CNIL, Décision du 20 novembre 2024, n° DR-2024-286

CNIL 20 novembre 2024

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Accepté
Conformité aux dispositions légales
La Commission a constaté que le traitement présente un caractère d'intérêt public et répond aux conditions légales, bien qu'il y ait des points de non-conformité qui seront examinés spécifiquement.
Accepté
Avis favorable du comité éthique
La Commission a pris en compte cet avis favorable dans sa décision d'autoriser le traitement.

Résumé de la juridiction

Décision DR-2024-286 du 20 novembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le suivi scolaire des enfants inclus dans la cohorte « EPIPAGE 2 » à partir des évaluations nationales de l’enseignement secondaire. (Demande d’autorisation n° 924247)

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CNIL, déc. n° DR-2024-286, 20 nov. 2024
Numéro :	DR-2024-286
Nature de la délibération :	Autorisation de recherche
État :	VIGUEUR
Identifiant Légifrance :	CNILTEXT000050767061

Texte intégral

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;

Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ;

Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;

Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :

Avis du comité	Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023.
Points de non-conformité à la méthodologie de référence concernée	Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante	Les données de la cohorte « EPIPAGE 2 » (demande d’autorisation n° 911009) et des évaluations scolaires à l’entrée en classes de sixième et de seconde (enquêtes menées par la Direction de l’évaluation, de la prospective et de la performance du Ministère de l’Education nationale (DEPP)) seront réutilisées dans le cadre de la présente étude.
Catégories particulières de données traitées (autres que données de santé) et destinataires des données directement identifiantes	Les données de la cohorte « EPIPAGE 2 » feront l’objet d’un rapprochement avec les données des évaluations scolaires par l’utilisation de l’INE des élèves. Le numéro identifiant enfant « EPIPAGE 2 », les noms et prénoms de l’enfant, de la mère et du père, sexe, date et commune de naissance de l’enfant ainsi que la commune de résidence seront transmis à la DEPP qui effectuera le rapprochement avec le numéro INE. Les évaluations scolaires des participants seront ensuite transmises à l’équipe d’« EPIPAGE 2 » sans le numéro INE de l’élève. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seuls les agents habilités de la DEPP recevront communication des données directement identifiantes afin de réaliser le rapprochement avec le numéro INE
Information et droits des personnes	Les titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude et du traitement de leurs données à caractère personnel, s’ils peuvent être contactés lors de l’inclusion. En cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche, une dérogation à l’obligation d’information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi « informatique et libertés ». Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Les mineurs participant à l’étude recevront une note d’information individuelle. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé.
Mesures de sécurité	Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. L’analyse des données des participants s’effectuera sur la plateforme de France Cohortes. Les mesures de sécurité devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité
Durée de conservation en base active et en archivage	Les données administratives d’identification (numéro identifiant enfant « ELFE », noms et prénoms de l’enfant, de la mère et du père, sexe, date et commune de naissance de l’enfant, commune de résidence) seront détruites après appariement. Autres données : Base active : six mois Archivage : quinze ans.
Réutilisation des données	Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.