274délibérations de la Commission nationale de l'informatique et des libertés.
274
Total délibérations
274
En vigueur
283
Avec résumé IA
La CNIL autorise l'Université de Caen à modifier un traitement de données pour une étude sur les inégalités socio-territoriales en cancérologie. L'autorisation porte sur l'extension de la période d'étude et l'ajout d'un objectif secondaire évaluant l'impact de la pollution atmosphérique. Elle valide également la réutilisation de données issues de 22 registres de cancers et encadre les modalités d'information des personnes concernées, qui se fera par voie de publicité en raison des efforts disproportionnés qu'une information individuelle représenterait.
DR-2025-170
La CNIL autorise l'Institut national de la santé et de la recherche médicale (Inserm) – ANRS – Maladies infectieuses émergentes à mener l'étude "OBSOCAM" sur le VIH-1 au Cameroun. L'autorisation est accordée sous réserve du respect de la méthodologie de référence MR-003, avec des dérogations concernant l'information des participants pour le volet rétrospectif de l'étude. Le transfert de données pseudonymisées vers le Cameroun devra être encadré par des clauses contractuelles types, le responsable de traitement devant s'assurer du niveau de protection effectif dans ce pays tiers.
DR-2025-164
La CNIL autorise le Centre Léon Bérard, Sanofi et l'INRIA à mettre en œuvre un traitement de données pour l'étude COMBO en oncologie. Cette autorisation concerne l'accès et l'appariement de données du SNIIRAM et du PMSI (2006-2024) ainsi que la réutilisation de données d'une étude antérieure. La décision impose le respect de conditions strictes, notamment la formalisation des rôles entre responsables de traitement et le GIP Plateforme des données de santé, et encadre l'accès de Sanofi aux données du SNDS.
DR-2025-169
La CNIL autorise l'Institut de Recherche pour le Développement (IRD) à mettre en œuvre un traitement de données pour l'étude de santé publique "AfZoonS" sur la schistosomiase au Bénin. L'autorisation est accordée sous conditions, notamment concernant l'information renforcée des participants et l'encadrement spécifique des transferts de données pseudonymisées vers le Bénin. La décision impose le respect de durées de conservation définies et exige un consentement écrit spécifique pour tout examen génétique sur des participants mineurs.
DR-2025-168
Le Centre Hospitalier Universitaire de Tours est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude MEDECO-IPS, visant à évaluer l'efficience d'un modèle de soutien à l'emploi pour les patients atteints de pathologies mentales sévères. L'autorisation concerne spécifiquement l'accès aux données du SNIIRAM et du PMSI (SNDS) pour la période 2025-2030, ainsi que le traitement du NIR via un circuit sécurisé impliquant un tiers de confiance. La décision impose le respect strict de la méthodologie de référence MR-004, avec des conditions renforcées pour la sécurité des données identifiantes et une durée de conservation limitée.
DR-2025-167
La CNIL autorise l'Université de Reims Champagne-Ardenne à mettre en œuvre un traitement de données pour une étude de santé intitulée "Hydro-Paro". Cette autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant l'accès aux données directement identifiantes par l'attaché de recherche clinique. La décision impose des conditions strictes, notamment la séparation des bases de données et des durées de conservation limitées (destruction des données d'identification trois mois après la fin du suivi).
DR-2025-166
Le Centre Hospitalier Universitaire de Bordeaux a obtenu une autorisation de la CNIL pour mener l'étude « TALENT-SNDS », visant à construire des modèles de prédiction du risque d'AVC cardioembolique. Cette autorisation permet l'accès et l'appariement de données du SNDS (SNIIRAM, PMSI, CépiDc) avec des données cliniques existantes, incluant le traitement du NIR à des fins d'appariement spécifique. La décision impose le respect strict d'un protocole de chaînage sécurisé du NIR et une formalisation des rôles entre le CHU et le GIP Plateforme des données de santé, qui agit en tant que sous-traitant pour l'hébergement et l'appariement.
DR-2025-163
La CNIL émet un avis favorable sur un projet d'arrêté-cadre du ministère des Armées et du ministère de l'Intérieur autorisant l'utilisation de caméras sur drones pour la protection des installations militaires. La Commission estime que les traitements de données personnelles (images vidéo, horodatage, identification des opérateurs) sont proportionnés et légitimes, étant limités au survol des enceintes militaires. Elle prend acte des engagements des ministères à diffuser une doctrine d'emploi pour garantir un déploiement uniforme et encadré des dispositifs.
2025-060
La CNIL émet un avis sur un projet d'arrêté du Ministère de la transition écologique modifiant le traitement SIMBA, relatif à l'enregistrement des bateaux de plaisance. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour les finalités administratives et la directive "police-justice" pour les contrôles et enquêtes. La Commission prend acte que les droits des personnes (accès, rectification) s'exerceront uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et ne formule pas d'autres observations sur le projet.
2025-069
La CNIL émet un avis sur le projet d'arrêté du Ministère de la transition écologique créant le traitement « OEDIPP » pour les permis de conduire des bateaux de plaisance. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour la gestion administrative des permis et la directive « police-justice » pour les contrôles et enquêtes. La Commission relève que les droits des personnes (accès, rectification) s'exerceront uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et n'émet pas d'autres observations sur le projet.
2025-068
La CNIL autorise l'Institut Gustave Roussy à mettre en œuvre l'entrepôt de données de santé « INTERCEPTION ». Ce traitement, destiné à la recherche et à la prévention des cancers, est licite car il répond à une mission d'intérêt public. L'autorisation est accordée sous réserve que les futurs projets de recherche utilisant ces données fassent l'objet de formalités propres et que les sous-traitants soient liés par des contrats conformes au RGPD.
2025-062
La CNIL émet un avis sur le projet d'arrêté du Ministère de la transition écologique créant le traitement « PUMA », un référentiel des navires de plaisance. Elle constate que le traitement relève d'un régime juridique mixte, combinant le RGPD et la directive « police-justice ». La Commission relève que les droits des personnes concernées se fondent uniquement sur le RGPD, conformément à la jurisprudence du Conseil d'État. Elle ne formule pas d'observations sur les autres dispositions du projet.
2025-067
La société ARGEN-X est autorisée par la CNIL à mettre en œuvre un traitement de données pour une étude clinique (advance NEXT) sur l'efgartigimod IV chez des adultes atteints de purpura thrombopénique immunologique. L'autorisation est accordée malgré une dérogation à la méthodologie de référence MR-001 concernant la collecte de l'origine ethnique des participants, cette collecte ayant été jugée justifiée. Le traitement doit respecter le cadre de la MR-001 et a reçu un avis favorable du comité de protection des personnes.
DR-2025-165
La CNIL émet un avis sur un projet d'arrêté du Ministère de la transition écologique modifiant le traitement « NAVPRO », un référentiel des navires professionnels. Elle constate que ce traitement relève d'un régime juridique mixte, combinant le RGPD pour des finalités administratives et la directive « police-justice » pour les contrôles et la prévention d'infractions. La Commission relève que les droits des personnes (accès, rectification) s'exercent uniquement sur le fondement du RGPD, une position conforme à la jurisprudence du Conseil d'État, et ne formule pas d'autres observations sur le projet.
2025-066
La CNIL autorise l'Institut de Recherche pour le Développement, l'Université Iba Der Thiam de Thiès et l'Université Cheikh-Anta-Diop de Dakar à mettre en œuvre un traitement de données pour l'étude de santé publique "AMARETi". Cette autorisation est accordée sous conditions, notamment concernant le traitement de données de localisation et d'enregistrements vocaux, l'information spécifique des mineurs et des participants devenant majeurs, et l'encadrement strict des transferts de données pseudonymisées vers le Sénégal. La décision impose également des durées de conservation précises pour les différentes catégories de données et échantillons biologiques.
DR-2025-162
La CNIL autorise le Centre Hospitalier Universitaire de Rennes à mettre en œuvre un traitement de données pour l'étude clinique "LIDOCRIT". Cette autorisation est accordée malgré une dérogation concernant l'information des patients, qui peut être différée lorsque leur état de santé ne le permet pas. Les données seront conservées en base active pendant quatre ans, puis archivées pendant vingt-cinq ans.
DR-2025-161
La CNIL rend un avis sur un projet de décret concernant l'Autorité de régulation des transports (ART). Ce texte vise à encadrer les collectes automatisées de données publiquement accessibles par l'ART pour ses missions de contrôle des services de mobilité. La CNIL constate que le projet limite le risque de traitement de données personnelles et prévoit leur destruction immédiate si cela devait se produire, mais recommande néanmoins une information générale du public et des garanties de sécurité suffisantes.
2025-056
La CNIL émet un avis sur un projet de décret du Ministère de la Justice concernant la protection des données des dirigeants et associés au registre du commerce et des sociétés (RCS). Elle juge l'objectif du projet conforme à la réglementation, mais formule plusieurs recommandations pour l'améliorer. Elle préconise notamment de garantir le droit à la confidentialité de l'adresse personnelle à tout moment et d'étendre ce droit à d'autres personnes physiques exposées. La CNIL regrette certaines limitations du dispositif et appelle à un travail structurel pour harmoniser la divulgation des données dans l'ensemble des registres publics.
2025-058
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude de recherche "PROSECO" sur les patients intubés. L'autorisation est accordée malgré une dérogation concernant l'information préalable des patients, qui sera délivrée à leur représentant légal si leur état ne le permet pas, puis au patient dès que possible. Les données seront conservées en base active pendant 4 ans et 6 mois, puis archivées pendant 25 ans.
DR-2025-157
La CNIL autorise la société EMOBOT à mettre en œuvre un traitement de données pour l'étude « EMC2FR », visant à valider un outil d'évaluation digitale de la dépression. L'autorisation est accordée malgré un écart à la méthodologie de référence (MR-001) concernant le traitement d'enregistrements vidéo directement identifiants, qui sont soumis à des garanties spécifiques. La décision encadre également un transfert de données pseudonymisées vers les États-Unis, qui devra reposer sur des clauses contractuelles types, le cadre « Data Privacy Framework » n'étant pas applicable en l'espèce.
DR-2025-158