AgentPublic/cnil huggingface dataset:
le porteur confirme ne pas être à l’origine de la transaction, la carte est annulée et une nouvelle carte lui sera délivrée.Le personnel du service de la lutte contre la fraude peut procéder à la mise en opposition de la carte dès lors qu’il existe un motif légitime et uniquement après avoir contacté le client et obtenu son accord. Dans l’hypothèse où le porteur n’est pas joignable la restriction temporaire de fonctionnement de la carte bancaire ne peut être prise qu’avec l’accord formel du responsable de la cellule lutte contre la fraude. Le remplacement de la carte est alors automatique.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime. Elle observe que le traitement a pour objet d’identifier des opérations réalisées par cartes bancaires susceptibles de révéler une fraude. Dès lors, ce traitement peut avoir pour effet d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement.Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure des personnes du bénéfice d’une prestation, l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les données traitées
Les données traitées sont relatives :
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique. 
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction. 
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
Les données pour la production des alertes sont : 
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique. 
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction. 
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
Les données pour la gestion des alertes sont : 
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique. 
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction. 
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
Les alertes sont conservées pendant une durée de 30 jours. 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Le personnel habilité du service lutte contre la fraude de la Société OPS a accès au traitement de gestion des alertes.Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les transferts de données
La finalité du transfert concerne les services opérationnels. Le sous traitant est en charge du traitement de l’ensemble des appels, des courriels et courriers des clients.Les catégories de données rappelées ci-dessus sont transmises au personnel habilité de la société Outremer Telecom Ltee (située à l’Ile Maurice) filiale à 100% du Groupe Outremer Telecom, en vertu des clauses contractuelles types de la Commission européenne.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement lors de la signature du contrat porteur.Les droits d’accès et de rectification s’exercent auprès du Service clients de la société OPS : 105-109, rue du faubourg saint honore - 75008 Paris.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une authentification s’appuyant sur un système de carte à puce. Seuls les détenteurs de carte sont en mesure d’accéder au système.Des profils d'habilitation sont prévus afin de gérer les accès aux données. Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité.Les postes de travail disposent d'un pare-feu logiciel ainsi que d’un antivirus mis à jour régulièrement.Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité et les interventions de maintenance font l'objet d'une traçabilité.Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.Il existe une journalisation des opérations de consultation, de création et de modification du traitement. Ces journaux sont conservés pendant une durée de 15 mois.La Commission observe que les services web sont sécurisés au moyen du protocole SSL.
Sur les autres caractéristiques du traitement
Le traitement n’a pas pour objet d’identifier des commerçants ou des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisations frauduleuses.La Commission observe que le traitement de détection des alertes ne permet pas d’établir une liste des alertes générées pour une même carte bancaire ou un même compte. La Commission insiste par ailleurs sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier inutilement le nombre de fausses alertes susceptibles de provoquer une gêne excessive pour les porteurs légitimes de cartes.
Autorise, conformément à la présente délibération, OPS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n°1764326)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse Régionale du Crédit Agricole Mutuel du Centre Ouest d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité dans le cadre des relations avec ses clients ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse Régionale du Crédit Agricole Mutuel du Centre Ouest, ci-dessous dénommé le Crédit Agricole.
Les conseillers clientèle, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Client Organisation Qualité par courrier postal à l’adresse suivante : 29 BOULEVARD DE VANTEAUX - 87000 Ville : LIMOGES.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Caisse Régionale du Crédit Agricole Mutuel du Centre Ouest à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n°1671720)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne Normandie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Normandie, ci-dessous dénommée la caisse d’épargne.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : soit de manière systématique et au moment de l’entrée en relation du client avec la banque, soit de manière plus occasionnelle au cours de la relation d’affaire en cas de soupçon de fraude envers le client.La Commission estime que cette finalité est déterminée, explicite et légitime.Les documents d’identité concernés sont : la carte d’identité, le passeport, le titre de séjour, le visa. Les contrôles systématiques sont réalisés au moment de l’entrée en relation du client avec la banque. Le conseiller clientèle effectue tout d’abord un contrôle visuel des documents d’identité qui lui sont remis par le client. Un compte rendu du résultat de ce contrôle est généré automatiquement puis archivé avec la pièce d’identité du dossier client en cas d’entrée en relation. En cas de soupçon de fraude envers le client, les contrôles sont réalisés à partir des pièces conservées dans le dossier client par les gestionnaires du service contentieux, du service sécurité financière ou du service fraude externe. Ce contrôle se fait principalement par la saisie dans l’outil de contrôle des données présentes sur la pièce d’identité. Toutefois, il est également possible de traiter une copie numérisée de la pièce d’identité. Dans ce cas, il y aura une reconnaissance optique de
caractères.L’outil de contrôle vérifie la cohérence des lignes MRZ (lignes techniques au bas des pièces d’identité normalisées, comportant des clés de contrôle) avec les données saisies. Il en découle un résultat positif ou négatif selon que la cohérence est vérifiée ou pas. En cas de résultat négatif, le conseiller réalise une vérification de premier niveau des données saisies par un contrôle de cohérence des données entre la version de la pièce d’identité et le code de contrôle de la ligne MRZ. Si, après ce premier contrôle, le service lutte anti fraude externe confirme le résultat négatif, alors l’entrée en relation est refusée.Par ailleurs, si le contrôle a lieu après l’entrée en relation (soupçon de fraude), la fin de la relation commerciale peut être envisagée sur décision collégiale des directions Risques, Juridique et contentieux, et Conformité. Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, Caisse d’Epargne Normandie à mettre en œuvre le traitement susmentionné.
La présente délibération abroge la délibération n°2013-180 autorisant le Crédit Agricole Normandie à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1756401)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Gilead Sciences d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des patients atteints de cancer du sang et traités avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Gilead Sciences est une société spécialisée dans la fabrication de médicaments.Sa spécialité pharmaceutique IDELALISIB est disponible dans le cadre d’une autorisation temporaire d’utilisation (ATU), dite de cohorte, accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM). Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.En l’espèce, IDELALISIB est indiqué dans le traitement des leucémies lymphoïdes chroniques en rechute et de certains lymphomes non hodgkiniens.
Sur la finalité
La finalité du traitement est d’assurer le recueil d’informations relatives aux caractéristiques des patients traités par IDELALISIB, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique validé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.L’ATU IDELALISIB répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
données d’identification : initiales associées à un numéro de patient, date de naissance, sexe, poids, taille ;
Les destinataires des données sont les personnels dûment habilités de la société Gilead Sciences, à savoir des membres des départements en charge des affaires médicales et réglementaires, des opérations cliniques et de la pharmacovigilance.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Gilead Sciences fait appel à un prestataire pour mettre en œuvre l’ATU IDELALISIB. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend concernant la garantie de leur sécurité et de leur confidentialité, l’interdiction de les utiliser à ses propres fins et leur absence de conservation à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti poison.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques et contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Gilead Sciences.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès de Gilead Sciences.S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit la spécialité IDELALISIB.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre de l’ATU dont est titulaire le laboratoire Gilead Sciences. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge. 
Les informations relatives aux patients sont renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par courriel ou par fax.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresse des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
S’agissant des transmissions par courriel, la Commission demande que ces transferts soient sécurisés, par exemple en chiffrant les données à caractère personnel transmises par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
Concernant les autres transferts de données, notamment vers la maison mère de Gilead Sciences, située aux Etats-Unis, la Commission demande que ceux-ci soient également sécurisés, par exemple en recourant à des réseaux virtuels privés et à des protocoles d’échanges sécurisés.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les personnels dûment habilités du laboratoire Gilead Sciences.
Le contrôle d’accès aux données est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Le mot de passe ne doit pas être conservé en clair dans un fichier ou une base de données.
Le laboratoire Gilead Sciences prévoit des mesures de sécurisation physique des matériels et des locaux où sont conservées les données, ainsi que des dispositifs de sauvegarde des fichiers. 
Concernant les mesures de traçabilité, l’ensemble des accès aux données, par les personnels du laboratoire Gilead Sciences, en consultation, modification et création est tracé.