AgentPublic/cnil huggingface dataset:
Il est prévu que les personnes soient informées individuellement par la remise d’une notice d’information. Cette information sera complétée par un document affiché au sein de la pharmacie d’officine ou diffusé sur son site web.
La Commission demande que ces mentions soient complétées afin de recouvrir l’ensemble des informations prévues aux articles 12 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
La Commission prend acte de ce que le droit d’opposition s’exerce auprès des pharmacies d’officine partenaires. Le pharmacien muni d’un code barre indique dans son outil que la personne a exercé son droit d’opposition de façon à ce que ses données n’alimentent pas l’entrepôt de données. L’ensemble des données est supprimé y compris celles déjà collectées dans l’hypothèse de l’exercice du droit d’opposition en cours de traitement.
Les pharmaciens partenaires seront informés individuellement par IQVIA via leur espace personnel dans l’outil et un courriel que leur adresse IQVIA.
La Commission demande que ces mentions soient complétées afin de recouvrir l’ensemble des informations prévues aux articles 12 et 13 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. Les droits des pharmaciens s’exerceront auprès de la direction juridique d’IQVIA.
La Commission prend acte de ce que IQVIA précise ne pas être en capacité d’informer individuellement les prescripteurs dont le code RPPS, ou à défaut le code Adeli, est collecté, dans la mesure où elle ne dispose pas des coordonnées de ces derniers, sauf à collecter des données supplémentaires (telle que l’adresse courriel et/ou postale du prescripteur) dont la société n’a pas besoin pour la constitution de la base de données LRX et les traitements ultérieurs.
Les prescripteurs seront informés par voie d’affichage diffusé au sein des pharmacies partenaires qui les renverra vers le site web d’IQVIA pour une information plus complète. La Commission demande que l’information soit en tout point conforme aux dispositions 12 et 14 du RGPD quel que soit le support envisagé. Elle demande également que l’information soit diffusée plus largement, au moyen d’autres supports, afin de garantir le respect du droit à l’information des personnes concernées.
Les prescripteurs exerceront leurs droits auprès d’IQVIA.
Sur la sécurité des données et la traçabilité des actions
La Commission relève que la société IQVIA s’appuie, entre autres, sur une architecture qui a obtenu un agrément HDS.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination : les données transmises par les officines sont transmises par courriels chiffrés, et les données transmises par les tiers de confiance sont chiffrées via le protocole SFTP.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission prend acte de ce que les habilitations sont revues tous les 6 mois et qu’un processus de désactivation des comptes utilisateurs a été mis en place afin de gérer les changements d’affectation et les départs des personnes habilitées.
Concernant l’authentification des utilisateurs, la Commission prend acte de ce que le responsable de traitement a mis en place une politique d’authentification définissant les modalités d’authentification des différents types de personnes habilitées. La Commission constate que les règles mises en place sont conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Une journalisation des connexions à l’application ainsi que des opérations de consultation, création, modification et suppression réalisées dans le traitement sera réalisée. Une analyse des traces régulière devrait être effectuée. La Commission recommande, à cet égard, que ce contrôle des traces soit effectué de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
La Commission prend acte de ce que le responsable de traitement s’est engagé à conserver les journaux pendant une durée de six mois.
Les interventions de maintenance feront l'objet d'une traçabilité et sont effectuées en présence d’un informaticien de l’entreprise. Des procédures ont été mises en place pour assurer la confidentialité des données contenues sur les supports de stockage envoyés en maintenance.
Des mesures sont prévues pour assurer la sécurité du réseau, notamment par la mise en œuvre d’une compartimentation de celui-ci.
Concernant l’analyse d’impact relative à la protection des données réalisée par la société, la Commission demande qu’elle soit complétée, avant la mise en œuvre du traitement, par une analyse des sources de risques, des biens essentiels et des biens supports et que des scenarii de risques précis et détaillés soient identifiés et estimés en termes de vraisemblance et de gravité.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’état de l’art. La Commission rappelle toutefois que le responsable de traitement doit s’assurer de façon continue que les mesures de sécurité mises en place permettent de garantir que les risques sur les personnes restent à un niveau acceptable.
La Commission rappelle que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société IQVIA Opérations France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, issues des données des pharmacies d’officine.
Enfin, elle rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet, par la société IQVIA, de formalités propres prévues au chapitre IX section 2 de la loi.
La Présidente
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données - RGPD) ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code civil ;
Vu le code de la consommation ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2005-213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d'archivage électronique, dans le secteur privé, de données à caractère personnel ;
Vu les lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est susceptible d’engendrer un risque élevé aux fins du règlement (UE)2016/679 adoptée le 4 octobre 2017 par le groupe de travail de l’article 29 sur la protection des données ;
Vu la recommandation n° R (90) 19 du Conseil de l'Europe relative à la protection des données à caractère personnel à des fins de paiement et autres opérations connexes ;
Vu les recommandations de la Banque centrale européenne pour la sécurité des paiements par internet publiées le 31 janvier 2013 ;
Après avoir entendu M. François PELLEGRINI, Commissaire, en son rapport, et Mme Nacima BELKACEM, Commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
 
La Commission a adopté une délibération, le 19 juin 2003, portant adoption d'une recommandation relative au stockage et à l'utilisation du numéro de carte bancaire dans le secteur de la vente à distance.
 
Dix ans après l'adoption de cette recommandation, la Commission a adopté une nouvelle délibération visant à l’actualiser et à proposer des préconisations concrètes à l’utilisation du numéro de carte bancaire par les professionnels de la vente à distance dans un traitement automatisé.
 
Elle estime aujourd’hui nécessaire d’actualiser sa recommandation au regard de l’évolution des pratiques du commerce en ligne, ainsi que de celle du cadre légal et technologique.
Les dispositions de la présente recommandation, qui abroge celle de 2017, s'appliquent au traitement de données relatives à la carte de paiement (carte interbancaire ou dispositif similaire), ci-après la carte , lors de toute vente d'un bien ou fourniture d'une prestation de service conclu, sans la présence physique simultanée des parties, entre un consommateur (personne physique) et un professionnel, et qui, pour la conclusion de ce contrat, utilisent exclusivement une ou plusieurs techniques de communication à distance (Internet, téléphone, etc.).
 
Les cartes de paiement visées sont celles qui permettent notamment d'effectuer des achats chez un commerçant ou un prestataire de services affiliés à un réseau de paiement national ou international (système CB, Visa, MasterCard, etc.) mais aussi les cartes de paiement dites privatives (cartes émises par les commerçants ou par les établissements financiers spécialisés dans le crédit à la consommation) et accréditives (carte présentée par un adhérent à un fournisseur affilié au réseau de l'émetteur de la carte).
La Commission précise que l’article 35 du RGPD prévoit la conduite d’une analyse d’impact relative à la protection des données (AIPD), lorsqu‘un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, compte tenu notamment de la nature des données traitées. A cet égard, la Commission rappelle que les données financières, dont les données relatives aux cartes de paiement, sont qualifiées de données à caractère hautement personnel compte tenu de la gravité des impacts pour les personnes concernées que leur violation pourrait engendrer (utilisation pour des paiements frauduleux par exemple).
 
La Commission rappelle aux organismes qui mettraient en œuvre un tel traitement de données de paiement qu’ils sont susceptibles d’être tenus, selon l’ampleur du traitement et les modalités de sa mise en œuvre, de réaliser une AIPD.
 
Article 1er : Finalités du traitement
 
La protection des données personnelles, et par là même de la vie privée, implique la capacité de l'individu à maîtriser la collecte, l'enregistrement et l'utilisation des données à caractère personnel qu'il est tenu de communiquer dans le cadre d'un paiement.
 
La finalité première de l'utilisation d'un numéro de carte de paiement est de permettre la réalisation d'une transaction visant à la délivrance d'un bien ou la prestation d'un service en contrepartie du paiement complet d'un prix.
La collecte des données relatives à une carte de paiement peut toutefois remplir d'autres finalités, liées à la particularité des opérations à distance :
la réservation d'un bien ou d'un service ;
le règlement d’abonnements souscrits en ligne impliquant des paiements définis et réguliers ;
la simplification des éventuels achats ultérieurs sur le site du commerçant ;
l'offre de solutions de paiement dédiées à la vente à distance par des prestataires de services de paiement (cartes virtuelles, porte-cartes numériques dits wallets , comptes rechargeables, etc.). Ces solutions visent à éviter aux consommateurs de saisir les données relatives à leur carte lors d'achats effectués à distance ;
la lutte contre la fraude.
 
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
 
Elle rappelle que les données collectées et traitées aux fins de règlement de paiements multiples et réguliers dans le cadre d’abonnements ne peuvent être ultérieurement utilisées pour une autre finalité telle que, par exemple, faciliter des paiements ponctuels ultérieurs, et inversement.
 
En outre, compte tenu de la sensibilité de cette donnée, le numéro de la carte de paiement ne peut être utilisé comme identifiant commercial.
 
Article 2 : Base légale du traitement
La Commission considère que la base légale du traitement des données bancaires peut varier en fonction de la finalité poursuivie, de la nature de la transaction conclue et des modalités de son exécution, conformément à l'article 6 du RGPD.
 
La Commission rappelle qu’il appartient au responsable de traitement de s’assurer des conditions de licéité de son traitement et, notamment, de la base légale sur laquelle le fonder.
 
Le paiement unique
 
La Commission relève que le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d’une transaction dans le cadre de l’exécution du contrat conclu par la personne concernée conformément à l’article 6-1-b du RGPD (exécution contractuelle). Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n’ont donc pas vocation à être conservées au-delà du temps de transaction commerciale.
 
L’abonnement impliquant des paiements multiples
 
La Commission considère que dans le cadre d’un contrat d’abonnement souscrit en ligne impliquant, de fait, des paiements successifs et réguliers, la conservation des données bancaires satisfait également à la condition prévue à l’article 6-1-b du RGPD (exécution contractuelle).
 
Les solutions de paiement dédiées à la vente à distance
En ce qui concerne le traitement des données bancaires dans le cadre de la souscription d’une solution de paiement dédiée à la vente à distance par des prestataires de services de paiement (cartes virtuelles, porte-cartes numérique – wallets , comptes rechargeables, etc.), la Commission estime que la communication des coordonnées bancaires entre également dans le cadre de l’exécution du contrat, celui-ci visant précisément à conserver les données relatives à la carte de paiement afin d’éviter aux consommateurs d’avoir à les saisir lors d'achats effectués à distance.
 
L’option permettant de faciliter les éventuels paiements ultérieurs
 
La Commission estime que la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs, et éventuellement pouvoir procéder à un achat en un clic sur le site du commerçant, va au-delà de l’exécution du contrat conclu.
 
Elle retient que cette faculté constitue une option indépendante de l’acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu’un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique, éclairé et univoque des personnes, en application de l’article 6-1-a du RGPD.
 
La souscription à un abonnement, à titre gratuit ou onéreux, donnant accès à des services additionnels, traduisant l’inscription du client dans une relation commerciale régulière
La Commission rappelle que la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs sur le site du commerçant va au-delà de l’exécution du contrat conclu.
 
La Commission considère cependant que le fait pour une personne de souscrire à un abonnement qui donne accès à des prestations additionnelles à celles accessibles à tout client peut traduire l’intention du client de s’inscrire dans une relation commerciale régulière. Ces prestations additionnelles peuvent prendre la forme de services supplémentaires annexes demandés par le client (livraison rapide, accès à des ventes privées ou à des contenus complémentaires, etc.).
 
Dans de tels cas, la Commission estime que la conservation des données bancaires de la personne pour faciliter ses achats ultérieurs peut être basée sur l’intérêt légitime du responsable de traitement, la personne pouvant, dans ses conditions, raisonnablement s’attendre à ce que ses données bancaires soient conservées pour simplifier ses achats ultérieurs.
La Commission précise que l’intention du client de s’inscrire dans une relation commerciale régulière doit être manifeste. La souscription à un tel abonnement doit donc être distincte de la simple création d’un compte client donnant accès aux services de base. Il doit s’agir d’une démarche complémentaire à la création et au fonctionnement courant d’un compte client. La souscription à l’abonnement peut néanmoins intervenir de manière concomitante à la création d’un compte client.
 
De même, la Commission estime que la simple inscription à un programme ou compte de fidélité, en contrepartie d’avantages et de récompenses, qui ne donnerait pas accès à des prestations supplémentaires visant à faciliter les achats, ne saurait suffisamment traduire l’intention du client de procéder à des achats réguliers auprès du commerçant, justifiant ainsi la conservation de ses données bancaires par défaut, sur la base de l’intérêt légitime du responsable de traitement.
 
De plus, pour pouvoir s’appuyer sur la base de l’intérêt légitime à réaliser un tel traitement, le responsable du traitement doit clairement en informer les personnes concernées ainsi que leur permettre de s’y opposer en faisant figurer une mention et un moyen visible, explicite et ergonomique tel qu’une case à cocher, directement sur le support de collecte (voir article 5 de la présente délibération portant sur l’information et les droits des personnes).
 
La lutte contre la fraude à la carte de paiement
La Commission estime que la conservation des données relatives à la carte de paiement au‑delà de la réalisation d'une transaction à des fins de lutte contre la fraude à la carte de paiement ne rentre pas dans le cadre du contrat. Elle considère en effet que ce traitement relève de l’intérêt légitime du responsable de traitement, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés des personnes en application de l’article 6-1-f du RGPD, en garantissant notamment le respect des principes de transparence et l’effectivité de l’exercice de leurs droits par les personnes concernées.
 
La Commission rappelle que l'utilisation du numéro de carte bancaire dans le cadre d’un traitement visant à lutter contre la fraude et, le cas échéant, la conservation d’une trace de comportements frauduleux ayant généré des impayés, ne saurait aboutir à un refus de vente. La Commission précise que cette utilisation peut néanmoins conduire le commerçant à refuser ce mode de paiement.
Article 3 : Les données collectées
 
Les données nécessaires à la réalisation d'une transaction à distance par carte de paiement sont le numéro de la carte, la date d'expiration et le cryptogramme visuel.
 
La Commission rappelle que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité du traitement doivent être collectées.
S'agissant de l'identité du titulaire de la carte, dès lors que cette donnée n'est pas requise pour la réalisation d'une transaction en ligne, elle ne doit pas être collectée par le système de paiement sauf lorsqu'elle est justifiée pour la poursuite d'une finalité déterminée et légitime, telle que la lutte contre la fraude.
 
La Commission considère également que le responsable de traitement, ou son prestataire, ne peut demander la transmission de la photocopie ou de la copie numérique du recto et/ou du verso de la carte de paiement, même si le cryptogramme visuel et une partie des numéros sont masqués. En effet, la transmission de ce document n'est pas compatible avec les obligations de sécurité et les conditions d'utilisation que doit respecter le titulaire de la carte de paiement conformément à l'article L. 133-16 du code monétaire et financier.
 
Article 4 : Sur la durée de conservation des données
 
La Commission rappelle qu’en application de l’article 5-1-e du RGPD, les données doivent être conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
 
Elle rappelle à cet égard que la conservation du cryptogramme après la réalisation de la première transaction est interdite, dans tous les cas de figure, y compris pour les abonnements nécessitant différents paiements.
 
4.1 Les paiements uniques et abonnements
 
La Commission précise que :
s’agissant de paiements uniques (achats ponctuels ou abonnement sans tacite reconduction, réglé en une seule fois), la durée de conservation des données relatives à la carte doit correspondre au délai nécessaire à la réalisation de la transaction, c'est-à-dire au paiement effectif qui peut être différé à la réception du bien ou à l’exécution de la prestation de service, augmenté, le cas échéant, du délai de rétractation prévu pour les ventes de biens et fournitures de prestations de services à distance (article L.121‑20‑12 du code de la consommation) ;
en ce qui concerne les abonnements impliquant des paiements échelonnés
, la conservation de ses données bancaires est justifiée :
jusqu’à la dernière échéance de paiement, si l’abonnement ne prévoit pas de tacite reconduction ;
jusqu’à résiliation de l’abonnement en cas de renouvellement par tacite reconduction, sous réserve des dispositions applicables et notamment de l’information des personnes concernées avant le renouvellement.
 
4.2 La gestion des réclamations
S'agissant des commerçants en ligne, le risque financier d'une utilisation non autorisée pesant in fine sur ces derniers dans le cas où ils n'ont pas mis en œuvre un système d'authentification de leurs clients, la Commission estime qu'ils peuvent conserver le numéro de carte et la date de validité de celle-ci dès lors que cette conservation est nécessaire pour la gestion des éventuelles réclamations des titulaires de cartes de paiement. Les données peuvent être conservées pour la durée prévue par l'article L. 133-24 du code monétaire et financier, en l'occurrence 13 mois suivant la date de débit. Ce délai peut être étendu à 15 mois afin de prendre en compte la possibilité d'utilisation de cartes de paiement à débit différé.
 
Les données ainsi conservées à des fins de preuve doivent être versées en archives intermédiaires et utilisées uniquement en cas de contestation de la transaction. Les numéros de carte de paiement conservés à cette fin doivent faire l'objet de mesures de sécurité techniques, telles que décrites à l'article 6 de la présente recommandation, visant à prévenir toute réutilisation illégitime.
 
4.3 La lutte contre le blanchiment
Dans les cas où les données relatives à la carte seraient collectées par un organisme assujetti aux obligations de lutte contre le blanchiment de capitaux pour offrir une solution de paiement à distance, elles peuvent être conservées jusqu'à la clôture du compte puis, le cas échéant, archivées conformément aux obligations légales en la matière.
 
4.4 Autres finalités
 
Dans les cas où le numéro de la carte serait utilisé à d'autres fins, dans le cadre d’une simple option visant à faciliter les achats ultérieurs, d’un abonnement donnant accès à des services additionnels ou d’un traitement de lutte contre la fraude, sa durée de conservation ne saurait excéder la durée nécessaire à l'accomplissement de cette finalité.
 
Article 5 : Les droits des personnes
 
5.1 L’obligation générale d’information
 
Toute utilisation du numéro de carte de paiement, quelle qu'en soit la finalité, doit faire l'objet d'une information complète et claire auprès des personnes. Elles doivent être informées de ce qu’il sera fait de leurs données et ce, dès le stade de la collecte, dans les conditions prévues par les articles 13 et 14 du RGPD.
 
Elles doivent être informées de la manière d’exercer les droits :
de retrait de leur consentement ou d’opposition au traitement de leurs données ;
d’accès, rectification et effacement des données qui les concernent ;