283délibérations de la Commission nationale de l'informatique et des libertés.
283
Total délibérations
274
En vigueur
283
Avec résumé IA
L'Assistance Publique Hôpitaux de Paris (AP-HP) a obtenu une autorisation de la CNIL pour modifier un traitement de données de santé. Cette décision permet l'extension de l'étude "GRO2M" sur l'optimisation des opérations médicales, en incluant désormais les données du SNDS (SNIIRAM, PMSI, CépiDc) pour les années 2018 à 2023. L'autorisation, fondée sur un avis favorable du comité éthique et scientifique, confirme que la finalité de l'étude présente un caractère d'intérêt public.
DR-2025-217
Le Centre Hospitalier Universitaire de Toulouse a obtenu une autorisation de la CNIL pour modifier un traitement de données dans le cadre d'une étude sur le risque tératogène des médicaments pendant la grossesse. Cette modification concerne la collecte du code postal de résidence des personnes, jugée scientifiquement justifiée. L'autorisation, délivrée après un avis favorable du comité éthique, permet l'accès aux données du SNDS (SNIIRAM, PMSI, CépiDc) de 2010 à 2023 pour cette étude d'intérêt public.
DR-2025-218
La CNIL autorise la société STALLERGENES-GREER à modifier un traitement de données pour une étude sur les traitements par allergènes (APSI). L'autorisation, qui présente un caractère d'intérêt public, permet l'ajout de l'analyse des coûts associés aux données de soins, tout en maintenant les autres conditions de l'étude. La décision s'appuie sur un avis favorable du comité éthique et scientifique et concerne l'accès aux données du SNDS (PMSI et SNIIRAM) pour la période 2006-2018.
DR-2025-219
La CNIL autorise la société CLINITYX BY GERS DATA à modifier son entrepôt de données de santé "THIN". Cette autorisation permet notamment d'ajouter la réalisation d'études de faisabilité pour des recherches dans le domaine de la santé. Le traitement, fondé sur l'intérêt légitime, doit respecter le référentiel sécurité et les finalités interdites du Système national des données de santé.
DT-2025-015
La CNIL autorise la société CLINITYX BY GERS DATA à modifier son entrepôt de données de santé « SOG HEALTH ». Cette décision entérine le changement de responsable de traitement, désormais CLINITYX, et impose des mises à jour des modalités d'information et de transparence, notamment via les portails dédiés. Elle rappelle également l'obligation de supprimer les données gelées et de respecter strictement le cadre juridique des données de santé, en interdisant toute finalité de promotion ou d'assurance.
DT-2025-014
La CNIL autorise les Hôpitaux Universitaires de Strasbourg et la société Diagnostica Stago à mettre en œuvre un traitement de données pour l'étude "HEMATOCLOT" sur la coagulation intravasculaire disséminée. Cette autorisation est accordée malgré une dérogation à la méthodologie de référence concernant l'information des patients en situation d'urgence vitale. La décision impose des conditions spécifiques pour l'information des personnes ou de leurs proches, ainsi que la nécessité de formalités CNIL pour toute étude future utilisant les données et échantillons collectés.
DR-2025-213
La CNIL autorise les Hôpitaux Universitaires de Strasbourg (HUS) et l'INSERM à mettre en œuvre un traitement de données pour l'étude "POLVERT" sur l'impact de paniers bio pendant la grossesse. L'autorisation est accordée malgré des dérogations à la méthodologie de référence concernant la nature des données et les modalités d'information. Des mesures spécifiques sont imposées, notamment la séparation des bases de données et une information publique pour les proches des participantes, en raison de la collecte de données sensibles comme les coordonnées postales et les informations socio-économiques familiales.
DR-2025-206
Le Centre Hospitalier Universitaire de La Réunion est autorisé par la CNIL à mettre en œuvre un traitement de données à caractère personnel pour une étude de recherche en santé intitulée « CHIK-RE-VAC ». Cette autorisation porte sur l'accès aux données du SNIIRAM, PMSI et CepiDC (composantes du SNDS) de 2023 à 2028, afin d'évaluer la vaccination contre le chikungunya. La décision impose des conditions strictes, notamment un circuit d'appariement sécurisé via un concentrateur, la séparation des données identifiantes, et des durées de conservation limitées.
DR-2025-210
La CNIL autorise la société JANSSEN-CILAG FRANCE à modifier son traitement de données pour l'étude "MYLORD" sur le myélome multiple. Cette modification consiste à étendre l'accès aux données du SNIIRAM (SNDS) pour la période 2006-2028. La décision fait suite à un avis favorable du comité éthique et scientifique et confirme que l'étude présente un caractère d'intérêt public.
DR-2025-211
La CNIL autorise la société SANOFI PASTEUR à modifier son traitement de données pour l'étude DRIVEN sur l'efficacité vaccinale. Cette autorisation porte sur l'accès aux données du SNDS et de Resid-EHPAD pour les années 2023-2024, ainsi que sur une nouvelle hiérarchisation des objectifs et l'ajout d'analyses complémentaires. La décision, prise après un avis favorable du comité éthique, confirme que le traitement répond aux exigences légales pour les recherches d'intérêt public dans le domaine de la santé.
DR-2025-212
La CNIL autorise la société ARGENX BV à modifier son traitement de données pour l'étude "MINOS" sur la myasthénie gravis. L'autorisation porte spécifiquement sur l'allongement de la durée d'accès aux données du SNDS (SNIIRAM/PMSI) de douze mois supplémentaires. Les autres conditions de l'étude restent inchangées, suite à un avis favorable du comité éthique et scientifique.
DR-2025-207
La CNIL autorise l'Association Française pour la Recherche Thermale à mettre en œuvre un traitement de données pour l'étude "SINUSITHERM". Cette autorisation concerne l'accès aux données du SNIIRAM et du PMSI (SNDS) de 2020 à 2026 pour comparer l'impact d'une cure thermale sur la rhinosinusite chronique. La décision impose des conditions strictes, notamment l'utilisation d'un circuit d'appariement sécurisé via un tiers de confiance, la séparation des données identifiantes et une durée de conservation limitée.
DR-2025-208
La CNIL a prononcé une sanction pécuniaire à l'encontre de la société SAMARITAINE SAS. L'organisme a été sanctionné pour avoir installé un système de vidéosurveillance dissimulé dans des détecteurs de fumée afin de surveiller ses salariés dans les réserves du magasin. Cette pratique a été jugée constitutive de plusieurs manquements au RGPD, notamment concernant la licéité, la minimisation et la transparence des traitements.
SAN-2025-008
Le Centre Hospitalier Universitaire de Clermont-Ferrand a reçu une autorisation de la CNIL pour un traitement de données à des fins de recherche. Cette autorisation concerne une étude comparant deux stratégies anesthésiques dans la prise en charge des thrombectomies pour AVC ischémique. Le traitement est autorisé sous réserve de conditions spécifiques, notamment concernant l'accès séparé aux données directement identifiantes et une procédure adaptée d'information des personnes. Aucune sanction n'est mentionnée, l'acte constituant une autorisation encadrée.
DR-2025-205
La CNIL autorise le Centre Régional de Coordination des Dépistages des Cancers en Occitanie à modifier son traitement de données pour l'étude « DEEP-PISTE », qui vise à évaluer l'apport de l'intelligence artificielle dans le dépistage organisé du cancer du sein. L'autorisation porte principalement sur l'extension de l'accès aux données de santé (SNIIRAM, PMSI, CépiDC) pour la période 2006-2025 et aux données de dépistage du Gard et de la Lozère (2004-2023). La décision est subordonnée au respect strict du référentiel de sécurité du Système National des Données de Santé (SNDS) pour la durée de l'étude.
DR-2025-204
La formation restreinte de la CNIL a examiné la mise en conformité de la société ORANGE SA suite à une injonction précédente concernant le retrait effectif du consentement aux cookies. La CNIL constate qu'ORANGE a mis en œuvre des mesures techniques pour supprimer ses propres cookies et bloquer les requêtes vers des domaines tiers sur son site orange.fr après un retrait de consentement. Concernant les cookies tiers déjà déposés, la CNIL estime que leur suppression excède la responsabilité technique d'ORANGE, qui incombe plutôt à ses partenaires, et considère donc que l'opérateur a satisfait à l'injonction. En conséquence, l'astreinte de 100 000 euros par jour de retard n'est pas déclenchée.
SAN-2025-007
La CNIL émet un avis sur le projet d'arrêté du ministère de l'aménagement, du territoire et de la décentralisation créant le traitement « Mobilic » pour l'enregistrement certifié du temps de travail des personnels roulants non soumis au tachygraphe. Elle invite le ministère à préciser les multiples finalités du traitement (lutte contre le travail dissimulé, contrôle des temps de conduite, etc.) et à ne pas utiliser FranceConnect dans un contexte professionnel, lui préférant une solution comme ProConnect. La CNIL recommande également de veiller à la conformité des interfaces tierces et à l'adoption par les employeurs d'une politique d'usage alignée sur l'authentification multifacteur, incluant la fourniture de terminaux professionnels si nécessaire.
2025-081
La CNIL autorise la société ARROW GENERIQUES à mettre en œuvre un traitement de données pour la gestion d'un cadre de prescription compassionnelle du médicament BEFIZAL LP 400mg. Ce traitement, présentant un caractère d'intérêt public, est globalement conforme au référentiel applicable, bien que sa finalité spécifique (prescription compassionnelle) diffère légèrement du cadre de référence initial (accès compassionnel). L'autorisation est soumise à la condition que les patients et professionnels de santé concernés reçoivent une information complète sur leurs droits.
DT-2025-013
La CNIL autorise l'ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS (AP-HP) à mettre en œuvre un traitement de données pour une étude de recherche biomédicale sur le syndrome d'hypoventilation centrale congénitale (CCHS). L'autorisation est accordée malgré un écart à la méthodologie de référence (MR-001) concernant le traitement d'enregistrements vidéo identifiants des participants. Des garanties strictes sont imposées, notamment la séparation des vidéos des données de santé, leur destruction sous 24 heures après analyse, et des durées de conservation définies pour les autres données (5 ans en base active, 15 ans en archivage).
DR-2025-201
La CNIL autorise le Centre Européen pour les Initiatives de Recherche en Médecine Cardiovasculaire (CERIC) à mettre en œuvre un traitement de données pour l'étude clinique "EBC DCB". L'autorisation est accordée malgré un point de non-conformité concernant les destinataires des données directement identifiantes, qui fait l'objet d'un examen spécifique. Le traitement doit respecter un cadre de sécurité strict, incluant notamment une plateforme sécurisée pour le contrôle qualité à distance et des durées de conservation limitées pour les données d'identification.
DR-2025-202