283délibérations de la Commission nationale de l'informatique et des libertés.
283
Total délibérations
274
En vigueur
283
Avec résumé IA
L'Institut National de la Santé et de la Recherche Médicale (INSERM) est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude "HHAVOC" sur la vulnérabilité du bâti à la chaleur et la consommation de soins. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la transmission d'adresses postales identifiantes au Centre Scientifique et Technique du Bâtiment (CSTB) pour un appariement. Le traitement est strictement encadré : les adresses ne seront pas conservées après l'appariement, et les autres données seront conservées deux ans en base active, avec une information préalable et annuelle des personnes concernées via la cohorte Constances.
DR-2025-192
Le Centre Hospitalier Universitaire de Marseille a obtenu une autorisation de la CNIL pour un traitement de données dans le cadre de l'étude de recherche en santé « CURA-PRONE ». Cette autorisation est accordée malgré une dérogation concernant l'information des personnes en situation d'urgence vitale immédiate, pour laquelle des modalités spécifiques de rattrapage sont prévues. Le traitement est soumis à des durées de conservation définies (9 ans en base active, 15 ans en archivage) et doit respecter le référentiel MR-001. Aucune sanction n'est mentionnée, cette décision étant une autorisation encadrant la mise en œuvre du projet.
DR-2025-193
La CNIL autorise l'Institut Curie à mettre en œuvre un traitement de données pour l'étude « AP-MTNBC », visant à déterminer un algorithme prédictif pour les carcinomes triples négatifs du sein. L'autorisation est accordée malgré une dérogation concernant l'information individuelle d'une participante perdue de vue, pour laquelle une information collective via le site web sera mise en place. Le traitement devra respecter les durées de conservation définies (2,5 ans en base active, 15 ans en archivage) et toute réutilisation ultérieure des données ou échantillons nécessitera de nouvelles formalités auprès de la CNIL.
DR-2025-188
La société LILI FOR LIFE est autorisée par la CNIL à mettre en œuvre un traitement de données pour l'étude "ADULTSIGHT", visant à évaluer un écran sur la lecture chez des adultes dyslexiques. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la nature des données, qui incluent des enregistrements vocaux identifiants. La décision impose des conditions strictes, notamment la séparation des données identifiantes, un accès limité et la destruction des enregistrements après analyse.
DR-2025-189
La CNIL autorise l'Institut National de la Santé et de la Recherche Médicale – ANRS Maladies Infectieuses Emergentes à mettre en œuvre un traitement de données pour l'étude IMOVA sur la vaccination. Cette autorisation est soumise au respect de la méthodologie de référence MR-001 et à des conditions strictes concernant les transferts de données hors UE, notamment vers les États-Unis, la Côte d'Ivoire et la République de Guinée, qui devront être encadrés par des clauses contractuelles types. Les durées de conservation des données sont fixées à deux ans et un mois en base active et à quinze ans en archivage.
DR-2025-187
Le Centre Hospitalier Universitaire de Montpellier est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude « HYPOLLUT » sur les perturbateurs endocriniens et l'hypospade. L'autorisation est accordée malgré un point de non-conformité concernant la nature des données collectées par rapport à la méthodologie de référence MR-001. Le traitement, qui inclut le code postal de la mère, est strictement encadré par des durées de conservation (6 ans en base active, 15 ans en archivage, et 30 ans pour les échantillons biologiques) et des obligations d'information des titulaires de l'autorité parentale.
DR-2025-177
Le Centre Hospitalier Universitaire de Nantes est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude de recherche médicale « HEPHAISTOS ». Cette autorisation concerne la réutilisation de données issues de la base CRISTAL de l'Agence de Biomédecine, malgré une dérogation à la méthodologie de référence MR-003 sur la nature des données. Les données seront conservées en base active pendant 18 mois, puis archivées pendant 15 ans, et les échantillons biologiques seront détruits à la fin de l'étude.
DR-2025-178
La CNIL autorise l'INTERGROUPE FRANCOPHONE DU MYÈLOME SAS à modifier son traitement de données pour l'étude "EMMY-SNDS". Cette autorisation concerne l'accès aux données du SNDS (SNIIRAM, PMSI, CépiDC) pour la période 2012-2026 et leur traitement dans une bulle sécurisée spécifique. La décision est conditionnée au respect du référentiel de sécurité SNDS, notamment par la mise à jour de l'analyse des risques et l'homologation de la bulle sécurisée conforme à la nouvelle version du référentiel d'ici février 2026.
DR-2025-179
Le Centre Hospitalier Universitaire de Clermont-Ferrand est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude « CARBON » sur le choc en réanimation. L'autorisation est accordée malgré une dérogation concernant l'information des personnes en situation d'urgence vitale immédiate, qui devra être délivrée à leurs proches dès que possible. Les données seront conservées en base active pendant 3 ans et 3 mois, puis archivées pendant 15 ans.
DR-2025-180
La société NP MEDICAL a obtenu une autorisation de la CNIL pour modifier son traitement de données "TELESAT", une étude sur la télésurveillance médicale. La décision autorise spécifiquement l'accès aux données du CépiDC pour les années 2018 à 2022, en plus des données du SNIIRAM et du PMSI déjà approuvées. Cette modification, qui a reçu un avis favorable du comité éthique, est accordée car la finalité de l'étude présente un caractère d'intérêt public.
DR-2025-181
Le CHU de Nantes est autorisé par la CNIL à mettre en œuvre un traitement de données pour une étude sur les patients transplantés rénaux retournant en dialyse. L'autorisation est accordée malgré des dérogations à la méthodologie de référence, notamment pour l'appariement de données issues des bases DIVAT et MEDIAL. La décision impose des mesures de sécurité renforcées, une durée de conservation limitée et l'information des personnes concernées.
DR-2025-182
L'Université de Reims Champagne-Ardenne a obtenu une autorisation de la CNIL pour modifier son traitement de données "MisTher", une étude sur la prise en charge psychologique précoce après une fausse couche. La décision encadre notamment le recueil électronique du consentement, qui implique un sous-traitant, et précise les durées de conservation des données. L'autorisation est subordonnée au respect de conditions spécifiques, comme l'information renforcée des participantes et la destruction des données d'identification à la fin du suivi.
DR-2025-183
Le Centre Hospitalier Intercommunal de Créteil est autorisé par la CNIL à mettre en œuvre un traitement de données pour l'étude INDIGO sur l'efficacité d'une intervention médicale dans le dépistage du cancer du col de l'utérus. L'autorisation est accordée malgré deux non-conformités à la méthodologie de référence MR-003 concernant la nature des données traitées et les destinataires des données directement identifiantes. Des mesures spécifiques de sécurité sont imposées, notamment la séparation des bases de données et un accès strictement limité. Les durées de conservation sont fixées à 2 ans et 4 mois en base active et 15 ans en archivage.
DR-2025-184
L'Université de Bordeaux est autorisée par la CNIL à mettre en œuvre un traitement de données pour l'étude "API DMLA", visant à développer un algorithme d'identification de la dégénérescence maculaire liée à l'âge. Le traitement implique l'accès aux données du SNIIRAM et du PMSI (SNDS) de 2010 à 2021, ainsi que la réutilisation et l'appariement de données issues de plusieurs cohortes existantes. L'autorisation est soumise à des conditions, notamment l'information des personnes via des portails de transparence, un accès limité à cinq ans, et l'enregistrement du traitement dans le répertoire public de la Plateforme des données de santé.
DR-2025-200
La société THERAVIA est autorisée par la CNIL à mettre en œuvre un traitement de données personnelles de santé pour la gestion d'un cadre de prescription compassionnelle des médicaments Orphacol. Cette autorisation est accordée malgré des manquements identifiés au référentiel de sécurité, notamment l'absence d'authentification multifacteur et de plateforme de transmission chiffrée. La société doit mettre en conformité ces mesures de sécurité dans un délai de dix-huit jours ouvrés et déployer une solution transitoire sécurisée en attendant.
DT-2025-011
L'Université de Bordeaux est autorisée par la CNIL à mettre en œuvre un traitement de données pour l'étude "SEEDem" sur l'impact des inégalités sur le risque de démence. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la nature des données traitées, notamment la collecte d'adresses complètes pour calculer des indicateurs statistiques. Des mesures de protection spécifiques sont imposées, comme la séparation des bases de données et des durées de conservation définies (ex: 3 ans pour les coordonnées).
DR-2025-173
La CNIL autorise les Hôpitaux Universitaires de Strasbourg à modifier le traitement de données "FEMICLOCK". Cette autorisation concerne spécifiquement l'allongement de la durée de conservation des données de trois à cinq ans pour cette étude de recherche dans le domaine de la santé. Les autres conditions de l'étude restent inchangées, la demande ayant reçu un avis favorable du comité de protection des personnes compétent.
DR-2025-174
Le Centre Hospitalier Universitaire de Besançon a obtenu une autorisation de la CNIL pour modifier son traitement de données "MICI-REIN". Cette décision permet d'allonger de douze mois la durée d'accès aux données du Système national des données de santé (SNDS) pour une étude sur l'insuffisance rénale chronique terminale chez les patients atteints de maladies inflammatoires chroniques de l'intestin. L'autorisation, fondée sur un avis favorable du comité éthique, maintient inchangées les autres conditions de l'étude.
DR-2025-175
La CNIL autorise l'Assistance Publique – Hôpitaux de Marseille à mettre en œuvre un traitement de données pour une étude clinique (SAV-Septic shock) sur le choc septique. L'autorisation est accordée malgré une dérogation concernant l'information préalable des patients, qui pourra être délivrée après leur inclusion si leur état de santé ne le permet pas initialement. Les données seront conservées en base active pendant huit ans, puis archivées pendant vingt-cinq ans.
DR-2025-176
La CNIL autorise l'Institut national de la santé et de la recherche médicale (Inserm) – ANRS – Maladies infectieuses émergentes à mener l'étude "OBSOCAM" sur le VIH-1 au Cameroun. L'autorisation est accordée sous réserve du respect de la méthodologie de référence MR-003, avec des dérogations concernant l'information des participants pour le volet rétrospectif de l'étude. Le transfert de données pseudonymisées vers le Cameroun devra être encadré par des clauses contractuelles types, le responsable de traitement devant s'assurer du niveau de protection effectif dans ce pays tiers.
DR-2025-164