’INED, la CNIL s’interroge sur la nécessité de conserver une telle copie alors que ces fichiers seront conservés aux Archives de France conformément au code du patrimoine. En tout état de cause, la CNIL rappelle que ces archives ne peuvent être conservées de manière indéfinie si elles ne sont pas anonymisées et qu’il est indispensable que le responsable de traitement leur fixe une durée de conservation. D. Sur les droits des personnes L’INED a précisé, concernant l’enquête qualitative, qu’en amont du contact avec le répondant, une plaquette d’information est transmise à l’ensemble des individus sélectionnés. Au début de l’entretien, l’enquêteur procède à une nouvelle information verbale et écrite. La CNIL recommande à l’INED à procéder à une information dynamique (par exemple sur un site web mis à jour régulièrement) entre les phases d’entretiens et l’appariement effectif au CJN ou à Cassiopée, compte tenu des années qui se seront écoulées depuis l’enquête quantitative. Les enquêtés pourront s’opposer à l’appariement de leurs réponses avec le CJN via une adresse électronique qui figure dans les documents d’information qui leur seront transmis. La CNIL invite l’INED à prévoir : une information claire et pédagogique quant à la portée de l’appariement au CJN ou à Cassiopée, en particulier au moment de la phase d’entretiens ; un mécanisme d’opposition facile et accessible à toute personne, y compris celles ne disposant pas de matériel informatique et/ou ne maîtrisant pas les outils informatiques. S’agissant des modalités d’exercice des droits, l’INED a précisé que les personnes qui souhaitent exercer leurs droits seront retrouvées avec leur identifiant qui leur sera communiqué en début d’entretien via la note " Informations et Droits " ou leur numéro d’écrou. À défaut, l’INED pourra leur poser quelques questions afin de retrouver le questionnaire qui les concerne. La CNIL relève que ces modalités d’exercice des droits reposent sur des informations qui pourraient être utilisées par une autre personne, en cas de perte ou de vol par exemple, et sur une très longue période (au regard des cinq ans entre la phase de questionnaires et l’appariement au CJN ou à Cassiopée). Elle invite, au regard de la sensibilité des données traitées, à la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers. Elle demande également à l’INED d’envisager des solutions combinant des informations connues uniquement de l’INED transmises à la personne objet de l’enquête (par exemple, lors de l’information sur ces droits) avec des questions d’identification reposant sur les données collectées. E. Sur les mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’avis une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Compte tenu de la sensibilité des données collectées, la CNIL recommande que l’ensemble des mesures de sécurité, en particulier les espaces de stockage et travail utilisés pour mener l’étude au sein de l’INED, soient conformes à l’état de l’art et notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel " entrepôt de données dans le domaine de la santé ". À cet égard, la CNIL recommande une surveillance automatique ou manuelle de tout export de données hors de ces espaces, afin d’en vérifier systématiquement le caractère anonyme. La CNIL note que la plateforme du CASD sera utilisée afin de réaliser les étapes de l’étude nécessitant un appariement aux données issues ou relatives au CJN, dont les mesures de sécurité sont adaptées aux risques pouvant peser sur les données. Différents identifiants pseudonymes sont attribués aux participants. Ceux-ci devront être distincts pour les différents flux de données. La CNIL note que des identifiants séquentiels et pseudo-aléatoires seront générés pour certaines étapes du traitement. Elle recommande que des identifiants pseudo-aléatoires uniquement soient générés pour les différents participants pendant toutes les étapes du traitement. Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. La CNIL considère que la nature des données de l’étude exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données, des tables de correspondance que des sauvegardes. Les tables de correspondance devront notamment être stockées dans des conteneurs chiffrés avec une clé de chiffrement distincte du reste des données, accessibles uniquement par des utilisateurs et administrateurs disposant de profils d’habilitation spécifiques. Les tables de correspondance sont supprimées dans les meilleurs délais après consolidation des bases et la génération de nouveaux pseudonymes. Etant donné la sensibilité des données collectées, la CNIL estime également qu’une authentification forte multifacteur, disposant au moins de deux facteurs d’authentification différents, devrait être mise en place pour l’accès aux données de l’étude lors des différentes étapes du traitement. La CNIL rappelle qu’il appartient au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. F. Sur les transferts de données L’INED a précisé que les données issues du " fichier de production et de recherche " seront mises à la disposition de ses chercheurs grâce à une copie sur son serveur sécurisé. La CNIL appelle l’attention de l’INED sur le fait que la consultation de son système de stockage par une personne se situant sur le territoire d’un État tiers à l’Union européenne constitue un transfert de données hors de l’Union européenne qui doit être réalisé conformément au chapitre V du RGPD. La Présidente Marie-Laure DENIS


Délibération n° 2019-137 du 12 novembre 2019 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée « Trajectoires et origines 2019-2020 » (TeO2)
(demande d’avis n° 2213231)

La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines 2019-2020 " (TEO2) ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu l’arrêté du 23 janvier 2019 complétant l'arrêté du 15 octobre 2018 portant approbation du programme d'enquêtes statistiques d'initiative nationale ou régionale des services publics pour 2019 (enquêtes auprès des ménages et des collectivités territoriales) ; Vu la délibération n° 2008-055 du 6 mars 2008 de la Commission nationale de l'informatique et des libertés autorisant l’Institut national de la statistique et des études économiques et l’Institut national d’études démographiques à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines "; Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Émet l’avis suivant : À titre liminaire, elle relève que ce projet d’enquête, qui s’inscrit dans la continuité de l’enquête " Trajectoires et origines " menée en 2008-2009 (TeO1) sur lequel elle s’est déjà prononcée, vise principalement à mettre à jour les résultats obtenus. La Commission relève également que le traitement projeté poursuit des finalités de statistique et de recherche publiques. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le " RGPD ") et prend acte que l’INED entend se prévaloir de la base légale de " l’exécution d’une mission d’intérêt public " mentionnée à l’article au e) du 1) de l’article 6 du RGPD. Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6° de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement, l’analyse d’impact relative à la protection des données (AIPD) transmise devant quant à elle faire l’objet d’une mise à jour. Sur le contexte général de réalisation de l’enquête (" TeO2 ") La Commission prend acte que le projet d’enquête vise à collecter, à partir d’un échantillon de 48 600 personnes, des données relatives aux facteurs de différenciation entre individus (origines, genre, classe sociale, âge, quartier, niveau d’instruction, revenu etc.) auprès de personnes âgées de 18 à 59 ans résidant en métropole afin d’analyser les processus d’intégration, de discrimination et de construction identitaire concernant toute la population dans la société française. Elle relève que cet échantillon sera tiré au sort dans une base de sondage constituée pour l’occasion par l’Institut national de la statistique et des études économiques (INSEE) à partir des données collectées lors du recensement de 2018 et répartie en six sous échantillons. Un appariement de ces données avec celles issues des bulletins de l’état civil sera effectué par l’INSEE pour identifier spécifiquement les personnes de la deuxième génération. L’échantillon final sera ensuite constitué par tirage aléatoire au sein de chacun des six sous-échantillons de la base de sondage, de façon à obtenir le nombre de répondants visés pour chacun d’entre eux. Le nombre de répondants effectifs attendu est de 26 500 personnes. La maîtrise d’ouvrage de ce projet d’enquête est assurée par l’INSEE et l’INED, les deux responsables de traitement déterminent ensemble les finalités du traitement ainsi que les modalités de sa mise en œuvre. À cet égard, la Commission rappelle qu’il appartiendra à chacun de ces responsables de traitement, conformément aux dispositions de l’article 26 du RGPD, de définir notamment de manière transparente par voie d’accord leurs obligations respectives notamment en ce qui concerne l’exercice des droits des personnes concernées, les modalités de la communication des informations visées aux articles 13 et 14 du RGPD et leurs obligations respectives vis-à-vis de la mise en œuvre de mesures de sécurité et des violations de données. L’enquête sera réalisée en face à face par des enquêteurs de l’INED et de l’INSEE à partir d’un outil permettant la saisie des données informatiques en direct. A titre exceptionnel, il est prévu d’interroger les personnes par téléphone lorsque la distance entre enquêteur et enquêté est trop importante, la couverture du territoire par les enquêteurs en langue étrangère étant limitée. La Commission prend acte que l’INED sera plus spécifiquement chargé de la mise en œuvre de la partie de l’enquête principale administrée aux personnes non francophones, la mise en œuvre des autres traitements étant à la charge de l’INSEE. Elle relève que le présent avis porte sur le traitement mis en œuvre par l’INED pour la seule finalité recherche dudit traitement et rappelle qu’il appartiendra aux co-responsables de traitement de s’assurer de la conformité à la réglementation relative à la protection des données à caractère personnel de l’ensemble du traitement envisagé. En particulier, la Commission rappelle qu’il conviendra de s’assurer, indépendamment de la répartition des responsabilités choisie, de l’effectivité des mesures mises en place pour assurer le respect des droits des personnes. Elle observe que le projet d’enquête principale a reçu l’avis de conformité du Comité du Label de la statistique publique le 14 novembre 2018 permettant, par délégation du Conseil national de l’information statistique (CNIS), l’attribution du label d’intérêt général et de qualité statistique. Le projet d’enquête complémentaire auprès des petits-enfants d’immigré(s) (dits de " troisième génération ", 3G) a reçu un avis d’examen favorable du Comité du Label de la statistique publique le 20 décembre 2018. Ces deux projets d’enquête sont inscrits au programme d'enquêtes statistiques des services publics et des autres services producteurs d'information statistique pour 2019 tel qu'approuvé par l'arrêté du 15 octobre 2018 et complété par l’arrêté 23 janvier 2019 du ministre de l’économie et des finances. Ils ont reçu le visa du ministre de l’économie et des finances conformément à l’article 2 de la loi n° 51-711 du 7 juin 1951 susvisée et se sont vu conférer à cette occasion le caractère d’enquête obligatoire. Ce projet d’enquête est scindé en quatre volets distincts : une enquête principale auprès de personnes vivant en ménage ordinaire en France métropolitaine avec une surreprésentation de certaines populations ; une enquête complémentaire menée spécifiquement auprès des personnes dites de " 3è génération " (3G) ayant au moins un grand parent immigré ; la constitution d’un fichier contextuel à partir de la base permanente des équipements ainsi que des données non publiques du recensement de 2016 et l’appariement de ce fichier avec les données issues des enquêtes susvisées ; la réalisation de post-enquêtes qualitatives qui fera l’objet d’une saisine ultérieure de la Commission par l’INED. Sur les finalités du traitement La Commission relève que le projet d’enquête vise à permettre la production d’analyses et de publications statistiques par les coresponsables du traitement ainsi que la mise à disposition de données indirectement identifiantes à la communauté scientifique en vue de leur réutilisation à des fins de recherche scientifique. Elle estime que ces finalités répondent aux besoins publics de connaissance sur les processus d’intégration, de discriminations et de construction identitaire de l’ensemble de la population dans la société française ainsi que sur les évolutions intergénérationnelles de ces processus. La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD. Sur la nature des données traitées En premier lieu, la Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de nature très variée auprès des personnes enquêtées dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD. Le questionnaire comprend ainsi seize modules relatifs à la description du ménage, les revenus, la nationalité et l’origine des parents, les langues, la trajectoire migratoire et le rapport au pays d’origine, les relations familiales et transmissions, la vie de couple, les enfants, l’image de soi et le regard des autres, l’éducation, la vie professionnelle, la religion, le logement et le cadre de vieillesse, la vie citoyenne, la santé, les discriminations et les relations et pratiques culturelles. La Commission rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que " si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race ". Elle observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur la prétendue origine raciale ou ethnique des personnes interrogées. Si certaines questions telles que celles figurant dans le module " image de soi et regard des autres " et celles relatives aux expériences de discrimination impliquent la collecte de données subjectives, la Commission estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, elle estime que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel. En deuxième lieu, la Commission relève qu’il est prévu de collecter auprès des répondants de l’enquête principale les coordonnées de leurs enfants majeurs (adresses postales et électroniques, téléphone) lorsque ces derniers sont identifiés comme appartenant à la troisième génération d’immigrés. Ces coordonnées devront permettre de contacter ultérieurement ces enfants dans le cadre de l’enquête " 3G " précitée afin de leur administrer un questionnaire comprenant les mêmes modules que celui de l’enquête principale. À cet égard, la Commission prend acte que le recours à cette collecte est justifié par l’absence d’une base de sondage nationale permettant de tirer aléatoirement les personnes appartenant à la 3è génération d’immigrés. Elle rappelle néanmoins que, compte tenu de son caractère expérimental et des interrogations méthodologiques soulevées par le comité du label dans son avis d’examen, ce mode d’échantillonnage indirect devra faire l’objet d’un bilan spécifique à l’issu de l’enquête permettant de vérifier son efficience et sa pertinence. Sur les droits des personnes En premier lieu, la Commission relève qu’une information conforme aux dispositions de l’article 13 du RGPD sera délivrée aux personnes concernées. En particulier, elle prend acte que cette information, qui sera délivrée de manière individuelle (par courrier au domicile de la personne interrogée ou, le cas échéant, par voie électronique), sera également rendue publique sur un site internet spécifiquement dédié à l’enquête. La Commission rappelle que les enfants contactés grâce aux données collectées auprès de leur parent devront faire l’objet d’une information spécifique dans les conditions prévues par l’article 14 du RGPD. Elle prend acte, au regard de la spécificité liée à la réalisation de cette enquête, que cette information précisera notamment que les personnes disposent d’un droit d’accès, de rectification, d’effacement et de limitation pour les données les concernant qu’elles pourront exercer au choix auprès de l’INSEE ou de l’INED pendant la période de conservation des données permettant leur identification directe. La Commission relève également qu’une version allégée de la lettre avis traduite en dix langues sera également envoyée à l’ensemble des personnes concernées afin que les personnes non francophones puissent bénéficier d’un premier niveau d’information. Ces dernières bénéficieront d’une traduction orale de la version française de la lettre avis par un enquêteur parlant leur langue au plus tard avant le début de la collecte des données. En deuxième lieu, la Commission toutefois relève que " les fiches de contact non francophones " rédigées dans vingt-deux langues qui seront présentées par les enquêteurs de l’INSEE lors de leur premier passage au domicile des personnes, font état d’une enquête à caractère anonyme. Au regard des caractéristiques de l’enquête, la Commission estime que ces fiches devraient être modifiées afin d’y préciser que l’anonymat ne sera garanti qu’au stade de la diffusion des résultats. En troisième lieu, la Commission relève que, compte tenu du caractère obligatoire de l’enquête, les personnes seront tenues de répondre à l’enquête avec exactitude et dans les délais fixés conformément aux dispositions de l’article 3 de la loi n° 51-711 du 7 juin 1951. Elle rappelle à cet égard que si, conformément à l’article 21-6 du RGPD, les personnes concernées ne peuvent s’opposer à la collecte de leurs données pour les traitements nécessaires à l’exécution d’une mission d’intérêt public et poursuivant notamment des finalités de recherche scientifique et statistiques, une telle dérogation au droit d’opposition doit cependant être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD. En l’espèce, la Commission relève qu’ à l’exception des questions dédiées au tronc commun des ménages, il est prévu de permettre aux personnes concernées de ne pas répondre ou de répondre qu’elles ne savent pas pour chacune des questions qui leur sera posée. En outre, il est également prévu que les enquêteurs rappellent expressément aux personnes le caractère facultatif des réponses aux questions contenues dans les modules " santé ", " image de soi et regard des autres ", " religion ", dans la section " intérêt pour la politique et opinions " ainsi que dans le module dédié à la collecte des coordonnées des enfants éligibles à l’enquête 3G. Si la Commission estime que cet aménagement du caractère obligatoire de l’enquête constitue une garantie pour les droits et libertés des personnes qui seront a minima tenues d’y participer, elle demande cependant à ce que le protocole de l’enquête soit modifié afin que soit expressément rappelé aux personnes concernées le caractère facultatif des réponses aux questions des sections " association ", " intérêt pour la politique et opinions ", " attitudes et opinions " et du module " discriminations " dans la mesure où elles constituent des données sensibles. Sur les destinataires des données La Commission relève que l’INSEE et l’INED seront les dépositaires exclusifs de l’ensemble des fichiers de l’enquête qui seront accessibles à leurs équipes de recherche respectives habilitées à procéder à l’exploitation des résultats. À l’issue d’un délai de dix-huit mois suivant la fin de la collecte des données, un " fichier d’étude " pseudonymisé comprenant, à l’exception des noms patronymiques et de l’adresse des enquêtés, les données issues de l’enquête enrichies de nouvelles variables d’études, de variables redressées et des poids finaux sera mis à disposition des chercheurs n’appartenant pas à la maîtrise d’ouvrage depuis le CASD. Ce fichier sera accompagné d’une version exhaustive du " fichier contextuel " précité comprenant les données du recensement agrégées au niveau de l’IRIS (Ilots Regroupés pour l'Information Statistique) de telle sorte qu’il ne sera pas possible de procéder à la ré-identification des personnes. La Commission relève en outre qu’un " fichier de production et de recherche " pseudonymisé intégrant des données issues du " fichier contextuel " avec un très faible risque d’identification sera accessible aux chercheurs n’appartenant pas à la maîtrise d’ouvrage ayant signé un engagement individuel de confidentialité via le réseau Quetelet PROGEDO dans un délai de deux ans après la fin de la collecte des données. Elle rappelle que les conditions d’accès à des données individuelles non anonymisées, figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé sont prévues par l'article 6 de la loi n° 51-711 du 7 juin 1951 modifiée ainsi que par l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé. Ces données ne peuvent faire l'objet d'aucune communication de la part des services dépositaires avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref, " sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou historique ". Elle prend acte que les procédures d’accès aux dites données via le CASD et le réseau Quételet PROGEDO est conforme aux dispositions légales applicables en matière de statistique publique. La Commission observe que différents niveaux de pseudonymisation existent selon les destinataires. Elle rappelle, à toutes fins utiles, que la réutilisation éventuelle de données à caractère personnel devra s’effectuer dans le respect de la réglementation applicable en matière de protection des données. La Commission relève par ailleurs que les différents supports d’information utilisés dans le cadre de l’enquête font référence à " l’anonymisation des données mises à disposition des chercheurs ". À cet égard, elle rappelle que conformément à l’avis 05/2014 du groupe de travail " article 29 " sur la protection des données sur les techniques d’anonymisation, l’anonymisation est un processus technique irréversible garantissant que les données ne puissent plus permettre l’identification des personnes que ce soit par individualisation, corrélation ou inférence. Dans la mesure où les fichiers précités ne réuniront pas les conditions rappelées ci-dessus pour présenter les garanties de l’anonymat et qu’ils seront à ce titre pseudonymisés, la Commission demande que les supports précités soient modifiés. Sur les durées de conservation En premier lieu, la Commission relève que les données directement identifiantes des personnes ayant donné leur accord lors de l’enquête TeO2 pour être recontactées dans le cadre de la réalisation des post-enquêtes qualitatives seront conservées par l’INED au plus tard jusqu’à la fin de l’année 2023, date butoir programmée pour leur réalisation. Ces données seront, en tout état de cause, supprimées à l’expiration de ce délai. La Commission rappelle à cet égard que les données directement identifiantes des personnes n’ayant pas donné leur accord pour être recontactées devront être supprimées à l’issue de la passation du questionnaire dans le cadre de l’enquête principale ou de l’enquête 3G. En deuxième lieu, la Commission relève que, compte tenu de la durée nécessaire à leur exploitation statistique par les responsables de traitement, le " fichier de production intermédiaire " comprenant les données brutes de la collecte desquelles sont soustraites les noms patronymiques et l’adresse des enquêtés sera conservé pendant cinq ans à compter de la collecte avant d’être versé aux archives nationales. Le " fichier d’étude ", le " fichier de production et de recherche " ainsi que le " fichier contextuel " précités seront également versés aux archives nationales au terme d’un délai de cinq ans à compter de la collecte des données. Une copie de ces fichiers sera conservée sans limite de durée par l’INED. La Commission rappelle à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Elle rappelle en outre que si " les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques ", une telle conservation doit être accompagnée de la mise en œuvre de " mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes ". En l’espèce, la Commission prend acte que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. Elle considère néanmoins que l’INED ne devrait conserver les données de l’enquête sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’INED devra déterminer une durée de conservation des données en base active au terme de laquelle il procèderait au versement de ces données aux archives de France conformément aux dispositions du code du patrimoine. Cette durée de conservation qui ne serait pas nécessairement chiffrée pourrait correspondre à la survenance d’un évènement spécifique tel que le renouvellement des données de l’enquête. Sur la sécurité des données et la traçabilité des actions Concernant le contrôle des accès logiques, la Commission prend acte que des profils d'habilitation sont prévus afin de gérer les accès aux données stockées dans les serveurs de l’INED en tant que besoin. Les habilitations sont gérées et distribuées uniquement par les membres du service informatique de l’INED, en fonction des demandes du responsable de l’enquête. Elle rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles doivent être supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées doit être opérée régulièrement tout au long de la collecte des données ainsi que de la production des études statistiques. La Commission relève que les accès aux serveurs de l’INED sont contrôlés par un identifiant et un mot de passe. Elle rappelle à cet égard l’importance de s’assurer que les mots de passes utilisés répondent aux caractéristiques mentionnées dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe. Concernant le chiffrement, la Commission prend acte que les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Par ailleurs, les supports de stockage des postes nomades utilisés par les enquêteurs lors de la collecte auprès des personnes non-francophones sont chiffrés. Elle prend également acte de ce que le serveur de fichiers PETRUS et les plateformes de stockage et de calcul stockent les données de manière chiffrée. La Commission rappelle que les mécanismes de chiffrement employés doivent être conformes à l’état de l’art et au Référentiel général de sécurité (RGS). En ce qui concerne la gestion des clés cryptographiques utilisées dans les mécanismes de chiffrement, la Commission recommande d’adopter les règles listées dans l’annexe B2 du RGS. Concernant la sauvegarde, la Commission prend acte de l’existence d’un dispositif permettant une sauvegarde quotidienne et automatisée sur les serveurs, impliquant la sauvegarde des données du traitement. Les sauvegardes sont conservées dans les locaux de l’INED pendant une durée variable n’excédant pas dix-huit mois. Elle considère à cet égard que, dans la mesure que les données sont chiffrées en base, les sauvegardes devraient être aussi chiffrées. Concernant les documents papier, la Commission prend acte des mesures prévues pour assurer la sécurité des versions papier des fiches-adresses, à savoir l’existence d’un local fermé à clé pour imprimer et scanner les fiches-adresses ainsi qu’une procédure de destruction sécurisée après le scan des documents. Concernant la traçabilité, la Commission prend acte qu’une procédure de journalisation des accès aux applications et aux données est mise en œuvre au sein des serveurs de l’INED. Eu égard de la nature des données à caractère personnel, elle considère nécessaire d’inclure dans les journaux la référence des données accédées. La Commission rappelle en outre que la procédure de journalisation doit garantir que les traces ne soient pas altérées. Dans ces conditions, la Commission considère les mesures de sécurité décrites par le responsable de traitement conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, la Commission rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l'analyse d'impact. La Présidente Marie-Laure DENIS


Décision DR-2024-167 du 9 juillet 2024 autorisant la société PFIZER INC à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la surveillance de la sécurité à long terme et en vie réelle du somatrogon chez les patients pédiatriques en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2032. (Demande d’autorisation n° 923271)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 21 septembre 2023. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc. Années concernées : 2021 à 2032, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017. Information et exercice des droits des personnes Seules des données issues du SNDS seront traitées dans le cadre de cette étude. Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R. 1461- 9 du code de la santé publique. Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement , des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information comportant l’ensemble des mentions prévues par l’article 14 du Règlement général sur la protection des données sera également rendue publique sur le site internet du responsable de traitement. Transferts de données en dehors de l’Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée d’accès Trois ans à compter de la dernière mise à disposition des données. AUTORISE la société PFIZER INC à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-170 du 9 juillet 2024 autorisant les SOCIETES MEMBRES DU CONSORTIUM VALPORATE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la caractérisation des troubles neurodéveloppementaux chez les enfants exposés in utero au valproate et/ou aux autres antiépileptiques avec un suivi à long terme, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) pour les années 2009 à 2021, intitulée « AVALON » (Demande d’autorisation n° 924007v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modification substantielle du traitement de données La modification envisagée porte sur la mise à jour de la liste des sociétés composant les membres du consortium VALPORATE. Le consortium est désormais composé des sociétés suivantes : ARISTO PHARMA GMBH ; ARROW GENERIQUES ; BETAPHARM ARZNEIMITTEL GMBH ; CONSILIENT HEALTH LTD ; CRESCENT PHARMA LTD ; DESITIN ARZNEIMITTEL GMBH ; GENERIS FARMACEUTICA S.A. ; G.L. PHARMA GMBH ; SANOZ/HEXAL AG ; LUPIN HEALTHCARE (UK) LTD ; NEURAXPHARM ARZNEIMITTEL GMBH ; ORION CORPORATION ; SANOFI WINTHROP INDUSTRIE; STADA ARZNEIMITTEL AG ; TECNIFAR S.A ; TEVA PHARMACEUTICALS EUROPE B.V. ; VIATRIS HEALTHCARE ; WOCKHARDT UK LIMITED La note d’information collective, diffusée sur le site internet de chacun des membres du consortium sera mise à jour en conséquence. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE les sociétés susmentionnées à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-171 du 9 juillet 2024 autorisant la SOCIETE ROCHE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les parcours thérapeutiques des patients atteints de cancer du poumon aux Etats-Unis, intitulée « Charleston ». (Demande d’autorisation n° 923186)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitant Des sous-traitants, dont la société F. Hoffman-La Roche Ltd interviendront dans la mise en œuvre de cette étude. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données d’une base mise en œuvre par la société Flatiron Health seront réutilisées dans le cadre de la présente étude. Cette base de données concerne exclusivement des personnes ayant été prises en charge par un établissement de santé établi aux Etats-Unis. La CNIL relève que le dossier de demande mentionne que cette base de données a été constituée conformément au droit étatsunien. Information et droits des personnes En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Cette note d’information sera rédigée en français et en anglais. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée de conservation en base active Base active : un an et demi. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE la société Roche à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-181 autorisant la société SANOFI PASTEUR à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’analyse de l’efficacité vaccinale entre les vaccins antigrippaux quadrivalents à haute dose et les vaccins antigrippaux quadrivalents à dose standard en France entre 2020 et 2023 chez les individus âgés de 65 ans et plus, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) ainsi qu’aux données de la base Resid-EHPAD, pour les années 2015 à 2023, intitulée « DRIVEN ». (Demande d’autorisation n°922026v3)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’3autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Modification du traitement de données La modification envisagée porte sur la réalisation d’une analyses descriptive complémentaire visant à identifier de potentiels facteurs associés avec la dispensation soit des vaccins grippaux dose standard, ou bien du vaccin grippal haute dose, parmi les individus de 65 ans et plus vaccinés lors des saisons grippales 2021/2022 et 2022/2023. Cette analyse sera notamment réalisée à partir des données du SNDS. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société SANOFI PASTEUR à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-195 du 26 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE – HÔPITAUX DE PARIS à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le dépistage du cancer du poumon par scanner faible dose chez les femmes, intitulée « CASCADE ». (Demande d’autorisation n° 921425v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est 1 du 18 juin 2024. Modifications du traitement de données Les modifications envisagées portent sur : les destinataires des données pseudonymisées de l’étude qui seront, en l’absence d’opposition des participantes dûment informées, partagées avec le consortium SOLACE à des fins de réalisation d’un autre projet de recherche ; l’ajout de nouvelles modalités de recrutement des participantes. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé demeure aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-196 du 26 juillet 2024 autorisant la SOCIETE THERAKOS FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le rejet humoral chez les patients transplantés cardiaques, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2025. (Demande d’autorisation n° 924203)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024 Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2006 à 2025 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site web du responsable de traitement. L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Trois ans à compter de la dernière mise à disposition des données. AUTORISE la SOCIETE THERAKOS FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-197 du 26 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les troubles du sommeil dans la maladie de Parkinson prodromique et définie, intitulée « SOMPARK ». (Demande d’autorisation n° 924201)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VI du 8 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant vingt ans puis détruits. Les enregistrements vidéo seront conservés pendant deux ans et un mois. Autres données : Base active : deux ans et un mois. Archivage : quinze ans. Réutilisation des données et échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-198 du 26 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’interchangeabilité des mesures d’intégrale temps-vitesse sous-aortique entre experts et opérateurs peu expérimentés, avec l’aide d’un logiciel d’intelligence artificielle pour l’optimisation des images échographiques, intitulée « MINI-TRAINED VTI ». (Demande d’autorisation n° 924184)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France II du 24 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche. Durée de conservation en base active et en archivage Base active : cinq ans. Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-199 du 26 juillet 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’intérêt du séquençage haut débit du génome entier dans le diagnostic et la prise en charge des patients atteints de formes atypiques de diabète, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2032, intitulée « GLUCOGEN ». (Demande d’autorisation n° 923191)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du Règlement général sur la protection des données (RGPD). Avis du comité Avis favorable du Comité de protection des personnes Est IV du 30 mai 2023. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) S’agissant des enregistrements vocaux : Des enregistrements vocaux indirectement identifiants des participants seront réalisés dans le cadre d’un entretien qualitatif. Les participants seront informés de ce traitement et leur consentement sera recueilli, en vue de la réalisation de ces enregistrements. S’agissant des enregistrements vidéo : Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. S’agissant de la réalisation d’un examen des caractéristiques génétiques : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés . Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2022 à 2032 Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants (patients et professionnels de santé) recevront une note d’information comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’étude Glucogen ainsi qu’un plan d’action associé. Au fur et à mesure de leur réception, les questionnaires papier devront être stockés séparément du reste du dossier investigateur. Les questionnaires seront archivés dès la fin des opérations de saisie et de validation des données qu’ils contiennent. Au sein du cahier d’observation électronique, les données identifiantes seront cloisonnées des données de santé. Les mesures de pseudonymisation permettront de s’assurer que l’identifiant d’inclusion ne sera pas visible lors de la réutilisation secondaire des données. Les transferts de données vers les différents acteurs disposeront d’identifiants techniques dédiés. Les flux de données intervenant dans les différents circuits de données seront chiffrés et authentifiés. Les IRM seront transmises par le biais d’une plateforme sécurisée qui assurera l’accès aux données d’imagerie aux seules personnes habilitées. De même, le transfert des archives devra se faire par un moyen assurant la confidentialité des données. Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants. Les mesures de sécurité décrites par le responsable de traitement, qui devront être opérationnelles lors de la mise en œuvre du traitement, semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La CNIL rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques. Durées de conservation en base active et en archivage Durée d’accès aux données du SNDS : sept ans à compter de leur mise à disposition. Les NIR et les dates de naissance complètes des participants seront détruits après l’appariement. Les enregistrements seront conservés pendant douze ans. Les échantillons biologiques seront conservés pendant quinze ans après la fin de la recherche. Les données nominatives et les coordonnées électroniques seront détruites à la fin du suivi. Autres données : Base active : treize ans Archivage : quinze ans. Réutilisation des données et des échantillons biologiques La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé. Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-200 du 29 juillet 2024 autorisant la société BAYER AG à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les modes d'utilisation et la sécurité de la suspension orale de rivaroxaban chez les enfants de moins de deux ans atteints de thromboembolie veineuse, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2020 à 2027, intitulée « XAPAEDUS ». (Demande d’autorisation n° 924206)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024 Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2020 à 2027 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site web du responsable de traitement. L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Deux ans à compter de la dernière mise à disposition des données. AUTORISE la SOCIETE BAYER AG à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-201 du 29 juillet 2024 autorisant la société SANOFI à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les schémas thérapeutiques, l’utilisation des ressources de santé et les résultats cliniques chez les patients atteints de myélome multiple nouvellement diagnostiqués en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2023. (Demande d’autorisation n° 922007v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2012 à 2023. Elles seront accessibles pendant cinq ans à compter de leur dernière mise à disposition. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société SANOFI à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-202 du 30 juillet 2024 autorisant l’INSTITUT NATIONAL DU CANCER et l’UNIVERSITE AIX-MARSEILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact des trajectoires de non-adhésion à l’hormonothérapie adjuvante  sur la survie sans rechute chez des femmes traitées pour un cancer du sein en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2021, contenues dans la Plateforme des données en cancérologie, intitulée « TRADHOR ». (Demande d’autorisation n° 924194)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement Les deux responsables de traitement, l’Institut national du cancer (INCa) et l’Université Aix-Marseille déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), ils doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les données issues du SNDS (SNIIRAM, PMSI et CépiDc, des années 2010 à 2021) conservées par l’INCa dans la Plateforme des données en cancérologie autorisée par la CNIL (délibération n°2023-040) seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information relative au projet de recherche sur les sites web des responsables conjoints de traitement de l’étude. Ces supports d’information devront comporter l’ensemble des mentions prévues par le RGPD. Mesures de sécurité Les données seront hébergées au sein de la Plateforme de cancérologie de l’INCa. Au vu de l’acceptation des risques résiduels par le responsable de traitement dans sa décision d’homologation datant du 3 avril 2023, le traitement paraît conforme aux exigences prévues par les articles 5-1-f et 32 du RGPD, ainsi qu’au référentiel de sécurité applicable au SNDS. Cette décision d’homologation est valable jusqu’au 3 avril 2026. Conformément aux dispositions de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à l’INCa de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Durées de conservation en base active Trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE l’institut national du cancer et l’UNIVERSITE AIX-MARSEILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-203 du 2 août 2024 autorisant la société MSD FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le fardeau des papillomatoses respiratoires récurrentes chez les adultes et les enfants, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2023, intitulée « BREATH ». (Demande d’autorisation n° 924215)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024 Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2006 à 2023 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du Code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes La CNIL rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Elle relève que le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information devra également être rendue publique sur le site web du responsable de traitement. L’ensemble de ces documents devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Trois ans à compter de la dernière mise à disposition des données. AUTORISE la société MSD FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT