AgentPublic/cnil huggingface dataset:
Le bureau considère aussi que la publicité de la mise en demeure a vocation à informer les personnes concernées qui sont susceptibles d’être démarchées dans une perspective commerciale.
 
Enfin, d’une manière générale, le bureau souhaite prévenir les professionnels du secteur contre cette mauvaise pratique qui a déjà fait l’objet de plusieurs rappels par les fédérations AGIRC et ARRCO en charge du contrôle des institutions de retraite complémentaire.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2018-036 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
 
 
 
La Présidente
 
 
 
 
 Isabelle FALQUE-PIERROTIN
À l’issue de ce contrôle, le groupe XY a fait parvenir aux services de la Commission, à leur demande, divers documents de contexte et d’explication relatifs aux traitements contrôlés par la délégation.
 
Il ressort des informations obtenues durant ce contrôle et des documents précités que plusieurs entreprises constituent le groupe XY, et notamment la société X, société sise[…], numéro de SIREN […].
 
La délégation a également été informée que des campagnes de prospections téléphoniques sont réalisées par des sociétés composant le groupe XY ou pour leur compte.
 
Ainsi, le groupe XY a informé la délégation que la société X a fait procéder à la campagne de prospection PE relative à la santé, visant […] personnes démarchées par courrier, dont […] personnes recontactées ensuite par téléphone.
 
La délégation a constaté que tout ou partie des informations personnelles utilisées à l’occasion de ces campagnes de prospection commerciale (adresse postale et numéros de téléphone notamment) était issu de l’ usine retraite .
 
Ainsi, l’analyse des documents communiqués par la société à l’issu du contrôle a permis de constater que les bases de données alimentant les outils CRM de la société (outil […] et outil […] ) sont alimentées par des flux provenant de l’AGIRC-ARRCO.
 
 
 
II. 
L’identification du responsable du traitement
L’article 3 de la loi 78-17 du 6 janvier 1978 modifiée dans sa version en vigueur au 13 février 2018, jour du contrôle, dispose que le responsable d'un traitement de données à caractère personnel est, […] la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens .
 
Interrogée par la délégation sur ce point, l’AGIRC-ARRCO a précisé être responsable du traitement l’usine retraite , les institutions de retraite complémentaire chargées de la mise en œuvre des traitements étant sous-traitantes au titre de la loi Informatique et Libertés.
 
Le groupe XY, caisse de retraite complémentaire, a pour objet de mettre en œuvre les régimes de retraite complémentaire en réalisant des opérations de gestion. À ce titre, le groupe et les sociétés qui le composent ont accès à des données à caractère personnel qu’ils doivent traiter aux fins déterminées par l’AGIRC-ARRCO.
 
En utilisant à des fins commerciales des données à caractère personnel qu’elle détient dans le cadre de sa mission d’intérêt général, la société X a déterminé de nouvelles finalités et de nouveaux moyens au traitement visé, et s’est comportée comme le responsable du traitement.
 
Elle est donc à ce titre considérée comme tel.
III. 
Les manquements au regard des dispositions de la loi du 6 janvier 1978 modifiée
 
Un manquement à l’interdiction de traiter ultérieurement, d’une manière incompatible avec la finalité initiale, des données collectées pour des finalités déterminées
Les bases de données de l’organisme (dont la base […]) sont utilisées à des fins de prospection, notamment pour les produits d’assurance de personne. Elles sont configurées pour être alimentées par des données issues des bases informatiques de l’AGIRC-ARRCO transmises par flux pour des finalités initiales de gestion de la retraite complémentaire.
 
Interrogée à ce sujet, l’AGIRC-ARRCO a informé la délégation que l’ usine retraite est une composante du système d’information de la retraite complémentaire. Elle comprend un ensemble de traitements qui ont tous pour finalité de mettre en œuvre la mission d’intérêt général de gestion de la retraite complémentaire des salariés du secteur privé, incombant aux fédérations et institutions de retraite complémentaire en application des articles L921-4, L922-1 et L922-4 du Code de la sécurité sociale.
Il est rappelé qu’en application des articles 226-21 et 131-41 du Code pénal combinés, le fait, pour une personne morale, de détourner des données à caractère personnel de leur finalité est puni d’une peine d’amende pouvant atteindre 1 500 000 euros.
 
En conséquence, la société X, sise[…], est mise en demeure sous un délai d’un (1) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
 
 
· cesser de traiter les données à caractère personnel provenant du traitement usine retraite pour des finalités incompatibles avec celles qui ont été définies par l’AGIRC-ARRCO et notamment à des fins de prospection commerciale pour des contrats d’assurance de personnes ;
· justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
 
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
 
 
La Présidente
 
 
 
 
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 11 octobre 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Siégeait, outre la Présidente de la Commission, Madame Marie-France MAZARS, Vice-présidente déléguée ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED 2018-034 du 25 septembre 2018 de la Présidente de la Commission mettant en demeure la société X.
 
A adopté la délibération suivante :
Le bureau considère aussi que la publicité de la mise en demeure a vocation à informer les personnes concernées qui sont susceptibles d’être démarchées dans une perspective commerciale.
 
Enfin, d’une manière générale, le bureau souhaite prévenir les professionnels du secteur contre cette mauvaise pratique qui a déjà fait l’objet de plusieurs rappels par les fédérations AGIRC et ARRCO en charge du contrôle des institutions de retraite complémentaire.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2018-034 de la Présidente de la CNIL mettant en demeure la société X.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
 
 
 
La Présidente
 
 
 
 
 Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 2185121)
La Commission nationale de l'informatique et des libertés,
Saisie par la société NOVARTIS Pharma SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la traçabilité du médicament personnalisé KYMRIAH, intitulé CELLCHAIN LINK ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE » (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment  l’article 8-II 8° et 54;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Novartis Pharma SAS (ci-après, NOVARTIS).
Sur la base légale et la finalité
Le laboratoire Novartis Pharma SAS souhaite mettre en œuvre un traitement automatisé de données à caractère personnel dans le cadre  de la mise à disposition pour les patients du médicament dénommé Kymriah. 
Ce médicament vise à traiter des enfants et des adultes souffrant de certaines formes de leucémie et de lymphome. 
Le médicament Kymriah est un médicament autologue, fabriqué à partir de cellules prélevées sur le patient auquel est destiné le traitement. Il est dispensé dans le cadre d’une autorisation temporaire d’utilisation (ATU).
Le traitement des données vise ainsi à : 
garantir une chaine d’identification rigoureuse tout au long du processus de fabrication du médicament personnalisé ;
assurer l’absence de toute possibilité d’interchangeabilité des cellules prélevées ou d’administration du médicament à un autre patient. 
Par ailleurs, le médicament ne bénéficiant pas d’une autorisation de mise sur le marché (AMM) en France, son utilisation est soumise à une procédure de surveillance étroite de la part de l’ANSM, notamment en matière de pharmacovigilance.
L’ATU est accompagnée d’un protocole d’utilisation thérapeutique et de recueil d’informations pour permettre : 
le suivi et la surveillance des patients traités ;
l’information pertinente sur l’utilisation de ce médicament afin d’en assurer un bon usage, avec notamment le résumé des caractéristiques du produit (RCP) qui fixe les critères d’utilisation du médicament, les modalités d’information des patients sur le médicament et sur l’ATU ;
la définition des critères d’utilisation et de dispensation du médicament ainsi que les modalités de surveillance des patients traités ; 
la définition du rôle de tous les acteurs du dispositif.
Le traitement a pour base légale le respect d'obligations légales et réglementaires,  qui vise à assurer la traçabilité du processus et de mieux suivre les effets indésirables.
Ainsi cette base est  la garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments, au sens de l’article 6-1- c du RGPD. 
La Commission considère cette finalité comme déterminée, légitime et explicite 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients en impasse thérapeutique auxquels le médicament a été prescrit. 
Les données collectées des patients sont :
le nom ; 
le prénom ; 
la date et lieu de naissance ;
la situation professionnelle ;
le poids ; 
les pathologies et affections ;
des données relatives aux soins ;
des données biologiques se rapportant aux cellules prélevées. 
Des identifiants spécifiques sont utilisés pendant le transport : 
document de transport (« Waybill ») ;
numéro de lot (« Batch ID ») ;
numéro de série du récipient Dewar.
Ces données sont indispensables à la mise en œuvre des traitements automatisés pour garantir que les cellules prélevées sur le patient, transportées à nouveau afin de lui être réinjectées, soient liées de manière indissociable à un seul et unique patient. 
Les informations recueillies dans le cadre de la pharmacovigilance sont :
le nom ;
le prénom ;
les adresses postale et électronique ;
le sexe ;
le poids ;
la taille ;
la date de naissance ou l’âge au moment de l’effet ;
les informations relatives à l’administration du médicament ;
l’effet indésirable et son évolution.
Par ailleurs, l’identité du médecin ou professionnel de santé ayant constaté l’évènement sera recueillie dans la mesure du possible, de même que son adresse électronique, son numéro de téléphone et son numéro de fax au regard du formulaire fourni par l’ANSM. 
Concernant la demande de protocole d’utilisation thérapeutique et de recueil d’information sont collectés : nom, prénom, spécialité, établissement, adresse, code postale, ville téléphone, fax, email du médecin prescripteur et du pharmacien hospitalier.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément à l’article 5-1-c du RGPD. 
Sur les destinataires
Novartis Pharma SAS n’a pas d’accès par défaut aux données personnelles. Novartis Pharma SAS peut avoir accès aux données afin de gérer les réclamations potentielles liées au produit ou en cas d’exercice des droits sur lesdites données personnelles.
Au sein de Novartis auront accès aux données, les personnes habilitées et dans la mesure où leurs missions l’exigent des entités suivantes : 
Novartis Pharmaceuticals Corporation : qui accèdera aux données et cellules T afin de gérer le processus de fabrication de Kymriah / CTL019 ;
Novartis Pharma AG: aura accès aux données le service client, les services de commande/planification ainsi que le service informatique (pour des raisons de support informatique) ;
Novartis Pharma Gmbh : aura accès aux données pour gérer le service client et les processus de commande et qui sera responsable de la mise sur le marché du produit pour les pays de l'UE ;
Novartis Pharma SAS : pourra avoir accès aux données afin de gérer les réclamations potentielles liées au Produit ou en cas d’exercice des droits sur lesdites données personnelles.
Au sein de chaque entité filiale de Novartis SAS, les accès sont définis en fonction du rôle des salariés. Il n’y a pas d’accès par défaut ; il faut justifier de la nécessité de ces accès, suivre la formation requise et remplir un formulaire d’accès. Le périmètre des accès dépendra ensuite des besoins opérationnels.
Les tiers qui pourront avoir accès aux données : 
les établissements où le patient est traité et qui entrent les données dans le système informatique de Novartis afin d'assurer le maintien de la chaîne d'identification ;
l’hébergeur agréé/certifié des données de santé ; 
Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e. V., en tant que personne morale pour le Fraunhofer Institute for Cell Therapy and Immunology ("IZI"), qui fabrique Kymriah / CTL019 pour le compte de Novartis, aura accès aux données du patient pour la fabrication du produit et le stockage des Cellules T et des échantillons ;
Accenture AG Fraumünsterstrasse 16, 8001 Zürich, Suisse et Accenture HDC 4 - Mantri Cosmos SEZ, Nanakramguda Village, Gachibowli, Serilingampally Mandal, Randa Reddy District, Telangana 500008 :   accéderont aux données pour assurer le support informatique en leur qualité d'administrateur du système. Ils ne pourront accéder aux données que sur demande de changement justifiée, documentée et approuvée par Novartis. En cas d'accès d'un administrateur, il devra entrer dans le VPN, utiliser l'outil des accès privilégiés (PAM) enregistrant les opérations et s'authentifier. L'administrateur ne verra pas les données personnelles des patients, qui restent dans la solution Cell Chain.
Concernant les habilitations d’accès aux données : 
des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur ;
seules les personnes justifiant de leur besoin d’accéder aux données bénéficient d’une habilitation ;
s’agissant des tiers, le département « Cell & Gene Therapy» de Novartis identifie, approuve et certifie les utilisateurs externes. Les utilisateurs certifiés sont ensuite provisionnés et dé-provisionnés dans le système à la demande des responsables opérationnels de Novartis, en utilisant l’architecture de sécurité intégrée entre Novartis et Salesforce. 
La Commission considère que les catégories de destinataire n’appellent pas d’observation.
Sur l’information et les modalités d’exercice des droits 
 S’agissant des patients :
le patient se verra remettre un formulaire d’information et de consentement par le médecin prescripteur avec les explications nécessaires à sa bonne compréhension. Le formulaire après une lecture attentive du patient (son représentant légal ou la personne de confiance qu’il a désignée) devra pour consentir dater et signer en bas du formulaire ;
le formulaire contient les informations suivantes : 
l’identité du responsable de traitement ; 
les données collectées ;
les finalités du traitement ;
les personnes ayant accès aux données ;
des informations relatives aux transferts de données national ou international ;
les mesures de sécurité mises en place ;
la conservation des données et du médicament ;
le formulaire contient concernant ces droits les indications suivantes :  
le droit d'accéder à ses données personnelles et, s’il estime qu'une information le concernant/concernant son enfant est incorrecte, obsolète ou incomplète, d'en demander la rectification ou la mise à jour ; 
le droit de demander l'effacement de ses données personnelles ou la limitation de leur usage à des fins spécifiques de traitement ; 
le droit de retirer son consentement à l'utilisation de ses données personnelles et de ses cellules à tout moment, sans affecter la validité du processus avant ce retrait ; 
le droit de s'opposer, en tout ou en partie, au traitement de ses données personnelles.
Le patient accèdera pour exercer ses droits à une adresse électronique, une adresse postale et pourra si nécessaire adresser une demande au délégué à la protection des données. 
Le patient pourra enfin exercer ses droits par l'intermédiaire du médecin prescripteur.
S’agissant des professionnels de santé (médecins prescripteurs et pharmaciens dispensateurs) ils sont informés du traitement de leurs données à caractère personnel dans le courriel qui leur est adressé au moment des formations de mise en place dans le centre auquel ces professionnels de santé sont rattachés. 
L’information qui leur est délivrée reprend les mentions prévues  par le règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et par la loi informatique et libertés, notamment les modalités d’exercice des droits d’accès et de rectification.
Sous réserve de l’ajout dans les notes d’information de l’ensemble des mentions prévues par l’article 13 du RGPD, la Commission estime que ces mesures d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que le responsable de traitement s’engage à héberger l'ensemble des données de santé auprès d’un hébergeur agréé ou certifié conformément aux dispositions du code de la santé publique.
La Commission considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes.
La Commission demande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement. 
La Commission demande en outre que des habilitations spécifiques soient prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève que le nouvel article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La Commission rappelle au responsable de traitement la nécessité de mettre en place un système de journalisation permettant de conserver, une trace des opérations de consultation des données à caractère personnel.
La commission rappelle la nécessité de mettre en œuvre des conditions de sécurité effective, de haut niveau et de nature à garantir la confidentialité des données pour la mise à disposition de fichiers vers des destinataires extérieurs. Ces conditions doivent reposer sur des moyens permettant d'assurer l’authentification des destinataires, la confidentialité et l’intégrité des transmissions ainsi qu’une gestion des habilitations permettant d’attribuer aux destinataires le droit d'accéder aux seules données qui leur sont nécessaires.
Sur les autres caractéristiques du traitement
Novartis souhaite conserver les données de santé pour une durée de 30 ans. Cette durée s’appuie sur la réglementation européenne applicable à ce type de thérapie. 
Dans un premier temps, l’accès aux données sera restreint aux services Audit et Pharmacovigilance, en cas de besoin, ainsi que toute autre personne capable d’en justifier la nécessité au-delà d’une durée de 3 ans qui correspond à la durée de vie d’une cellule durant lesquels les actes médicaux peuvent être effectués. 
Dans un second temps, les données personnelles, notamment  tous les identifiants utilisés dans le processus, sont conservées pour assurer la traçabilité requise par la réglementation.
Cette traçabilité permettra de gérer les évènements indésirables survenant chez des patients et des éventuels audits, internes ou externes.
Novartis souhaite également conserver les données des professionnels de santé pour une durée de 15 ans. 
La Commission considère que ces durées de conservation des données n’excèdent pas celles nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société NOVARTIS Pharma SAS à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
    Marie-France MAZARS