234délibérations de la Commission nationale de l'informatique et des libertés.
234
Total délibérations
274
En vigueur
283
Avec résumé IA
Le Centre Hospitalier Universitaire de Montpellier est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude « CRYPTENV » sur la cryptorchidie infantile. Cette autorisation concerne un traitement de données de santé, incluant le code postal de la mère, justifié par la recherche. La décision encadre spécifiquement la durée de conservation des données et des échantillons biologiques, et valide le processus d'information des titulaires de l'autorité parentale.
DR-2025-171
La CNIL autorise le LABORATOIRE DE LA MER à mettre en œuvre un traitement de données pour l'étude clinique "SEABRIDGE". L'autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant l'accès d'un sous-traitant aux données directement identifiantes. Des mesures strictes de séparation des données et de limitation des accès sont imposées pour ce point spécifique. Les durées de conservation des données sont fixées à 4 ans en base active et 15 ans en archivage.
DR-2025-172
La CNIL autorise l'Université de Reims Champagne-Ardenne à mettre en œuvre un traitement de données pour une étude de santé intitulée "Hydro-Paro". Cette autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant l'accès aux données directement identifiantes par l'attaché de recherche clinique. La décision impose des conditions strictes, notamment la séparation des bases de données et des durées de conservation limitées (destruction des données d'identification trois mois après la fin du suivi).
DR-2025-166
Le Centre Hospitalier Universitaire de Tours est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude MEDECO-IPS, visant à évaluer l'efficience d'un modèle de soutien à l'emploi pour les patients atteints de pathologies mentales sévères. L'autorisation concerne spécifiquement l'accès aux données du SNIIRAM et du PMSI (SNDS) pour la période 2025-2030, ainsi que le traitement du NIR via un circuit sécurisé impliquant un tiers de confiance. La décision impose le respect strict de la méthodologie de référence MR-004, avec des conditions renforcées pour la sécurité des données identifiantes et une durée de conservation limitée.
DR-2025-167
La CNIL autorise l'Institut de Recherche pour le Développement (IRD) à mettre en œuvre un traitement de données pour l'étude de santé publique "AfZoonS" sur la schistosomiase au Bénin. L'autorisation est accordée sous conditions, notamment concernant l'information renforcée des participants et l'encadrement spécifique des transferts de données pseudonymisées vers le Bénin. La décision impose le respect de durées de conservation définies et exige un consentement écrit spécifique pour tout examen génétique sur des participants mineurs.
DR-2025-168
La CNIL autorise le Centre Léon Bérard, Sanofi et l'INRIA à mettre en œuvre un traitement de données pour l'étude COMBO en oncologie. Cette autorisation concerne l'accès et l'appariement de données du SNIIRAM et du PMSI (2006-2024) ainsi que la réutilisation de données d'une étude antérieure. La décision impose le respect de conditions strictes, notamment la formalisation des rôles entre responsables de traitement et le GIP Plateforme des données de santé, et encadre l'accès de Sanofi aux données du SNDS.
DR-2025-169
La CNIL émet un avis favorable sur un projet d'arrêté-cadre du ministère des Armées et du ministère de l'Intérieur autorisant l'utilisation de caméras sur drones pour la protection des installations militaires. La Commission estime que les traitements de données personnelles (images vidéo, horodatage, identification des opérateurs) sont proportionnés et légitimes, étant limités au survol des enceintes militaires. Elle prend acte des engagements des ministères à diffuser une doctrine d'emploi pour garantir un déploiement uniforme et encadré des dispositifs.
2025-060
La CNIL émet un avis sur un projet d'arrêté du Ministère de la transition écologique modifiant le traitement « NAVPRO », un référentiel des navires professionnels. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour des finalités administratives et la directive « police-justice » pour les contrôles et la prévention d'infractions. La Commission relève que les droits des personnes (accès, rectification) s'exercent uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et ne formule pas d'autres observations sur le projet.
2025-066
La CNIL émet un avis sur le projet d'arrêté du Ministère de la transition écologique créant le traitement « PUMA », un référentiel des navires de plaisance. Elle constate que le traitement relève d'un régime juridique mixte, combinant le RGPD et la directive « police-justice ». La Commission relève que les droits des personnes concernées se fondent uniquement sur le RGPD, conformément à la jurisprudence du Conseil d'État. Elle ne formule pas d'observations sur les autres dispositions du projet.
2025-067
La CNIL émet un avis sur le projet d'arrêté du Ministère de la transition écologique créant le traitement « OEDIPP » pour les permis de conduire des bateaux de plaisance. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour la gestion administrative des permis et la directive « police-justice » pour les contrôles et enquêtes. La Commission relève que les droits des personnes (accès, rectification) s'exerceront uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et n'émet pas d'autres observations sur le projet.
2025-068
La CNIL émet un avis sur un projet d'arrêté du Ministère de la transition écologique modifiant le traitement SIMBA, relatif à l'enregistrement des bateaux de plaisance. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour les finalités administratives et la directive "police-justice" pour les contrôles et enquêtes. La Commission prend acte que les droits des personnes (accès, rectification) s'exerceront uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et ne formule pas d'autres observations sur le projet.
2025-069
Le Centre Hospitalier Universitaire de Bordeaux a obtenu une autorisation de la CNIL pour mener l'étude « TALENT-SNDS », visant à construire des modèles de prédiction du risque d'AVC cardioembolique. Cette autorisation permet l'accès et l'appariement de données du SNDS (SNIIRAM, PMSI, CépiDc) avec des données cliniques existantes, incluant le traitement du NIR à des fins d'appariement spécifique. La décision impose le respect strict d'un protocole de chaînage sécurisé du NIR et une formalisation des rôles entre le CHU et le GIP Plateforme des données de santé, qui agit en tant que sous-traitant pour l'hébergement et l'appariement.
DR-2025-163
La société ARGEN-X est autorisée par la CNIL à mettre en œuvre un traitement de données pour une étude clinique (advance NEXT) sur l'efgartigimod IV chez des adultes atteints de purpura thrombopénique immunologique. L'autorisation est accordée malgré une dérogation à la méthodologie de référence MR-001 concernant la collecte de l'origine ethnique des participants, cette collecte ayant été jugée justifiée. Le traitement doit respecter le cadre de la MR-001 et a reçu un avis favorable du comité de protection des personnes.
DR-2025-165
La CNIL autorise l'Institut Gustave Roussy à mettre en œuvre l'entrepôt de données de santé « INTERCEPTION ». Ce traitement, destiné à la recherche et à la prévention des cancers, est licite car il répond à une mission d'intérêt public. L'autorisation est accordée sous réserve que les futurs projets de recherche utilisant ces données fassent l'objet de formalités propres et que les sous-traitants soient liés par des contrats conformes au RGPD.
2025-062
La CNIL autorise l'Institut de Recherche pour le Développement, l'Université Iba Der Thiam de Thiès et l'Université Cheikh-Anta-Diop de Dakar à mettre en œuvre un traitement de données pour l'étude de santé publique "AMARETi". Cette autorisation est accordée sous conditions, notamment concernant le traitement de données de localisation et d'enregistrements vocaux, l'information spécifique des mineurs et des participants devenant majeurs, et l'encadrement strict des transferts de données pseudonymisées vers le Sénégal. La décision impose également des durées de conservation précises pour les différentes catégories de données et échantillons biologiques.
DR-2025-162
La CNIL autorise le Centre Hospitalier Universitaire de Rennes à mettre en œuvre un traitement de données pour l'étude clinique "LIDOCRIT". Cette autorisation est accordée malgré une dérogation concernant l'information des patients, qui peut être différée lorsque leur état de santé ne le permet pas. Les données seront conservées en base active pendant quatre ans, puis archivées pendant vingt-cinq ans.
DR-2025-161
La CNIL rend un avis sur un projet de décret concernant l'Autorité de régulation des transports (ART). Ce texte vise à encadrer les collectes automatisées de données publiquement accessibles par l'ART pour ses missions de contrôle des services de mobilité. La CNIL constate que le projet limite le risque de traitement de données personnelles et prévoit leur destruction immédiate si cela devait se produire, mais recommande néanmoins une information générale du public et des garanties de sécurité suffisantes.
2025-056
La CNIL émet un avis sur un projet de décret du Ministère de la Justice concernant la protection des données des dirigeants et associés au registre du commerce et des sociétés (RCS). Elle juge l'objectif du projet conforme à la réglementation, mais formule plusieurs recommandations pour l'améliorer. Elle préconise notamment de garantir le droit à la confidentialité de l'adresse personnelle à tout moment et d'étendre ce droit à d'autres personnes physiques exposées. La CNIL regrette certaines limitations du dispositif et appelle à un travail structurel pour harmoniser la divulgation des données dans l'ensemble des registres publics.
2025-058
La CNIL autorise la société IPSEN PHARMA à mettre en œuvre un traitement de données pour l'étude "ELFINITY", une recherche dans le domaine de la santé. L'autorisation est accordée malgré des dérogations à la méthodologie de référence MR-003, notamment concernant l'accès de certains destinataires aux données directement identifiantes. La décision impose des conditions strictes, comme la séparation des bases de données et des durées de conservation limitées.
DR-2025-155
La CNIL autorise le Centre Hospitalier Universitaire de Bordeaux à mettre en œuvre un traitement de données pour l'étude "PHARIBO" sur les cystites simples. Cette autorisation concerne un accès aux données du SNIIRAM (SNDS) pour 2026-2027, dans le cadre d'un protocole de délégation en pharmacie. La décision impose des conditions strictes, notamment la séparation des données identifiantes, une durée de conservation limitée et l'information des participants.
DR-2025-156