148délibérations de la Commission nationale de l'informatique et des libertés.
148
Total délibérations
274
En vigueur
283
Avec résumé IA
La CNIL autorise l'Institut de Recherches Internationales Servier à mettre en œuvre un traitement de données pour l'étude clinique pédiatrique "KANDLE". Cette autorisation est accordée malgré des dérogations à la méthodologie de référence concernant le traitement d'enregistrements vidéo identifiants et leurs destinataires. Des conditions strictes sont imposées, notamment la séparation des données identifiantes, un accès limité et la suppression des vidéos dans un délai de trois mois après la fin de l'étude.
DR-2025-197
La CNIL autorise la société Bristol Myers Squibb à mettre en œuvre un traitement de données pour l'étude "RePhlect-SNDS". Ce traitement, qui présente un caractère d'intérêt public, implique l'accès et l'appariement probabiliste aux données du SNIIRAM et du PMSI (SNDS) pour les années 2020 à 2031. L'autorisation est soumise à des conditions strictes, notamment un avis favorable du comité éthique, une durée d'accès limitée à deux ans, et le respect des référentiels de sécurité et des droits des personnes concernées.
DR-2025-198
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude de recherche en santé "PREVI". L'autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant l'accès d'un sous-traitant aux données directement identifiantes, sous réserve de conditions strictes de séparation et de sécurité. Les données identifiantes seront détruites après les entretiens, tandis que les autres données seront conservées en base active pendant sept ans et trois mois, puis archivées pendant quinze ans.
DR-2025-199
La CNIL autorise l'Institut Gustave Roussy à mettre en œuvre un traitement de données pour l'étude de recherche en santé « TOLERATE ». L'autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant l'utilisation de données directement identifiantes pour un suivi dématérialisé. La décision impose des garanties strictes, notamment la séparation des bases de données et une durée de conservation limitée pour les données d'identification.
DR-2025-196
L'ASSISTANCE PUBLIQUE HOPITAUX DE PARIS (AP-HP) a obtenu une autorisation de la CNIL pour un traitement de données à des fins de recherche dans le domaine de la santé. Cette autorisation concerne l'étude "IMPREST", visant à évaluer l'impact médico-économique d'un programme de restauration fonctionnelle pour la lombalgie chronique. Le traitement est autorisé sous réserve du respect de conditions spécifiques, notamment concernant la gestion séparée des données directement identifiantes et des données de santé, ainsi que des durées de conservation définies (destruction des données nominatives à la fin du suivi, conservation des autres données en base active pendant huit ans puis en archivage pendant quinze ans).
DR-2025-194
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude "COGNIPULM" sur les plaintes cognitives des patients atteints d'un cancer bronchique. L'autorisation est accordée sous conditions, notamment concernant la gestion séparée des données directement identifiantes et l'information complète des participants. Aucune sanction n'est infligée, mais le traitement doit respecter les durées de conservation spécifiées (5 ans en base active, 15 ans en archivage) et les modalités encadrant l'accès aux données identifiantes.
DR-2025-195
Le Centre Hospitalier Universitaire (CHU) de Montpellier a obtenu une autorisation de la CNIL pour mener l'étude "DESIRE MS", une recherche sur la sclérose en plaques. Le traitement implique l'accès aux données du SNIIRAM et du PMSI (SNDS) de 2025 à 2030 et l'utilisation du NIR pour l'appariement des données. L'autorisation est soumise à des conditions strictes, notamment un circuit d'appariement sécurisé via un tiers de confiance, la non-conservation du NIR après appariement, et l'enregistrement du traitement sur la Plateforme des données de santé.
DR-2025-185
L'Assistance Publique - Hôpitaux de Paris (AP-HP) a obtenu une autorisation de la CNIL pour mettre en œuvre un traitement de données de santé dans le cadre de l'étude de recherche "DIMREATOX". Cette autorisation est accordée malgré une non-conformité ponctuelle concernant les modalités d'information initiale des patients, qui sera délivrée à leur représentant légal si nécessaire puis au patient dès que son état le permet. Le traitement est autorisé pour une durée en base active de 4 ans et 7 jours, suivie d'une période d'archivage de 25 ans.
DR-2025-190
Le Centre Hospitalier Universitaire de Brest a obtenu une autorisation de la CNIL pour modifier un traitement de données dans le cadre d'une étude de recherche sur la maladie veineuse thromboembolique (projet européen MORPHEUS). La modification autorisée consiste en l'ajout d'un sous-traitant chargé de la pseudonymisation des données d'imagerie, constituant une modification substantielle du traitement initial. Cette autorisation est accordée sous réserve du maintien des autres conditions de l'étude et fait suite à un avis favorable du comité éthique et scientifique compétent.
DR-2025-191
L'Institut National de la Santé et de la Recherche Médicale (INSERM) est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude "HHAVOC" sur la vulnérabilité du bâti à la chaleur et la consommation de soins. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la transmission d'adresses postales identifiantes au Centre Scientifique et Technique du Bâtiment (CSTB) pour un appariement. Le traitement est strictement encadré : les adresses ne seront pas conservées après l'appariement, et les autres données seront conservées deux ans en base active, avec une information préalable et annuelle des personnes concernées via la cohorte Constances.
DR-2025-192
Le Centre Hospitalier Universitaire de Marseille a obtenu une autorisation de la CNIL pour un traitement de données dans le cadre de l'étude de recherche en santé « CURA-PRONE ». Cette autorisation est accordée malgré une dérogation concernant l'information des personnes en situation d'urgence vitale immédiate, pour laquelle des modalités spécifiques de rattrapage sont prévues. Le traitement est soumis à des durées de conservation définies (9 ans en base active, 15 ans en archivage) et doit respecter le référentiel MR-001. Aucune sanction n'est mentionnée, cette décision étant une autorisation encadrant la mise en œuvre du projet.
DR-2025-193
La CNIL autorise l'Institut Curie à mettre en œuvre un traitement de données pour l'étude « AP-MTNBC », visant à déterminer un algorithme prédictif pour les carcinomes triples négatifs du sein. L'autorisation est accordée malgré une dérogation concernant l'information individuelle d'une participante perdue de vue, pour laquelle une information collective via le site web sera mise en place. Le traitement devra respecter les durées de conservation définies (2,5 ans en base active, 15 ans en archivage) et toute réutilisation ultérieure des données ou échantillons nécessitera de nouvelles formalités auprès de la CNIL.
DR-2025-188
La société LILI FOR LIFE est autorisée par la CNIL à mettre en œuvre un traitement de données pour l'étude "ADULTSIGHT", visant à évaluer un écran sur la lecture chez des adultes dyslexiques. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la nature des données, qui incluent des enregistrements vocaux identifiants. La décision impose des conditions strictes, notamment la séparation des données identifiantes, un accès limité et la destruction des enregistrements après analyse.
DR-2025-189
La CNIL autorise l'Institut National de la Santé et de la Recherche Médicale – ANRS Maladies Infectieuses Emergentes à mettre en œuvre un traitement de données pour l'étude IMOVA sur la vaccination. Cette autorisation est soumise au respect de la méthodologie de référence MR-001 et à des conditions strictes concernant les transferts de données hors UE, notamment vers les États-Unis, la Côte d'Ivoire et la République de Guinée, qui devront être encadrés par des clauses contractuelles types. Les durées de conservation des données sont fixées à deux ans et un mois en base active et à quinze ans en archivage.
DR-2025-187
Le Centre Hospitalier Universitaire de Montpellier est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude « HYPOLLUT » sur les perturbateurs endocriniens et l'hypospade. L'autorisation est accordée malgré un point de non-conformité concernant la nature des données collectées par rapport à la méthodologie de référence MR-001. Le traitement, qui inclut le code postal de la mère, est strictement encadré par des durées de conservation (6 ans en base active, 15 ans en archivage, et 30 ans pour les échantillons biologiques) et des obligations d'information des titulaires de l'autorité parentale.
DR-2025-177
Le Centre Hospitalier Universitaire de Nantes est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude de recherche médicale « HEPHAISTOS ». Cette autorisation concerne la réutilisation de données issues de la base CRISTAL de l'Agence de Biomédecine, malgré une dérogation à la méthodologie de référence MR-003 sur la nature des données. Les données seront conservées en base active pendant 18 mois, puis archivées pendant 15 ans, et les échantillons biologiques seront détruits à la fin de l'étude.
DR-2025-178
La CNIL autorise l'INTERGROUPE FRANCOPHONE DU MYÈLOME SAS à modifier son traitement de données pour l'étude "EMMY-SNDS". Cette autorisation concerne l'accès aux données du SNDS (SNIIRAM, PMSI, CépiDC) pour la période 2012-2026 et leur traitement dans une bulle sécurisée spécifique. La décision est conditionnée au respect du référentiel de sécurité SNDS, notamment par la mise à jour de l'analyse des risques et l'homologation de la bulle sécurisée conforme à la nouvelle version du référentiel d'ici février 2026.
DR-2025-179
Le Centre Hospitalier Universitaire de Clermont-Ferrand est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude « CARBON » sur le choc en réanimation. L'autorisation est accordée malgré une dérogation concernant l'information des personnes en situation d'urgence vitale immédiate, qui devra être délivrée à leurs proches dès que possible. Les données seront conservées en base active pendant 3 ans et 3 mois, puis archivées pendant 15 ans.
DR-2025-180
La société NP MEDICAL a obtenu une autorisation de la CNIL pour modifier son traitement de données "TELESAT", une étude sur la télésurveillance médicale. La décision autorise spécifiquement l'accès aux données du CépiDC pour les années 2018 à 2022, en plus des données du SNIIRAM et du PMSI déjà approuvées. Cette modification, qui a reçu un avis favorable du comité éthique, est accordée car la finalité de l'étude présente un caractère d'intérêt public.
DR-2025-181
Le CHU de Nantes est autorisé par la CNIL à mettre en œuvre un traitement de données pour une étude sur les patients transplantés rénaux retournant en dialyse. L'autorisation est accordée malgré des dérogations à la méthodologie de référence, notamment pour l'appariement de données issues des bases DIVAT et MEDIAL. La décision impose des mesures de sécurité renforcées, une durée de conservation limitée et l'information des personnes concernées.
DR-2025-182