AgentPublic/cnil huggingface dataset:
Article 1
Sur les responsables de traitement/champ d'application.
Peuvent seules adresser un engagement de conformité à la  présente autorisation unique les entités du groupe Novartis, agissant en  qualité de responsable de traitement, étant juridiquement liées par les  BCR  responsable de traitement  du groupe Novartis et ayant mis en  œuvre les engagements pris au titre des BCR.
Article 2
Sur les finalités des transferts.Conformément au champ  matériel et à la description des transferts couverts par les BCR   responsable de traitement  du groupe Novartis et à leurs annexes, sont  autorisés les seuls transferts de données à caractère personnel ayant  pour finalités :Finalités relatives aux transferts des données  personnelles des employés des entités du groupe Novartis et des employés  des prestataires :
- la gestion du personnel ;- la gestion des communications et des urgences (moyens permettant notamment :-  de faciliter la communication avec les employés et les prestataires à  des fins professionnelles et pour des initiatives globales ;- de protéger la santé et la sécurité des employés) ;- la gestion des activités  métiers  ;- la gestion de la conformité ;- la conduite des évaluations des risques pour la santé.
Finalités relatives aux transferts des données personnelles des consommateurs :
- la gestion des données relatives à l'accompagnement des patients ;- la gestion de la conformité.
Finalités relatives aux transferts des données personnelles des clients professionnels et autres parties prenantes :
- la gestion des ventes et du marketing ;- la gestion des activités commerciales ;- la gestion de la conformité.
Finalités relatives aux transferts des données personnelles des prestataires et partenaires :
- la gestion des données financières et transactionnelles ;- la gestion des activités commerciales ;- la gestion de la conformité.
Finalités relatives aux transferts des données personnelles  des personnes concernées participant ou contribuant à la recherche et à  la pharmacovigilance :
- la gestion des opérations  métiers  ;- la gestion de la pharmacovigilance ;- la gestion de la conformité ;- la gestion des obligations contractuelles et financières concernant les professionnels de santé.
Article 3
Sur les catégories de données personnelles transférées.Conformément  au champ matériel et à la description des transferts couverts par les  BCR  responsable de traitement  du groupe Novartis et à leurs annexes,  peuvent être transférées, dans le cadre des finalités décrites  ci-dessus, les catégories de données à caractère personnel suivantes :Pour les transferts relatifs aux données personnelles des employés et des employés des prestataires :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie) ;- informations d'ordre économique et financier ;- décès des personnes.
Pour les transferts relatifs aux données personnelles des consommateurs :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- informations d'ordre économique et financier ;- données de santé ;- décès des personnes.
Pour les transferts relatifs aux données personnelles des clients professionnels et autres parties prenantes :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- informations d'ordre économique et financier.
Pour les transferts relatifs aux données personnelles des prestataires et partenaires :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- informations d'ordre économique et financier.
Pour les transferts relatifs aux données personnelles des personnes concernées participant ou contribuant à la recherche :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- informations d'ordre économique et financier ;- vie sexuelle, données de santé, origine raciale ;- données génétiques ;- décès des personnes ;- identité/données d'identification des investigateurs.
Pour les transferts relatifs aux données personnelles des  personnes concernées participant ou contribuant à la pharmacovigilance :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- informations d'ordre économique et financier ;- vie sexuelle, données de santé, origine raciale,
étant précisé que le transfert des données sensibles au sens  de l'article 8 de la loi du 6 janvier 1978 modifiée ne peut être réalisé  que dans la mesure où :(iii) le traitement auquel ce transfert se  rattache a préalablement fait l'objet, lorsque cela est requis, d'une  autorisation par la Commission nationale de l'informatique et des  libertés ; et(iv) ce transfert est réalisé dans le strict respect du cadre défini par ladite autorisation.
Article 4
Sur les catégories de personnes concernées par les transferts.Conformément  au champ matériel et à la description des transferts couverts par les  BCR  responsable de traitement  du groupe Novartis et à leurs annexes,  peuvent être transférées, dans le cadre des finalités décrites  ci-dessus, les données à caractère personnel relatives aux catégories de  personnes suivantes :
- salariés (employés actuels, anciens employés, candidats à un poste, stagiaires, retraités d'une société du groupe Novartis) ;- patients ;- étudiants/élèves destinés à des professions de santé ;- clients professionnels et autres parties prenantes ;-  consommateurs (personnes qui achètent, reçoivent ou recherchent des  informations sur les produits de santé et services Novartis pour leur  usage personnel. Cette catégorie comprend les prospects) ;- personnes participant ou contribuant à la recherche ;- personnes participant ou contribuant à la pharmacovigilance ;- fournisseurs ;- partenaires.
Article 5
Sur les destinataires habilités à accéder aux données transférées.Peuvent  seules être habilitées à accéder aux données les entités du groupe  Novartis juridiquement liées aux BCR  responsable de traitement  du  groupe Novartis et ayant mis en œuvre les engagements pris au titre de  ces BCR, dont la liste à jour a été fournie à la Commission nationale de  l'informatique et des libertés, et ce conformément aux BCR   responsable de traitement  du groupe Novartis et à leurs annexes.
Article 6
Sur les informations relatives à chaque transfert.Les  responsables de traitement doivent tenir à disposition des services de  la Commission nationale de l'informatique et des libertés une liste (cf.  modèle proposé en annexe 1 de la présente délibération) détaillée et à  jour des transferts effectués sur la base des BCR  responsable de  traitement  du groupe Novartis, précisant, pour chaque transfert, les  informations suivantes :
- la finalité générale du transfert ;- la ou les catégories de données à caractère personnel transférées ;- la ou les catégories de personnes concernées par le transfert ;- les informations relatives à chaque destinataire des données :- raison sociale ;- nom du groupe auquel le destinataire appartient et ayant adopté des BCR  responsable de traitement  ;- pays d'établissement ;- catégorie de destinataire (ex : maison mère, filiale) ; et- nature du traitement opéré par ce dernier.
Article 7
Sur les droits d'accès, de rectification et d'opposition des personnes.Les  droits d'accès, de rectification et d'opposition des personnes  concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée  s'exercent auprès du ou des services que les responsables de traitement  auront désignés.
Article 8
Sur l'information des personnes.Les responsables de  traitement doivent avoir clairement informé les personnes concernées de  l'existence de transferts de données vers des pays tiers et des  modalités d'exercice de leurs droits d'accès, de rectification et  d'opposition, dans les conditions prévues par les dispositions des  articles 90 et 91 du décret du 20 octobre 2005 modifié (notamment la  finalité du transfert, le pays d'établissement du destinataire des  données…).La présente délibération sera publiée au Journal officiel de la République française.
Annexe 
ANNEXE 1MODÈLE DE DOCUMENTATION SUR LES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL ENCADRÉS PAR DES BCR  RESPONSABLE DE TRAITEMENT 
TRANSFERT N°1
MODIFICATIONS            (préciser la date et l'objet)
Date de mise en œuvre
 
 
Finalité générale du transfert
 
 
Catégories de personnes concernées
 
 
Nature des données personnelles transférées
 
 
Destinataire 1
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire(exemple : maison mère, filiale)
 
 
Nature du traitement opéré par le destinataire(exemple : lecture seule, saisie)
 
 
Destinataire 2
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire(exemple : maison mère, filiale)
 
 
Nature du traitement opéré par le destinataire(exemple : lecture seule, saisie)
 
 
La présidente,
I. Falque-Pierrotin
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M.
 Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Sébastien HUYGUE et M. Maurice RONAI,
 membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du
 traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi
 n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978
 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission
 nationale de l'informatique et des libertés ;
Vu la décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des
 libertés de mettre en demeure la société X ;
Vu la décision n°2014-058C du 24 février 2014 de la Présidente de la Commission nationale de l’informatique et
 des libertés ordonnant une mission de vérification auprès de la société X ;
Vu la décision n°2014-053 du 13 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des
 libertés de mettre en demeure la société X ;
Vu la délibération n°2014-427 du 23 octobre 2014 du bureau de la Commission nationale de l’informatique et des
 libertés décidant de rendre publique la décision de mise en demeure n°2014-053 du 13 octobre 2014 ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation
 d’un rapporteur, en date du 15 décembre 2014 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, remis à la société X contre reçu le 16 janvier
 2015 ;
Vu les observations écrites versées par la société X le 16 février 2015, ainsi que les observations orales
 formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier.
Ayant entendu, lors de la séance de la formation restreinte du 26 février 2015 :
M. François PELLEGRINI, commissaire, en son rapport ;
M. Jean-Alexandre SILVY, Commissaire du Gouvernement adjoint, en ses observations ;
M. A, […] de la société X ;
M. B, […] de la société X ;
MM. C et D, avocats de la société X et Mme E, élève avocat.
La société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ), premier groupe de presse en France, a pour activité l’édition de revues et
 périodiques sous format papier et sur Internet. Elle édite 26 titres dont les magazines […]. En 2012, elle a
 réalisé un chiffre d’affaires d’environ 450 millions d’euros. Son siège social est situé […].
Par décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des
 libertés (ci-après la CNIL ou la Commission ), la société a fait l’objet d’une procédure de mise en demeure aux
 termes de laquelle il lui était demandé de se conformer aux prescriptions de la loi du 6 janvier 1978 modifiée
 (ci-après loi Informatique et Libertés ) s’agissant des traitements de données à caractère personnel relatives à
 ses prospects.
Après plusieurs échanges de courriers attestant d’une mise en conformité résultant, pour partie, d’engagements
 pris par la société, il a été décidé de la clôture en l’état de la procédure le 24 janvier 2013.
Par décision n° 2014-058C du 24 février 2014 de la Présidente de la CNIL, un nouveau contrôle a été opéré afin de
 vérifier le respect des termes de la mise en demeure précitée et de contrôler la régularité des traitements mis
 en œuvre par la société
Le 6 mars 2014, une délégation de la CNIL s’est rendue au siège de la société et a relevé, s’agissant des
 opérations de prospection commerciale par voie électronique, tant la persistance de certains manquements visés à
 la mise en demeure du 19 juillet 2012 que l’existence d’un nouveau manquement.
Par décision n°2014-053 du 13 octobre 2014, la Présidente de la CNIL a adopté une nouvelle mise en demeure,
 rendue publique par délibération n°2014-427 du 23 octobre 2014, notifiée à la société le 29 octobre suivant.
Celle-ci lui enjoignait, dans le délai d’un mois, d’adopter des mesures correctives destinées notamment à
 recueillir le consentement libre, spécifique et informé des personnes préalablement à l’envoi des lettres
 d’information, à informer les personnes concernées des traitements de données opérés, à assurer la sécurité et
 la confidentialité des données collectées et à respecter le droit d’opposition des personnes ne souhaitant plus
 recevoir de lettres d’information .
Par courrier du 1er décembre 2014, la société a apporté des éléments de réponse permettant de justifier d’une
 mise en conformité partielle avec les injonctions de la mise en demeure.
En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François
 PELLEGRINI en qualité de rapporteur, le 15 décembre 2014, sur le fondement de l’article 46 de la loi du 6
 janvier 1978.
A l’issue de son instruction, le rapporteur a notifié à la société, le 16 janvier 2015, un rapport détaillant les
 manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la
 formation restreinte de la CNIL de prononcer une sanction pécuniaire de 70.000€, dont il sollicitait par
 ailleurs qu’elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 26 février 2015
 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 16 février 2015, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la
 séance de la formation restreinte du 26 février 2015.
Motifs de la décision
Sur le manquement à l’obligation de respecter les dispositions de l’article L.34-5 du Code des postes et des
 communications électroniques
L’article L. 34-5 du CPCE dispose qu’ est interdite la prospection directe au moyen d’un automate d’appel, d’un
 télécopieur ou d’un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d’une
 personne physique qui n’a pas exprimé son consentement préalable à recevoir des prospections directes par ce
 moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre,
 spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant
 soient utilisées à fin de prospection directe .
Il a été constaté que la société permet à un internaute de demander à recevoir, par voie de formulaire, la lettre
 d’information du titre du site qu’il consulte mais également celles des autres revues ou périodiques édités par
 la société en cochant la case : oui, je souhaite recevoir les newsletters du groupe X .
La Formation restreinte relève que le fait de cocher la case susmentionnée entraîne la réception de lettres
 d’information destinées notamment à promouvoir d’autres titres de la société ainsi que des biens ou services
proposés par des tiers. Ainsi, en l’espèce si l’objet principal de la lettre d’information est de fournir un
 contenu d’information, elle a également vocation à titre accessoire à assurer une opération de prospection au
 sens de l’article L.34-5 précité. Il appartenait donc à la société de recueillir un consentement libre,
 spécifique et informé.
Cette dernière a été mise en demeure de faire apparaître la liste exhaustive des lettres d’information auxquelles
 l’internaute souscrit lorsqu’il coche la case générale précitée.
La Formation restreinte relève que la société n’a pas apporté d’élément de réponse sur ce point dans le délai qui
 lui était imparti par la mise en demeure et ce malgré le caractère précis de l’injonction qui lui a été
 adressée.
En défense, postérieurement au délai imparti dans la mise en demeure, la société a communiqué les formulaires
 d’inscription de plusieurs de ses lettres d’information, faisant désormais apparaître la liste exhaustive des
 lettres d’information auxquelles l’intéressé souscrit en cochant la case précitée, tout en indiquant qu’elle
 aurait, au stade de la mise en demeure, répondu à ce manquement conjointement avec celui visé à l’article 32 de
 la loi Informatique et Libertés .
La Formation restreinte constate qu’aucune réponse au manquement à l’article L.34-5 précité n’a été apportée par
 la société dès lors que celle-ci ne peut se déduire de celle apportée au manquement à l’article 32 de la loi
Informatique et Libertés . En l’espèce, la société aurait dû informer l’internaute sur le formulaire de
 l’intégralité des lettres d’information auxquelles il consent à s’inscrire. Or, la société ne justifie sur ce
 point que d’une mise en conformité partielle, postérieure au délai de conformité imparti par la mise en demeure.
En outre, la Formation restreinte rappelle que la société s’était déjà engagée, dans le cadre de la première
 procédure de mise en demeure, à remédier à cette défaillance en détaillant la liste des lettres d’information
 concernées par une souscription.
Sur le manquement à l’obligation d’informer les personnes
L’article 32 de la loi du 6 janvier 1978 modifiée dispose : I.- La personne auprès de laquelle sont recueillies
 des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le
 responsable du traitement ou son représentant :
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre
de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des
 prescriptions figurant aux 1°, 2°, 3° et 6°. 
Dans le cadre de la mise en demeure, il a été enjoint à la société de faire apparaître sur ses formulaires
 d’inscription aux lettres d’information, une mention d’information complète au regard de l’article précité.
Dans son courrier de réponse, la société a communiqué la mention type intégrée sur les formulaires concernés qui
 ne précise toutefois pas aux internautes qu’ils peuvent s’opposer au traitement effectué.
En défense, la société indique qu’elle aurait respecté ses obligations en faisant mention, sur ses formulaires de
 collecte, des droits d’accès, de modification, de rectification et de suppression des données et en renvoyant,
 pour les modalités pratiques de mise en œuvre de ces droits, à un autre support intitulé charte pour la
 protection des données.
Sur ce point, la formation restreinte rappelle que le droit de s’opposer à figurer dans un traitement visé à
 l’article 38 de la loi Informatique et Libertés, qui consiste, en l’espèce, à ne pas recevoir de courriels de
 prospection de la part de la société, se distingue des droits d’accéder aux données détenues par le responsable
 de traitement, garanti par l’article 39 de la loi précitée, et de celui d’obtenir la modification ou la
 rectification des données visé à l’article 40.
Elle précise que la mention relative au droit d’opposition doit figurer, ainsi que le prescrit l’article 32
 précité, sur le formulaire de collecte des données et non sur un autre support.
La formation restreinte relève également que le caractère non obligatoire de la collecte des données et le
 recueil du consentement des internautes à recevoir des lettres d’information est sans incidence sur l’obligation
 de la société d’informer la personne de son droit d’opposition qu’elle peut, le cas échéant, exercer a
 posteriori.
Dès lors, il est établi que le manquement est caractérisé en ce que la mention d’information présente sur les
 formulaires de collecte ne fait pas état du droit d’opposition.
Si la formation restreinte prend acte qu’à la date de la séance, la société s’est conformée à son obligation,
 elle relève toutefois que les correctifs ont été mis en œuvre postérieurement au délai imparti par la mise en
 demeure.
Sur le manquement à l’obligation de respecter le droit d’opposition
L’article 38 de la loi du 6 janvier 1978 modifiée dispose que Toute personne physique (…) a le droit de
 s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment
 commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur .
A l’issue du contrôle sur place du 6 mars 2014, il a été constaté que certains internautes s’étant désabonnés des
lettres d’information de la société via l’option gérer mes abonnements ou s’étant opposés à recevoir des
 courriels de sollicitation auprès du Correspondant Informatique et Libertés ont continué à recevoir des messages
 électroniques de la société.
Mise en demeure de respecter de manière systématique le droit d’opposition des personnes, la société a indiqué
 que la procédure qu’elle mettait en œuvre était opérante et que les difficultés identifiées par la délégation de
 contrôle pouvaient correspondre aux situations d’internautes s’étant successivement désabonnés puis réabonnés
 aux lettres d’information ou ayant sollicité leur désabonnement depuis une adresse électronique invalide.
En défense, la société a maintenu cette argumentation tout en contestant la validité des constats opérés par la
 délégation de contrôle sur ses bases de données auprès de son prestataire technique.
Sur ce point, la formation restreinte considère que les constats opérés sont réguliers au regard de l’article 44
 de la loi Informatique et Libertés dans la mesure où, d’une part, la délégation est autorisée à contrôler les
 traitements mis en œuvre par un prestataire pour le compte du responsable de traitement, et, d’autre part, la
 requête a porté sur la base de données de la société afin d’en extraire la liste des personnes ne possédant plus
 d’abonnement aux lettres d’information ou ayant demandé à ne plus recevoir de sollicitation qui a été annexée au