AgentPublic/cnil huggingface dataset:
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association ADAPEI du Puy de Dôme par courrier, fax ou courriel.La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’Association ADAPEI du Puy de Dôme, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1760681)
La Commission nationale de l'informatique et des libertés,
Saisie par la société PATIENTYS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d'apprentissage portant sur la spécialité pharmaceutique Somatuline exploitée par le laboratoire IPSEN PHARMA  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique et modifiant le code de la santé publique ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société PATIENTYS est un opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique. Elle a été choisie et conventionnée par le laboratoire IPSEN PHARMA pour mettre en œuvre un programme d’apprentissage dans l’objectif de rendre le patient plus autonome en facilitant son adhésion aux traitements prescrits et en améliorant sa qualité de vie.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Somatuline exploitée par le laboratoire IPSEN PHARMA et ayant pour objet l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 26-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme d’apprentissage. Elles portent sur l’identité, la date de naissance, les coordonnées (numéro de téléphone, adresse) ainsi que sur des informations relatives à la santé (pathologie, antécédents et traitements médicaux…).Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Selon la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit expressément l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.Les mesures telles que décrites ci-dessous satisfont à cette obligation.
Sur l’information et le droit d’accès
Sur le contrôle d’accès et les habilitationsL’opérateur mettant en œuvre le programme d’apprentissage doit mettre en place des moyens de vérification des habilitations accordées au personnel qu’il emploie.Il doit veiller, en particulier, à ce que l’accès aux données de santé à caractère personnel, couvertes par le secret professionnel, soit limité aux personnels en charge du programme d’apprentissage pour les patients qu’ils suivent effectivement. Les habilitations données au personnel doivent également être revues régulièrement, notamment afin de supprimer les autorisations d’accès dès le départ d’un collaborateur.En fonction du rôle des utilisateurs, différents profils d’habilitations sont définis. Lors de la création d’un compte, le personnel dispose d’un profil global. Chaque nouvelle habilitation doit être validée par le responsable d’habilitation. Les habilitations pour accéder aux logiciels utilisés pour la gestion du programme d’apprentissage sont réservées à l’équipe dédiée du programme d’apprentissage.Les connexions aux postes de travail se font par l’utilisation d’une combinaison login / mot de passe individuelle. S’agissant de la complexité du mot de passe, la Commission recommande l’utilisation de huit caractères au moins, comprenant trois types de caractères parmi les quatre possibles (majuscules, minuscules, chiffres et caractères spéciaux), renouvelé au moindre doute de compromission et si possible de manière périodique (tous les ans). Il doit, en outre, être
conservé de manière à préserver sa confidentialité.Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que l’opérateur s’y conforme.Sur la traçabilitéL’opérateur met en place une traçabilité des actions effectuées sur les données. Les traces de toute activité suspecte sont conservées sous forme d’un tableau récapitulatif de suivi des anomalies et des activités suspectes sur l’Intranet de l’entreprise. Ce tableau, généré automatiquement, est accessible à l’administrateur et au médecin ou au pharmacien responsable qui peuvent déclencher des enquêtes internes afin de déterminer s’il s’agit d’une alerte ou d’un fonctionnement anormal du système.La Commission juge ces mesures satisfaisantes et rappelle qu’il convient d’informer les personnels concernés de leur mise en œuvre.Sur la conservation des donnéesLes données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme.La Commission considère que
cette durée est adéquate avec les finalités du traitement. Elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique.Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.La Commission rappelle qu’en application de ces dispositions, le consentement exprès des personnes doit être obtenu.Sur l’anonymisationL’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.Les fiches
d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.Les professionnels de santé en charge du programme et de sa mise en œuvre n’assurent aucune mission à caractère commercial.Le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société PATIENTYS n’exerce pas de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage.L’opérateur met en place un système d’export statistique de données ne permettant pas de ré-identifier les patients.La Commission estime que ces mesures d’anonymisation sont satisfaisantes.Les transferts de données entre la société PATIENTYS  et le site d’hébergement s’opèrent par l’utilisation de réseaux virtuels privés, assurant la sécurité des données.La Commission juge cette solution satisfaisante.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société PATIENTYS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1804886)
La Commission nationale de l'informatique et des libertés,
Saisie par THE WALT DISNEY COMPANY (France) SAS  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses « Agents »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société « THE WALT DISNEY COMPANY (France) SAS » (ci-après « WALT DISNEY FRANCE» fait donc partie du groupe de sociétés Disney, dont la maison mère, The Walt Disney Company est située en Californie aux Etats-Unis.
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société WALT DISNEY FRANCE d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre la politique et les procédures du groupe Disney destinées à évaluer le risque présenté par ses « Agents » en matière de corruption et à assurer la conformité aux réglementations anti-corruption applicables au groupe.Un « Agent », est une personne physique ou morale agissant pour le compte du groupe Disney ou de l’une de ses entités. La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. La société WALT DISNEY FRANCE se prévaut notamment à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain
(ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles que WALT DISNEY FRANCE à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.La société mère WALT DISNEY FRANCE est soumise au FCPA UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées. S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.Afin d’assurer la conformité du groupe à ses dispositions, The Walt Disney Company a mis en place une politique et des procédures internes encadrant les relations avec les Agents et applicables à toutes les sociétés du groupe, y compris la société WALT DISNEY France.Le traitement envisagé par la société WALT DISNEY FRANCE vise à identifier les transactions présentant un risque
de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société WALT DISNEY France souhaite vérifier l’intégrité de ses Agents actuels et potentiels. Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur des personnes physiques (« hommes clefs » des entités).Dans le cadre de la procédure de vérification, l’étendue des vérifications effectuées à l’égard de chaque Agent est graduée : analyse globale du risque, vérifications sur la réputation des Agents et renseignement d’un questionnaire. S’agissant de l’évaluation du risque, les profils de risque sont définis sur la base de différents facteurs, notamment la nature des prestations fournies ou qui seraient fournies par l’Agent au nom du Groupe, le type d’interaction de l’Agent (par exemple, si l’Agent a un rôle de lobbying auprès de représentants des pouvoirs publics, ou s’il interagit avec des représentants ministériels), et l’étendue du risque. La société WALT DISNEY Company a recours à la société Securimate, une société américaine spécialisée dans la gestion des programmes de conformité, pour effectuer des recherches d’ordre général, basées soit sur des informations limitées, telles que le nom de l’Agent et le pays où il se trouve ; soit basées sur des informations plus détaillées fournies par l’Agent par le biais d’un questionnaire, le « due diligence Questionnaire » (ci-après « DDQ »). S’agissant de la vérification de la
réputation des Agents, les  « due diligences » pour les Agents présentant un niveau de risque faible sont limitées à une « vérification de leur réputation » au regard des risques de corruption (« Reputation Check ») dans Securimate. Ce Reputation Check consiste à rechercher le nom d’un Agent dans une base de données constituée de listes publiques (« Watchlists »). Si la vérification ne détecte aucune correspondance (« hit »), le Département Conformité approuvera l’Agent sans qu’aucune autre vérification ne soit nécessaire. Si des diligences supplémentaires sont requises, soit en cas de « hit » avéré, soit lorsque l’Agent présente un niveau de risque plus élevé, l’Agent sera invité, par mail, à compléter un DDQ  disponible sur une plateforme hébergée par Securimate. Le Département Conformité examine alors le DDQ pour identifier tout élément de nature à révéler un risque élevé de violation des lois anti-corruption. Le système Securimate effectue par ailleurs une recherche dans les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par ses prestataires (« Watchlists »).S’il n’y a pas de « hit » et pas d’autres facteurs révélant un risque élevé de violation des lois anti-corruption, le Département Conformité approuve l’Agent. Si les vérifications révèlent un « hit » (présence du nom de l’Agent dans une Watchlist), la société WALT DISNEY Company s’assure que le « hit » correspond bien à l’Agent concerné afin d’éviter tout risque de
« hit » non pertinent. Ces étapes de confirmation incluent une analyse approfondie, des demandes d’informations complémentaires auprès des contacts commerciaux et juridiques au sein de l’entité du Groupe concernée et de l’Agent concerné. L’outil fourni par le prestataire de service est configuré de telle sorte que la société WALT DISNEY FRANCE ne puisse disposer que des informations spécifiques à la lutte contre la corruption.Les informations détectées lors de ces opérations de vérification peuvent conduire la société WALT DISNEY FRANCE à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par ses prestataires. La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.La Commission considère que sont légitimes les vérifications portant sur les listes des personnes faisant
l’objet de sanctions financières ou de mesures de restriction appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société WALT DISNEY FRANCE est tenue de les appliquer.Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité de l’Agent, les catégories de données collectées sont les suivantes :
Informations permettant l’identification de l’Agent (par exemple, nom et adresse) ; 
Informations légales ; 
Liens avec le gouvernement, des organismes publics ou des fonctionnaires ; 
Situation financière (solvabilité de l’entreprise) ; 
Membres du directoire, principaux salariés, principaux contacts professionnels intervenant dans le cadre des activités ; 
Existence de contentieux liés à la corruption ; 
Références clients et bancaires. 
Sur la base des informations fournies, des recherches d’intégrité sont lancées dans le système Securimate. 
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification sont réalisées par les personnes habilitées du Département Conformité (« Business Standards groupe ») situé au siège social de la société mère aux Etats-Unis et du prestataire de services Securimate.  La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de la politique menée par WALT DISNEY FRANCE en matière de lutte contre la corruption via une mention figurant dans le contrat, le questionnaire et un avis relatif à la collecte et à l'utilisation des données fournies.Un contact et une adresse e-mail dédiés au sein du Groupe seront mis en place de manière à aider les Agents soumis à la procédure de vérification à se mettre en conformité avec les politiques du Groupe. Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition via cette adresse mail dédiée.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Le contrôle d’accès logique des personnes habilitées à accéder à l’application se fait par un mot de passe contenant au moins 8 caractères, dont au moins une lettre majuscule, une lettre minuscule et un chiffre. Les précédents mots de passe ne peuvent être réutilisés. Le mot de passe doit par ailleurs être différent de l’identifiant.Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement