AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1750643)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SECURITAS DIRECT d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
SECURITAS DIRECT est une société par actions simplifiées, spécialisée dans le secteur des activités liées aux systèmes de sécurité. Il s’agit d’une filiale française du groupe suédois VERISURE. 
Sur la finalité
La société SECURITAS DIRECT a saisi la Commission d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements au « code de conduite du groupe ».
La Commission rappelle qu’elle a adopté le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°004 modifiée le 30 janvier 2014).
Elle observe que le traitement présenté par la société SECURITAS DIRECT répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au champ d’application. 
En effet, la société SECURITAS DIRECT souhaite inclure dans le périmètre de son dispositif des domaines non visés par celle-ci.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ d’application.
À cet égard, elle relève que le champ d’application du dispositif d’alerte professionnelle présenté par la société SECURITAS DIRECT est strictement limité aux manquements au « code de conduite du groupe », lesquels relèvent des domaines suivants :
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, l’hygiène et la sécurité au travail; 
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948;
respect des conventions et recommandations de l’Organisation Internationale du Travail ;
sécurité informatique de l’entreprise ; 
divulgation d’informations confidentielles (secret de fabrique et secret d’affaires).
La Commission estime que la finalité du traitement envisagé est déterminée, explicite et légitime.
S’agissant des modalités de signalement, la Commission prend acte que les employés peuvent déclencher la procédure en adressant un courrier postal ou électronique à une adresse dédiée auprès d’un prestataire en Suède, en charge de la gestion de ces signalements.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et éventuels témoins mentionnés ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif examiné impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
La Commission relève, par ailleurs, qu’une utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires.
Sur les destinataires
Les personnes habilitées à accéder à tout ou partie des données à caractère personnel du présent traitement sont les agents du service dédié au traitement des signalements dénommé Forensic Services, de la société PriceWaterHouseCoopers, en Suède.La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, à ce titre, qu’elles sont toutes astreintes à une obligation de confidentialité.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via une notice explicative jointe au dossier d’embauche des salariés, également annexée au règlement intérieur. L’information sera également réalisée par voie d’affichage ainsi que par une note d’information sur le site intranet de la société SECURITAS DIRECT.Les personnes mises en cause sont informées de l’existence d’une alerte à leur encontre et de l’enregistrement de données les concernant. Cette information peut éventuellement être retardée, le temps strictement nécessaire à l’adoption de mesures conservatoires, permettant de prévenir la destruction des preuves. Les droits d’accès et de rectification s’exercent directement auprès du directeur du département juridique du groupe.La Commission prend acte que les représentants du personnel ont été informés de la mise en place du dispositif le 29 avril 2014.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement. 
Par ailleurs, la Commission relève que les données relatives à l’alerte feront l’objet d’un transfert au sein de l’Union Européenne, le prestataire chargé du recueil des alertes étant situé en Suède, pays offrant un niveau de protection adéquat.
Autorise, conformément à la présente délibération, la société SECURITAS DIRECT à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1720399)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ARARD d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d'apprentissage portant sur la spécialité pharmaceutique Ventavis® exploitée par le laboratoire BAYER ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique et modifiant le code de la santé publique ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Société ARARD, enregistrée au registre du commerce et des sociétés de Marseille sous le numéro B 499 161 420.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Ventavis® exploitée par le laboratoire BAYER. Ce programme, dans lequel la société ARARD intervient comme opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique, a pour objet l’amélioration de l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.Ce traitement relève des dispositions combinées des articles 8-IV et 26-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public tel que prévu à R. 1161-8 du code de la santé publique. 
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme d’apprentissage. Elles portent sur l’identité, la date de naissance, les coordonnées (numéro de téléphone, adresse) ainsi que sur des informations relatives à la santé (pathologie, antécédents et traitements médicaux…).Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Selon la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit expressément l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.Les mesures telles que décrites ci-dessous satisfont à cette obligation.
Sur l’information et le droit d’accès
conservé de manière à préserver sa confidentialité.Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission demande que l’opérateur s’y conforme.Sur la traçabilitéL’opérateur met en place une traçabilité des actions effectuées sur les données. Les traces de toute activité suspecte sont conservées sous forme d’un tableau récapitulatif de suivi des anomalies et des activités suspectes sur l’Intranet de l’entreprise. Ce tableau, généré automatiquement, est accessible à l’administrateur et au médecin ou au pharmacien responsable qui peuvent déclencher des enquêtes internes afin de déterminer s’il s’agit d’une alerte ou d’un fonctionnement anormal du système.La Commission juge ces mesures satisfaisantes et rappelle qu’il convient d’informer les personnels concernés de leur mise en œuvre.Sur la conservation des donnéesLes données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme.La Commission considère que
cette durée est adéquate avec la finalité du traitement. Elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique.Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.La Commission rappelle qu’en application de ces dispositions, le consentement exprès des personnes doit être obtenu.Sur l’anonymisationL’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.Les fiches
d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.Les professionnels de santé en charge du programme et de sa mise en œuvre n’exercent aucune mission ou fonction à caractère commercial.Le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société ARARD n’exerce pas de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage.L’opérateur met en place un système d’export statistique de données ne permettant pas de ré-identifier les patients.La Commission estime que ces mesures d’anonymisation sont satisfaisantes.Les transferts de données entre la société ARARD  et le site d’hébergement s’opèrent par l’utilisation de réseaux virtuels privés, assurant la sécurité des données.La Commission juge cette solution satisfaisante.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société ARARD à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1765459)
La Commission nationale de l'informatique et des libertés,
Saisie par la laboratoire JANSSEN-CILAG d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des patients atteints d’une amylose AL ou d’une maladie de Randall et traités avec un médicament sous recommandation temporaire d’utilisation (RTU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 5121-12-1 et R. 5121-76-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire JANSSEN-CILAG est une société spécialisée dans le commerce de produits pharmaceutiques.
JANSSEN-CILAG est titulaire de l'autorisation de mise sur le marché (AMM) de la spécialité pharmaceutique VELCADE qui fait l’objet d’une recommandation temporaire d’utilisation (RTU) accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM).
Une RTU est un dispositif qui permet la prescription d’un médicament pour des indications non prévues dans son AMM. Une telle utilisation est soumise à une procédure de surveillance étroite par l’ANSM portant, notamment, sur l’efficacité et la sécurité du produit.
En l’espèce, le VELCADE est indiqué dans le traitement des patients adultes atteints d’une amylose dite « AL non IgM » ou d’une maladie de Randall, en association à une autre chimiothérapie.
Sur la finalité
La finalité du traitement est d’assurer le suivi des patients traités avec la spécialité pharmaceutique faisant l’objet de la RTU et le recueil d’informations relatives à l’efficacité, à la sécurité et aux conditions réelles d’utilisation du produit.Cette surveillance particulière, prévue par l’article L. 5121-12-1 du code de la santé publique, est distincte du dispositif de pharmacovigilance que les laboratoires tiennent par ailleurs. Elle s’effectue conformément à un protocole de suivi validé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.La RTU VELCADE répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous RTU a été prescrit. Ces données sont collectées par l’intermédiaire des médecins prescripteurs, à l’occasion du suivi médical des patients. Il s’agit de :
Les données collectées par les médecins seront transmises aux personnels dûment habilités du laboratoire JANSSEN-CILAG, par l’intermédiaire d’une plateforme électronique sécurisée dédiée à cet effet. Des transmissions par fax ou par courrier seront également possibles.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire JANSSEN-CILAG fait appel à des prestataires pour mettre en œuvre la RTU VELCADE. Ces prestations feront l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend de garantir leur sécurité et leur confidentialité, de s’interdire de les utiliser à ses propres fins et de ne pas les conserver à l'issue de la prestation.L’ANSM sera destinataire des données, sous forme agrégée uniquement, par l’intermédiaire des rapports périodiques de synthèse qui seront envoyés par les laboratoires.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les médecins prescripteurs ont l’obligation d’informer les patients que la prescription n’est pas conforme à l’AMM du produit, des risques et contraintes encourus et des bénéfices escomptés. Ils doivent motiver leurs prescriptions dans le dossier médical des patients concernés.Une note d’information, accompagnée du formulaire de signalement d’effets indésirables susceptibles d’être liés au médicament, sera remise au patient par son médecin. Cette note d’information précisera les objectifs de la RTU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée. Il est rappelé que les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous RTU. En cas d’acceptation des soins, les articles L. 5121-12-1 et R. 5121-76-2 du code de la santé publique imposent le recueil d’informations de suivi relatives au patient.Les médecins seront informés du traitement des données les concernant lors de leur connexion à la plateforme électronique de recueil des informations ou par une mention dans un courrier qui leur est adressé par le laboratoire JANSSEN-CILAG.Les médecins peuvent exercer leurs droits d'accès et de rectification auprès du laboratoire JANSSEN-CILAG. S’agissant des patients, ces droits s’exercent auprès du médecin qui leur prescrit le médicament.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la RTU dont est titulaire le laboratoire JANSSEN-CILAG. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge.
Les informations relatives aux patients seront saisies par le médecin prescripteur dans un cahier de recueil d’informations informatisé accessible sur internet. Les professionnels de santé devront créer un compte afin de compléter les formulaires.
La création du compte personnel est opérée directement sur le site. Pour cela, le professionnel de santé doit renseigner une adresse électronique sur laquelle sera transmis un courriel contenant un lien permettant d’activer le compte et de vérifier que l’adresse électronique saisie est valide.
Le contrôle d’accès au compte des professionnels de santé est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Enfin, les mots de passe ne doivent pas être stockés en clair dans un fichier ou une base de données.