148délibérations de la Commission nationale de l'informatique et des libertés.
148
Total délibérations
274
En vigueur
283
Avec résumé IA
La CNIL autorise le Centre Hospitalier Universitaire de Bordeaux à mettre en œuvre un traitement de données pour l'étude "PHARIBO" sur les cystites simples. Cette autorisation concerne un accès aux données du SNIIRAM (SNDS) pour 2026-2027, dans le cadre d'un protocole de délégation en pharmacie. La décision impose des conditions strictes, notamment la séparation des données identifiantes, une durée de conservation limitée et l'information des participants.
DR-2025-156
La CNIL autorise la société IPSEN PHARMA à mettre en œuvre un traitement de données pour l'étude "ELFINITY", une recherche dans le domaine de la santé. L'autorisation est accordée malgré des dérogations à la méthodologie de référence MR-003, notamment concernant l'accès de certains destinataires aux données directement identifiantes. La décision impose des conditions strictes, comme la séparation des bases de données et des durées de conservation limitées.
DR-2025-155
La CNIL autorise les **LABORATOIRES THEA** à mettre en œuvre un traitement de données pour une **étude clinique** sur le Sepofarsen. L'autorisation est accordée malgré un traitement de données génétiques et d'enregistrements audio-vidéo, sous réserve du respect de conditions strictes, notamment un consentement spécifique et des mesures de sécurité. Le transfert de données pseudonymisées vers les États-Unis devra être encadré par des clauses contractuelles types, les durées de conservation étant fixées à 4 ans en base active et 25 ans en archivage.
DR-2025-066
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude de recherche "PROSECO" sur les patients intubés. L'autorisation est accordée malgré une dérogation concernant l'information préalable des patients, qui sera délivrée à leur représentant légal si leur état ne le permet pas, puis au patient dès que possible. Les données seront conservées en base active pendant 4 ans et 6 mois, puis archivées pendant 25 ans.
DR-2025-157
La CNIL autorise la société EMOBOT à mettre en œuvre un traitement de données pour l'étude « EMC2FR », visant à valider un outil d'évaluation digitale de la dépression. L'autorisation est accordée malgré un écart à la méthodologie de référence (MR-001) concernant le traitement d'enregistrements vidéo directement identifiants, qui sont soumis à des garanties spécifiques. La décision encadre également un transfert de données pseudonymisées vers les États-Unis, qui devra reposer sur des clauses contractuelles types, le cadre « Data Privacy Framework » n'étant pas applicable en l'espèce.
DR-2025-158
La CNIL autorise l'Institut National du Cancer et la société Novartis à modifier le traitement de données pour l'étude "BACK GAMMON" sur le cancer bronchique. L'autorisation porte principalement sur l'utilisation de nouvelles bases de données (dossier communicant en cancérologie et SNDS 2014-2024) et adapte les modalités d'information des personnes concernées. Pour les patients dont le suivi est terminé ou dont les données proviennent exclusivement du SNDS, l'information se fera par voie de publication web en raison des efforts disproportionnés, conformément aux exceptions légales.
DR-2025-160
La CNIL autorise l'Institut de Recherche et Documentation en Economie de la Santé (IRDES) à mettre en œuvre un traitement de données pour l'étude "CAPSULES" sur la prise en charge psychiatrique aux urgences. L'autorisation concerne l'accès, via des plateformes sécurisées (CASD, ATIH), aux données du PMSI psychiatrique et des résumés de passages aux urgences de 2020 à 2026, ainsi qu'aux données de l'enquête "Urgences 2023". Des mesures spécifiques sont prévues, notamment une information du public via le site web de l'IRDES en lieu et place d'une information individuelle, et une durée d'accès aux données limitée à deux ans.
DR-2025-151
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour une étude de recherche médicale intitulée "MOVING". Cette autorisation est accordée malgré un écart à la méthodologie de référence concernant le traitement d'enregistrements vidéo identifiants de jeunes enfants, soumis à des garanties strictes comme le consentement parental et un accès limité. Les données vidéo seront conservées trois ans puis détruites, tandis que les autres données seront archivées pendant quinze ans.
DR-2025-152
La CNIL autorise le laboratoire Pfizer Inc et l'Université d'Utrecht à mettre en œuvre un traitement de données pour une étude sur la sécurité du vaccin ABRYSVO chez les femmes enceintes et leurs nouveau-nés. L'autorisation concerne l'accès, via une bulle sécurisée, aux données du SNIIRAM, PMSI, CépiDC et Vaccin-COVID (SNDS) pour les années 2019 à 2027. Les personnes concernées seront informées via une note publique en raison des efforts disproportionnés qu'une information individuelle représenterait, et la durée d'accès aux données est fixée à trois ans.
DR-2025-149
La CNIL autorise le laboratoire Pfizer Inc et l'Université d'Utrecht à mettre en œuvre un traitement de données pour une étude de sécurité sur le vaccin ABRYSVO. L'autorisation porte sur l'accès aux données du SNDS (SNIIRAM, PMSI, CépiDC, Vaccin-COVID) de 2019 à 2027 via un environnement sécurisé homologué. La décision prévoit une dérogation à l'information individuelle des personnes, remplacée par une information publique, et limite la durée d'accès aux données à trois ans.
DR-2025-148
Le Centre Hospitalier Universitaire de Toulouse a obtenu une autorisation de la CNIL pour un traitement de données à des fins de recherche dans le domaine de la santé. Cette autorisation concerne une étude nommée « SPIN-NA » visant à évaluer la reproductibilité d'une échelle d'observation du développement des grands prématurés. Le traitement est autorisé malgré une dérogation à la méthodologie de référence (MR-003) concernant le traitement d'enregistrements vidéo identifiants des mineurs, soumis à des conditions strictes de sécurité, de consentement parental et de durée de conservation limitée. Aucune sanction n'est mentionnée, l'acte constituant une autorisation encadrant la mise en œuvre du projet.
DR-2025-154
La CNIL autorise l'Université de Bordeaux et la société Abbott Diabetes Care à modifier un traitement de données pour l'étude "FACULTY". Cette autorisation concerne l'ajout d'un objectif secondaire à une recherche existante sur le pronostic des complications du diabète, nécessitant l'accès au SNDS (SNIIRAM, PMSI, CépiDc) de 2013 à 2023. La décision, prise au vu d'un avis favorable du comité éthique, confirme que le traitement, présentant un intérêt public, respecte le cadre légal.
DR-2025-150
La CNIL autorise les sociétés CLINITYX et EDWARDS LIFESCIENCES à mettre en œuvre un traitement de données pour une étude de santé publique (étude VITALE) sur la prise en charge du remplacement valvulaire aortique. Le traitement, qui nécessite l'accès à certaines données du SNDS via l'entrepôt Magellan, bénéficie d'un avis favorable du comité éthique et est dispensé d'information individuelle en raison d'efforts disproportionnés, sous réserve d'une information publique. Les données seront conservées dans l'espace de travail pendant un an, puis supprimées dans un délai maximal de deux ans.
DR-2025-147
La CNIL autorise l'Institut Gustave Roussy à mettre en œuvre un traitement de données pour l'étude « HOPE », visant à évaluer un outil numérique d'aide à l'autogestion pour des patients atteints d'un cancer du sein. L'autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant les destinataires des données directement identifiantes, pour lequel des garanties spécifiques sont imposées. Le traitement est soumis à des conditions strictes, incluant la séparation des bases de données, des mesures de sécurité renforcées et des durées de conservation limitées (destruction des données d'identification à la fin du suivi, archivage des autres données sur 15 ans).
DR-2025-091
La CNIL autorise l'Agence nationale de santé publique (ANSP) à mettre en œuvre un traitement de données pour l'étude "ALBANE", un suivi passif des participants via l'accès au Système national des données de santé (SNDS) de 2015 à 2036. L'autorisation est accordée malgré des non-conformités à la méthodologie de référence concernant la nature des données et les destinataires des données directement identifiantes. Des mesures strictes de sécurité sont imposées, notamment la séparation des bases de données identifiantes et de santé, et un accès limité aux personnes habilitées.
DR-2025-126
La CNIL autorise l'Agence nationale de santé publique (ANSP) et l'Agence nationale de sécurité sanitaire de l'alimentation, de l'environnement et du travail (ANSES) à mettre en œuvre un traitement de données pour une étude sur la non-réponse des participants à l'étude "ALBANE". Cette autorisation, dérogatoire à la méthodologie de référence MR-004, permet l'accès à des données directement identifiantes et au Système national des données de santé (SNDS) pour les années 2023 à 2026. La décision impose des conditions strictes, notamment la séparation des bases de données et un accès limité aux données identifiantes, sous réserve du droit d'opposition des personnes concernées.
DR-2025-129
La CNIL autorise l'Institut National du Cancer (INCa) et l'INSERM à mettre en œuvre un traitement de données pour l'étude « ALGOTOXIMM », visant à valider un algorithme sur les toxicités des immunothérapies. L'autorisation concerne l'accès et la réutilisation de données du SNDS (2010-2023) et d'autres cohortes, avec une dérogation à l'information individuelle pour les personnes dont les données proviennent uniquement du SNDS. Les données seront hébergées dans une plateforme homologuée et conservées en base active pendant cinq ans, sous le respect strict du référentiel de sécurité du SNDS.
DR-2025-131
La CNIL autorise le Centre Hospitalier Universitaire de Nantes à mettre en œuvre un traitement de données pour l'étude clinique "DEXA-BURN". Cette autorisation est accordée malgré une dérogation aux modalités d'information standard des patients, justifiée par l'inclusion de personnes en situation d'urgence vitale. Le traitement devra respecter la méthodologie de référence MR-001, avec des durées de conservation fixées à 5 ans en base active et 25 ans en archivage.
DR-2025-132
La CNIL autorise l'Institut National de la Santé et de la Recherche Médicale (INSERM) à mettre en œuvre un traitement de données pour l'étude "NOISES" sur les maladies neuro-cardio-vasculaires et l'exposition au bruit. L'autorisation est accordée malgré des dérogations à la méthodologie de référence, notamment concernant la nature des données (adresses complètes) et les modalités d'information des personnes (une information publique remplace l'information individuelle pour un registre, en raison d'efforts disproportionnés). Le traitement, qui réutilise des données de registres existants, est soumis à des conditions strictes de sécurité, de durée de conservation (3 ans en base active) et de transparence (enregistrement sur la Plateforme des données de santé).
2025-127
La CNIL autorise le Centre Hospitalier Universitaire de Grenoble à mettre en œuvre un traitement de données pour l'étude « ELDERVAX-CVRO » sur la vaccination des patients âgés. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant les destinataires des données directement identifiantes. Des mesures strictes de sécurité sont imposées, notamment la séparation des bases de données et des durées de conservation limitées (destruction des coordonnées après 4 mois).
DR-2025-120