AgentPublic/cnil huggingface dataset:
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès de la direction juridique de la banque populaire Val de France à l’adresse suivante : 9, avenue newton - 78183 SAINT QUENTIN EN YVELINES.Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la banque populaire Val de France aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque Populaire Val de France à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1949541)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse régionale crédit mutuel atlantique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
La Caisse régionale crédit mutuel atlantique.
Sur la finalité
La Caisse régionale crédit mutuel atlantique souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
Il s’agit d’un entretien facultatif à la demande du client qui consiste d’une part, à identifier les éventuelles difficultés financières et leurs causes et d’autre part, à vérifier si l’équipement est adapté à la situation du client afin de lui proposer des solutions de paiement, de gestion du compte ou du crédit adaptés.
En outre, si sa situation l’exige, le client peut être orienté avec son consentement vers les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Caisse régionale crédit mutuel atlantique. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la Caisse régionale crédit mutuel atlantique, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service client de la Caisse régionale crédit mutuel atlantique à l’adresse suivante : 2, rue Françoise Sagan 44819 - SAINT HERBLAIN     ou par courrier électronique à l’adresse suivante : bpatl_prestation_informatique@bpatl.frLes clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la Caisse régionale Crédit mutuel atlantique  aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Caisse régionale crédit mutuel atlantique  à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1848486)
La Commission nationale de l'informatique et des libertés,
Saisie par la société PATIENTYSd’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Cosentyx exploitée par le laboratoire NOVARTIS;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-4-1, L.1111-8,  L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société PATIENTYS est un opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique. Elle a été choisie et conventionnée par le laboratoire NOVARTIS pour mettre en œuvre un programme d’apprentissage dans l’objectif de rendre le patient plus autonome en facilitant son adhésion aux traitements prescrits et en améliorant sa qualité de vie.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Cosentyx exploitée par le laboratoire NOVARTIS et ayant pour objet l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public, tel que rappelé à l’article R. 1161-24 du code de la santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives : 
Aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresse) ;
les informations relatives à la santé (pathologie, antécédents et traitements médicaux).
Aux médecins traitants et prescripteurs :
l’identité et la spécialité ;
les coordonnées professionnelles (adresse, téléphone, fax, courriel).
Aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresse) ;
les informations relatives à la santé (pathologie, antécédents et traitements médicaux).
Aux médecins traitants et prescripteurs :
l’identité et la spécialité ;
les coordonnées professionnelles (adresse, téléphone, fax, courriel).
La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Selon la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.Les mesures telles que décrites ci-dessous satisfont à cette obligation.
Sur les droits des personnes
Le consentement du patient à participer à ce programme est recueilli par le médecin prescripteur du médicament faisant l’objet du programme. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur, conformément à l’article R. 1161-23 du code de la santé publique. Le patient contacte la plateforme téléphonique de l’opérateur afin de finaliser son inscription.Les patients inscrits à un programme sont informés des modalités d’exercice de leurs droits d’accès et de rectification ainsi que de la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux articles R. 1161-8 à R. 1161-26 du code de la santé publique.Les médecins prescripteurs et les médecins traitants sont également informés des droits qui leur sont reconnus par la loi précitée.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Sur le contrôle d’accès et les habilitationsDes profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.  La Commission rappelle qu’une revue globale des habilitations doit être opérée régulièrement et que les permissions d'accès doivent être supprimées pour tout  utilisateur n'étant plus habilité.Les habilitations pour accéder aux logiciels utilisés pour la gestion du programme d’apprentissage sont réservées à l’équipe dédiée du programme d’apprentissage.La Commission prend acte de ce que les connexions à l’application se font par l’utilisation de la carte de professionnel de santé (CPS).Sur les échanges de donnéesLes échanges de données et les accès au service sont réalisés via des canaux de communication chiffrés, faisant l’objet de mesures de filtrage et assurant l’authentification de la source et de la destination. A ce sujet, la Commission rappelle que les méthodes cryptographiques utilisées doivent être conformes à l’état de l’art.Sur la traçabilitéL’opérateur met en place une traçabilité des actions effectuées sur les données. Les traces de toute activité suspecte sont conservées sous forme d’un tableau récapitulatif de suivi des anomalies et des activités suspectes sur l’Intranet de l’entreprise. Ce tableau, généré automatiquement, est accessible à l’administrateur et au médecin ou au pharmacien responsable qui peuvent déclencher des enquêtes internes afin de déterminer s’il s’agit d’une alerte ou d’un fonctionnement anormal du
système.La Commission juge ces mesures satisfaisantes et rappelle qu’il convient d’informer les personnels concernés de leur mise en œuvre.Sur la conservation des donnéesLes données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme.La Commission considère que cette durée est adéquate avec les finalités du traitement. Elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique.Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé. S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.Sur les mesures générales de sécuritéLe réseau est cloisonné afin d’isoler le traitement et de limiter les impacts d’incidents potentiels.L'accès à un compte d'un poste de
travail est bloqué après un nombre limité de tentatives infructueuses. Les sessions d'accès expirent après une période d'inactivité de 8 minutes et dès retrait de la CPS. Les postes de travail disposent d'un pare-feu. Les logiciels, systèmes d’exploitation et antivirus sont régulièrement mis à jour.Sur l’anonymisationL’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.La Commission prend acte de ce que les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels chargés du programme et les patients inscrits font l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique. La Commission rappelle qu’en application de l’article R.1161-24 du code de la santé publique,  le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société PATIENTYS ne doit pas exercer de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise
à jour des mesures de sécurité au regard de la réévaluation régulière des risques. La Commission appelle également l’attention du responsable de traitement sur les méthodes d’anonymisation telles que définies par le G29 dans son avis n°05/2014.Sur les mesures organisationnellesLa Commission prend acte de la mise en place d’une politique de sécurité des systèmes d’information (PSSI) rigoureuse ainsi que d’une Charte d’utilisation des ressources informatiques et des services internet.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société PATIENTYS à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1874283)
La Commission nationale de l'informatique et des libertés,
Saisie par la société PATIENTYS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Humira exploitée par le laboratoire ABBVIE;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-4-1, L.1111-8,  L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société PATIENTYS est un opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique. Elle a été choisie et conventionnée par le laboratoire ABBVIE pour mettre en œuvre un programme d’apprentissage dans l’objectif de rendre le patient plus autonome en facilitant son adhésion aux traitements prescrits et en améliorant sa qualité de vie.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Humira exploitée par le laboratoire ABBVIE et ayant pour objet l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public, tel que rappelé à l’article R. 1161-24 du code de la santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives :
Aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresses) ;
des informations relatives à la santé (pathologie, antécédents et traitements médicaux).
Aux médecins traitants et prescripteurs :
l’identité et la spécialité ;
les coordonnées professionnelles (adresse, téléphone, fax, courriel).
Aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresses) ;
des informations relatives à la santé (pathologie, antécédents et traitements médicaux).
Aux médecins traitants et prescripteurs :
l’identité et la spécialité ;
les coordonnées professionnelles (adresse, téléphone, fax, courriel).
La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Selon la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.Les mesures telles que décrites ci-dessous satisfont à cette obligation.
Sur les droits des personnes