283délibérations de la Commission nationale de l'informatique et des libertés.
283
Total délibérations
274
En vigueur
283
Avec résumé IA
La CNIL autorise l'Institut National du Cancer (INCa) et l'INSERM à mettre en œuvre un traitement de données pour l'étude « ALGOTOXIMM », visant à valider un algorithme sur les toxicités des immunothérapies. L'autorisation concerne l'accès et la réutilisation de données du SNDS (2010-2023) et d'autres cohortes, avec une dérogation à l'information individuelle pour les personnes dont les données proviennent uniquement du SNDS. Les données seront hébergées dans une plateforme homologuée et conservées en base active pendant cinq ans, sous le respect strict du référentiel de sécurité du SNDS.
DR-2025-131
La CNIL autorise le Centre Hospitalier Universitaire de Grenoble à mettre en œuvre un traitement de données pour l'étude « ELDERVAX-CVRO » sur la vaccination des patients âgés. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant les destinataires des données directement identifiantes. Des mesures strictes de sécurité sont imposées, notamment la séparation des bases de données et des durées de conservation limitées (destruction des coordonnées après 4 mois).
DR-2025-120
La CNIL habilite des agents de sa direction des contrôles et des sanctions à établir des rapports dans le cadre de ses pouvoirs de contrôle. Cette habilitation, accordée pour une durée de cinq ans, concerne une liste nominative de vingt agents. La décision abroge l'habilitation précédente et sera publiée au Journal officiel.
HABS-2025-003
La CNIL autorise l'Institut National de la Santé et de la Recherche Médicale (INSERM) à mettre en œuvre un traitement de données pour l'étude "NOISES" sur les maladies neuro-cardio-vasculaires et l'exposition au bruit. L'autorisation est accordée malgré des dérogations à la méthodologie de référence, notamment concernant la nature des données (adresses complètes) et les modalités d'information des personnes (une information publique remplace l'information individuelle pour un registre, en raison d'efforts disproportionnés). Le traitement, qui réutilise des données de registres existants, est soumis à des conditions strictes de sécurité, de durée de conservation (3 ans en base active) et de transparence (enregistrement sur la Plateforme des données de santé).
2025-127
La CNIL autorise la DREES (Ministère de la Santé) à mettre en œuvre un traitement de données pour une étude sur la consommation de soins des personnes handicapées ou en perte d'autonomie et de leurs aidants. Ce traitement, présentant un intérêt public, implique l'appariement d'enquêtes avec les données du SNDS (SNIIRAM, PMSI, CépiDc) pour la période 2016-2028, nécessitant notamment le traitement du NIR. L'autorisation est soumise à des conditions strictes, notamment le respect de la méthodologie de référence MR-004 (sauf dérogations précisées), l'encadrement des sous-traitants, et la mise en place de mesures de sécurité renforcées pour les circuits d'appariement et la conservation des données.
DR-2025-130
La CNIL autorise le Centre Hospitalier Universitaire de Nancy à modifier son traitement de données pour l'étude PARADISE, portant sur la prise en charge des patients dyspnéiques aux urgences. L'autorisation concerne spécifiquement l'ajout du recueil de la commune de résidence des patients, scientifiquement justifié. En raison d'efforts disproportionnés, l'information des personnes se fera par affichage et diffusion sur le site web plutôt que de manière individuelle.
DR-2025-125
La CNIL autorise l'Université Gustave Eiffel à mettre en œuvre un traitement de données pour l'étude « RIBEolH » sur les impacts du bruit éolien. Cette autorisation est accordée sous plusieurs conditions strictes, notamment la séparation des données directement identifiantes des données de santé et l'encadrement des sous-traitances. La décision impose également des durées de conservation limitées et des mesures de sécurité renforcées, tout en validant le recueil de certaines données particulières comme le revenu ou la géolocalisation, scientifiquement justifiées.
DR-2025-128
La CNIL autorise l'Université de Reims Champagne-Ardenne à mettre en œuvre un traitement de données pour une étude sur les patients de la maison médicale de garde de Reims. L'autorisation est accordée malgré un point de non-conformité concernant les destinataires des données directement identifiantes, qui doivent être traitées séparément. Des durées de conservation spécifiques sont imposées, notamment 15 mois pour les données d'identification et un archivage de 15 ans pour les autres données.
DR-2025-119
La CNIL autorise le Centre Hospitalier Universitaire de Grenoble à mettre en œuvre un traitement de données pour l'étude « TRAUMATRIX », portant sur un outil d'aide à la décision pour les patients traumatisés sévères. L'autorisation est accordée malgré des dérogations à la méthodologie de référence concernant l'accès aux données directement identifiantes par un attaché de recherche clinique et les modalités d'information des personnes. La décision impose des conditions strictes, notamment la séparation des bases de données, un accès limité, et des durées de conservation définies (destruction des données d'identification après le suivi, conservation des autres données en base active pendant 7 ans et 6 mois, puis archivage pendant 15 ans).
DR-2025-124
La société PFIZER INC. a été autorisée par la CNIL à modifier un traitement de données pour une étude sur le Xeljanz (tofacitinib). Cette autorisation permet l'accès aux données du SNIIRAM, du PMSI et du CépiDc (SNDS) pour la période 2017-2025. La décision, fondée sur un avis favorable du comité éthique et scientifique, reconnaît le caractère d'intérêt public de l'étude.
DR-2025-121
La CNIL autorise le Centre Hospitalier Universitaire de Grenoble Alpes à mettre en œuvre un traitement de données pour une étude sur la déprescription des benzodiazépines. L'autorisation est accordée malgré un point de non-conformité concernant les destinataires des données directement identifiantes, qui devront être traitées séparément des données de santé. Des mesures de sécurité strictes sont imposées, notamment l'utilisation d'une solution d'hébergement certifiée en France et le respect de durées de conservation définies (10 ans en base active, 15 ans en archivage).
DR-2025-122
La CNIL autorise l'INRAE à mettre en œuvre un traitement de données pour l'étude "CARI" sur les comportements alimentaires à La Réunion. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant les destinataires des données directement identifiantes. Des mesures strictes de sécurité et des durées de conservation limitées sont imposées pour ces données identifiantes.
DR-2025-123
La CNIL adopte une quatrième recommandation pratique sur l'application du RGPD au développement des systèmes d'intelligence artificielle. Cette recommandation, qui répond aux questionnements des acteurs du secteur, se compose de trois fiches pratiques portant sur l'analyse du statut des modèles, l'annotation des données et la sécurité du développement. Aucune sanction n'est prononcée, cette délibération ayant pour objet la publication d'un guide à destination des responsables de traitement.
2025-047
Le Centre Hospitalier Universitaire Dijon Bourgogne est autorisé par la CNIL à mettre en œuvre un traitement de données pour une étude médico-économique (METOGIA) comparant les coûts de traitements pour l'artérite à cellules géantes. L'autorisation concerne l'accès aux données du PMSI (SNDS) de 2020 à 2024 et inclut un appariement probabiliste avec des données cliniques existantes, dérogeant ainsi à la méthodologie de référence MR-004. Le traitement est soumis à des conditions strictes, notamment une durée d'accès de cinq ans, des mesures de sécurité renforcées et une inscription au répertoire public de la Plateforme des données de santé.
DR-2025-118
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude "HN-MAV" sur les malformations artérioveineuses cérébrales. L'autorisation est accordée malgré une dérogation à la méthodologie de référence MR-004 concernant l'information des patients suivis entre 1998 et 2021, pour lesquels une information publique (site web et affichage) remplace l'information individuelle jugée disproportionnée. Les données pseudonymisées seront conservées en base active jusqu'en 2046 (3 ans après la fin de l'étude) puis archivées pendant quinze ans.
DR-2025-115
La CNIL autorise SANOFI PASTEUR à modifier un traitement de données pour une étude sur la grippe chez les plus de 65 ans. L'autorisation porte principalement sur la prolongation de la durée de conservation des données issues du SNDS (SNIIRAM, PMSI) jusqu'en juillet 2027. La décision prévoit une dérogation à l'information individuelle des personnes, remplacée par une information publique sur les sites web des responsables.
DR-2025-117
La CNIL autorise le Centre Médico-Chirurgical Ambroise Paré Hartmann à mettre en œuvre un traitement de données pour l'étude CARDIOPAM, portant sur la personnalisation de la pression artérielle chez les patients adultes en choc cardiogénique. L'autorisation est accordée malgré une dérogation concernant l'information des personnes en situation d'urgence vitale immédiate, avec des modalités spécifiques prévues pour informer leurs proches et exercer leurs droits. Le traitement, conforme à la méthodologie de référence MR-001, prévoit une conservation des données en base active pendant deux ans, suivie d'un archivage de quinze ans.
DR-2025-116
La CNIL autorise le Centre Hospitalier Universitaire de Nancy à mettre en œuvre un traitement de données pour l'étude « F SWIFT » sur la qualité de vie des patients dialysés. L'autorisation est accordée sous réserve du respect de conditions spécifiques, notamment la séparation des données directement identifiantes et des données de santé, et des durées de conservation définies. Aucune sanction n'est prononcée, cette décision constituant une autorisation préalable.
DR-2025-110
La CNIL autorise l'ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en œuvre un traitement de données pour l'étude « FRENCH CARE » sur l'asthme pédiatrique. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant le traitement d'enregistrements vidéo et audio de mineurs et de leurs parents, soumis à des garanties strictes comme un consentement spécifique et une base de données séparée. La décision impose des durées de conservation limitées (23 mois pour les enregistrements) et rappelle l'obligation de réaliser une analyse d'impact sur la protection des données.
DR-2025-113
L'Assistance Publique - Hôpitaux de Paris (AP-HP) a reçu une autorisation de la CNIL pour mettre en œuvre le traitement de données « BARIACADO », une étude sur l'effet de l'incitation financière sur la perte de poids après une chirurgie bariatrique. L'autorisation concerne spécifiquement l'accès aux données du SNIIRAM et du PMSI (SNDS) de 2025 à 2032 et le traitement du NIR et de la date de naissance complète pour l'appariement des données. La décision impose des conditions strictes, notamment la séparation des données identifiantes, un circuit d'appariement sécurisé conforme à une fiche pratique CNIL, et des durées de conservation limitées (destruction des NIR après appariement, conservation des données SNDS pendant trois ans).
DR-2025-112