283délibérations de la Commission nationale de l'informatique et des libertés.
283
Total délibérations
274
En vigueur
283
Avec résumé IA
La CNIL autorise le Centre Hospitalier Universitaire de Bordeaux à mettre en œuvre un traitement de données pour l'étude "PHARIBO" sur les cystites simples. Cette autorisation concerne un accès aux données du SNIIRAM (SNDS) pour 2026-2027, dans le cadre d'un protocole de délégation en pharmacie. La décision impose des conditions strictes, notamment la séparation des données identifiantes, une durée de conservation limitée et l'information des participants.
DR-2025-156
Le Centre Hospitalier Universitaire de Montpellier a obtenu une autorisation de la CNIL pour mener l'étude "HiCOPD" sur le traitement précoce des exacerbations de BPCO. La décision autorise ce traitement de données de santé, qui présente un intérêt public, sous réserve du respect de la méthodologie de référence MR-001. Des conditions spécifiques sont imposées concernant l'information des patients (ou de leurs représentants légaux) et la durée de conservation des données (3 ans en base active, 15 ans en archivage).
DR-2025-159
La CNIL autorise les **LABORATOIRES THEA** à mettre en œuvre un traitement de données pour une **étude clinique** sur le Sepofarsen. L'autorisation est accordée malgré un traitement de données génétiques et d'enregistrements audio-vidéo, sous réserve du respect de conditions strictes, notamment un consentement spécifique et des mesures de sécurité. Le transfert de données pseudonymisées vers les États-Unis devra être encadré par des clauses contractuelles types, les durées de conservation étant fixées à 4 ans en base active et 25 ans en archivage.
DR-2025-066
La CNIL autorise l'Institut National du Cancer et la société Novartis à modifier le traitement de données pour l'étude "BACK GAMMON" sur le cancer bronchique. L'autorisation porte principalement sur l'utilisation de nouvelles bases de données (dossier communicant en cancérologie et SNDS 2014-2024) et adapte les modalités d'information des personnes concernées. Pour les patients dont le suivi est terminé ou dont les données proviennent exclusivement du SNDS, l'information se fera par voie de publication web en raison des efforts disproportionnés, conformément aux exceptions légales.
DR-2025-160
La CNIL autorise la société IPSEN PHARMA à mettre en œuvre un traitement de données pour l'étude "ELFINITY", une recherche dans le domaine de la santé. L'autorisation est accordée malgré des dérogations à la méthodologie de référence MR-003, notamment concernant l'accès de certains destinataires aux données directement identifiantes. La décision impose des conditions strictes, comme la séparation des bases de données et des durées de conservation limitées.
DR-2025-155
La CNIL autorise la société EMOBOT à mettre en œuvre un traitement de données pour l'étude « EMC2FR », visant à valider un outil d'évaluation digitale de la dépression. L'autorisation est accordée malgré un écart à la méthodologie de référence (MR-001) concernant le traitement d'enregistrements vidéo directement identifiants, qui sont soumis à des garanties spécifiques. La décision encadre également un transfert de données pseudonymisées vers les États-Unis, qui devra reposer sur des clauses contractuelles types, le cadre « Data Privacy Framework » n'étant pas applicable en l'espèce.
DR-2025-158
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour l'étude de recherche "PROSECO" sur les patients intubés. L'autorisation est accordée malgré une dérogation concernant l'information préalable des patients, qui sera délivrée à leur représentant légal si leur état ne le permet pas, puis au patient dès que possible. Les données seront conservées en base active pendant 4 ans et 6 mois, puis archivées pendant 25 ans.
DR-2025-157
La CNIL autorise le laboratoire Pfizer Inc et l'Université d'Utrecht à mettre en œuvre un traitement de données pour une étude de sécurité sur le vaccin ABRYSVO. L'autorisation porte sur l'accès aux données du SNDS (SNIIRAM, PMSI, CépiDC, Vaccin-COVID) de 2019 à 2027 via un environnement sécurisé homologué. La décision prévoit une dérogation à l'information individuelle des personnes, remplacée par une information publique, et limite la durée d'accès aux données à trois ans.
DR-2025-148
La CNIL approuve les critères de la certification nationale « Lexing certification RGPD » portée par la société Lexing. Cette certification, d'une durée de trois ans, permet d'attester la conformité de traitements de données personnelles mis en œuvre par des responsables de traitement établis dans l'UE. Elle ne s'applique pas aux activités de sous-traitance, aux responsables conjoints, ni aux transferts de données vers des pays tiers. Les organismes certificateurs seront agréés par le COFRAC.
2025-064
La CNIL autorise le Centre Hospitalier Universitaire de Toulouse à mettre en œuvre un traitement de données pour une étude de recherche en santé intitulée "SPIN-NA". L'autorisation est accordée malgré un écart à la méthodologie de référence concernant le traitement d'enregistrements vidéo identifiants de grands prématurés. Des conditions strictes sont imposées, notamment un consentement parental spécifique, une séparation des bases de données et une durée de conservation limitée à deux ans pour les vidéos.
DR-2025-145
La CNIL émet un avis sur le projet de traitement de données « TACHOSCAN », porté par le ministère chargé des transports, pour le contrôle des véhicules équipés de tachygraphes à des fins de détection d'infractions pénales. Elle formule des recommandations, notamment pour chiffrer les données, garantir leur suppression des terminaux mobiles après transfert, et compléter les mentions d'information. La CNIL prend acte de l'engagement du ministère à mettre en place un processus interne pour traiter les demandes d'exercice des droits dans les délais.
2025-053
La CNIL autorise l'Assistance Publique - Hôpitaux de Paris (AP-HP) à mettre en œuvre un traitement de données pour une étude de recherche médicale intitulée "MOVING". Cette autorisation est accordée malgré un écart à la méthodologie de référence concernant le traitement d'enregistrements vidéo identifiants de jeunes enfants, soumis à des garanties strictes comme le consentement parental et un accès limité. Les données vidéo seront conservées trois ans puis détruites, tandis que les autres données seront archivées pendant quinze ans.
DR-2025-152
Le Centre Hospitalier Universitaire de Toulouse a obtenu une autorisation de la CNIL pour un traitement de données à des fins de recherche dans le domaine de la santé. Cette autorisation concerne une étude nommée « SPIN-NA » visant à évaluer la reproductibilité d'une échelle d'observation du développement des grands prématurés. Le traitement est autorisé malgré une dérogation à la méthodologie de référence (MR-003) concernant le traitement d'enregistrements vidéo identifiants des mineurs, soumis à des conditions strictes de sécurité, de consentement parental et de durée de conservation limitée. Aucune sanction n'est mentionnée, l'acte constituant une autorisation encadrant la mise en œuvre du projet.
DR-2025-154
La CNIL émet un avis sur un projet de décret du ministère de l'aménagement du territoire concernant le registre national des copropriétés. Elle relève des risques de réidentification des personnes, notamment via l'accès élargi des notaires à des données sensibles et la diffusion publique d'informations sur les procédures judiciaires. La CNIL prend acte des garanties proposées par le ministère (comme la suppression des données non nécessaires) et l'invite à mettre en œuvre l'agrégation des données pour prévenir la réidentification.
2025-051
La CNIL autorise le laboratoire Pfizer Inc et l'Université d'Utrecht à mettre en œuvre un traitement de données pour une étude sur la sécurité du vaccin ABRYSVO chez les femmes enceintes et leurs nouveau-nés. L'autorisation concerne l'accès, via une bulle sécurisée, aux données du SNIIRAM, PMSI, CépiDC et Vaccin-COVID (SNDS) pour les années 2019 à 2027. Les personnes concernées seront informées via une note publique en raison des efforts disproportionnés qu'une information individuelle représenterait, et la durée d'accès aux données est fixée à trois ans.
DR-2025-149
La CNIL autorise l'Université de Bordeaux et la société Abbott Diabetes Care à modifier un traitement de données pour l'étude "FACULTY". Cette autorisation concerne l'ajout d'un objectif secondaire à une recherche existante sur le pronostic des complications du diabète, nécessitant l'accès au SNDS (SNIIRAM, PMSI, CépiDc) de 2013 à 2023. La décision, prise au vu d'un avis favorable du comité éthique, confirme que le traitement, présentant un intérêt public, respecte le cadre légal.
DR-2025-150
La CNIL autorise l'Institut de Recherche et Documentation en Economie de la Santé (IRDES) à mettre en œuvre un traitement de données pour l'étude "CAPSULES" sur la prise en charge psychiatrique aux urgences. L'autorisation concerne l'accès, via des plateformes sécurisées (CASD, ATIH), aux données du PMSI psychiatrique et des résumés de passages aux urgences de 2020 à 2026, ainsi qu'aux données de l'enquête "Urgences 2023". Des mesures spécifiques sont prévues, notamment une information du public via le site web de l'IRDES en lieu et place d'une information individuelle, et une durée d'accès aux données limitée à deux ans.
DR-2025-151
La CNIL autorise les sociétés CLINITYX et EDWARDS LIFESCIENCES à mettre en œuvre un traitement de données pour une étude de santé publique (étude VITALE) sur la prise en charge du remplacement valvulaire aortique. Le traitement, qui nécessite l'accès à certaines données du SNDS via l'entrepôt Magellan, bénéficie d'un avis favorable du comité éthique et est dispensé d'information individuelle en raison d'efforts disproportionnés, sous réserve d'une information publique. Les données seront conservées dans l'espace de travail pendant un an, puis supprimées dans un délai maximal de deux ans.
DR-2025-147
Le Centre Hospitalier Universitaire de Tours est autorisé par la CNIL à mettre en œuvre un traitement de données pour une étude de recherche sur la méditation de pleine conscience chez les patients hémodialysés. L'autorisation est accordée malgré un écart à la méthodologie de référence concernant la communication de données directement identifiantes aux instructeurs de méditation, jugée nécessaire pour le suivi. Le traitement est soumis à des conditions strictes, notamment la séparation des bases de données, une information renforcée des participants et des durées de conservation définies (destruction des données d'identification après dix mois, archivage des autres données pendant quinze ans).
DR-2025-144
La CNIL autorise l'Institut Gustave Roussy à mettre en œuvre un traitement de données pour l'étude « HOPE », visant à évaluer un outil numérique d'aide à l'autogestion pour des patients atteints d'un cancer du sein. L'autorisation est accordée malgré un point de non-conformité à la méthodologie de référence concernant les destinataires des données directement identifiantes, pour lequel des garanties spécifiques sont imposées. Le traitement est soumis à des conditions strictes, incluant la séparation des bases de données, des mesures de sécurité renforcées et des durées de conservation limitées (destruction des données d'identification à la fin du suivi, archivage des autres données sur 15 ans).
DR-2025-091