AgentPublic/cnil huggingface dataset:
lesquels le Crédit Agricole a conclu un accord afin de proposer aux clients des solutions ou des offres adaptées (association Crésus et les « Points passerelles du Groupe CA », il s’agit des associations qui assurent l’accompagnement des clients en difficulté et qui ont été créées par les Caisses Régionales du Crédit Agricole).La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Elle considère que l’utilisation du dispositif d’accompagnement bancaire doit demeurer facultative pour les clients et complémentaire des autres dispositifs d’accompagnement social proposés par les organismes sociaux. La Commission relève à cet égard que le Crédit Agricole encourage une démarche volontaire et participative de la part du client, qui reste libre d’avoir recours à ce service d’assistance bancaire. Aucun traitement de détection systématique et préalable des clients en situation de « fragilité » n’est d’ailleurs mis en œuvre par le Crédit Agricole.
Sur les données traitées
Les données traitées sont collectées directement auprès des personnes concernées, dans le cadre des échanges téléphoniques entre la plateforme et les clients volontaires. 
Afin d’établir le diagnostic de la situation budgétaire du client et de lui proposer des actions adaptées, les chargés de clientèle ont uniquement accès aux écrans de gestion des crédits détenus dans le seul groupe CA Consumer Finance et collectent auprès du client les informations nécessaires à l'établissement du bilan, en actualisant les données communiquées antérieurement par le client. Ils n’ont donc pas accès aux relevés de compte du client.
Les catégories de données à caractère personnel collectées sont relatives :
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire)
à sa situation familiale ;
à ses revenus (salaire, primes, revenus fonciers, autres revenus, allocations familiales, pensions alimentaires) ;
aux charges courantes du foyer, au détail des crédits, aux arriérés d’impayés ;
à l’appréciation sur les difficultés sociales des personnes (charges et revenus actuels, le cas échéant une prévision des charges et revenus futurs).
La Commission observe que ces données ont d’ores et déjà été collectées lors de la souscription du contrat de crédit et qu’il s’agit principalement d’une actualisation.
Dès lors, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
La Commission rappelle toutefois la nécessité de minimiser la collecte de données  afin de ne recueillir que les informations strictement nécessaires à l’appréciation de la situation financière de la personne et son orientation vers les acteurs sociaux. 
Elle observe que les données contenues dans des zones « commentaires » ne comportent aucune appréciation subjective et ne font en aucun cas apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses ou aux appartenances syndicales, ou qui sont relatives à la santé ou à la vie sexuelle. 
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les seuls agents de la AAC, formés spécifiquement et soumis à une obligation renforcée de confidentialité. Aucun autre service ou filiale du Crédit Agricole ne sera destinataire des données recueillies dans le cadre de l’accompagnement proposé.Seront également destinataires des seules données relatives à l’identification et aux coordonnées des clients ayant accepté d’être suivis par les partenaires du Crédit Agricole, l’association CRESUS, reconnue mission d’utilité publique et engagée depuis de nombreuses années dans l’accompagnement, la prévention du risque de surendettement et d’exclusion financière des ménages en France, les « Points passerelles du Groupe Crédit Agricole » qui sont les associations qui assurent l’accompagnement des clients en difficultés, et les prestataires.La communication d’informations à ces organismes par le Crédit Agricole nécessite au préalable la levée du secret bancaire. La banque envisage de recueillir l’accord de la personne par courrier. La Commission prend acte que des conventions de partenariat seront signées avec ces partenaires, afin de déterminer les modalités précises de collaboration et d’orientation des clients du Crédit Agricole.La Commission considère que ces destinataires, qui sont en nombre limité, ont un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les clients du Crédit Agricole sont informés de la communication des informations budgétaires personnelles par CRESUS dans un formulaire d’autorisation qu’ils signent pour matérialiser leur consentement. Ils reçoivent également un courrier personnalisé.L’entretien téléphonique de diagnostic avec le client de Crédit Agricole est fixé par l'Agence AC pour l’association CRESUS et directement par les collaborateurs des Points Passerelle dans les autres cas. L’entretien est personnalisé avec le client qui a signé le contrat de crédit. Ainsi, le Crédit Agricole ne collecte pas de données concernant des tiers.  Les personnes sont également informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’ils pourront exercer à tout moment, directement auprès du service conformité : rue du bois sauvage – 91038 EVRY CEDEX.Les clients orientés vers les partenaires du Crédit Agricole (Crésus et les « Points relais ») devront préalablement donner leur consentement exprès pour la transmission de leur coordonnées afin d’être mis en contact avec ces organismes. Le consentement du client est matérialisé par la signature de la charte d’accompagnement de CRESUS qui précise qu’il accepte la proposition d’accompagnement. La Commission rappelle qu’il s’agit d’accompagnement spécifique pour les clients du Crédit Agricole rencontrant des difficultés financières et ayant accepté cette prise en charge.La Commission considère que l’information est suffisante au regard
de l’article 32 de la loi du 6 janvier 1978 modifiée. Les modalités d’exercice des droits des personnes n’appellent pas d’observation de sa part.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et une majuscule.Les mots de passe sont obligatoirement changés après leur réinitialisation.Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.Les postes de travail disposent d'un pare-feu logiciel.Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement.Des sauvegardes quotidiennes sont réalisées.Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.Une journalisation des connexions à l’application est réalisée.Les services web sont sécurisés au moyen du protocole SSL.Une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).La Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Crédit Agricole Consumer Finance, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1747158)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Bayer HealthCare d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des patients traités avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Bayer HealthCare est une société spécialisée dans la fabrication de médicaments.Sa spécialité pharmaceutique RIOCIGUAT est disponible dans le cadre d’une autorisation temporaire d’utilisation (ATU), dite de cohorte, accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM). Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.En l’espèce, le RIOCIGUAT est indiqué dans le traitement de l’hypertension pulmonaire thromboembolique chronique.
Sur la finalité
La finalité du traitement est d’assurer le recueil d’informations relatives aux caractéristiques des patients traités par RIOCIGUAT, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique validé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.L’ATU RIOCIGUAT répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
données d’identification : initiales associées à un numéro de patient, date de naissance, sexe, poids, taille ;
données de santé : pathologies, anomalies des signes vitaux, tolérance du traitement par le médicament sous ATU, traitements concomitants, nature du ou des effets indésirables, antécédents personnels ou familiaux.
Les données relatives aux médecins prescripteurs et aux pharmaciens d’établissements de santé ayant dispensé le médicament peuvent également faire l’objet d’un traitement (identité, coordonnées professionnelles, spécialité).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société Bayer HealthCare, à savoir des membres des départements en charge de la pharmacovigilance et des affaires médicales.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Bayer HealthCare fait appel à un prestataire pour mettre en œuvre l’ATU RIOCIGUAT. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend de garantir leur sécurité et leur confidentialité, de s’interdire de les utiliser à ses propres fins et de ne pas les conserver à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti poison.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques, contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Bayer HealthCare.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès de Bayer HealthCare. S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit la spécialité RIOCIGUAT.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer.La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre de l’ATU dont est titulaire le laboratoire Bayer HealthCare. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge. 
Les informations relatives aux patients sont renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par courriel ou par fax.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresse des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
S’agissant des transmissions par courriel, la Commission demande que ces transferts soient sécurisés, par exemple en chiffrant les données à caractère personnel transmises par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les personnels dûment habilités du laboratoire Bayer HealthCare.
Le contrôle d’accès aux données est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Le mot de passe ne doit pas être conservé en clair dans un fichier ou une base de données.
Le laboratoire Bayer HealthCare prévoit des mesures de sécurisation physique des matériels et des locaux où sont conservées les données, ainsi que des dispositifs de sauvegarde des fichiers. 
Concernant les mesures de traçabilité, l’ensemble des accès aux données, par les personnels du laboratoire Bayer HealthCare, en consultation, modification et création est tracé.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées jusque deux ans après la fin d’autorisation de mise sur le marché de la spécialité RIOCIGUAT, conformément aux recommandations de la conférence internationale sur l'harmonisation des exigences techniques pour l'enregistrement des médicaments à usage humain (ICH E6).La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le laboratoire Bayer HealthCare à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1748583)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Bristol-Myers Squibb d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des patients traités avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Bristol-Myers Squibb est une société spécialisée dans la fabrication de médicaments.Sa spécialité pharmaceutique DACLATASVIR est disponible dans le cadre d’une autorisation temporaire d’utilisation (ATU), dite de cohorte, accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM). Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.En l’espèce, le DACLATASVIR est indiqué dans le traitement de l’infection chronique par le virus de l’hépatite C.
Sur la finalité
La finalité du traitement est d’assurer le recueil d’informations relatives aux caractéristiques des patients traités par DACLATASVIR, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole validé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.L’ATU DACLATASVIR répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
données d’identification : initiales associées à un numéro de patient, date de naissance, sexe, poids, taille ;
Les destinataires des données sont les personnels dûment habilités de la société Bristol-Myers Squibb, à savoir des membres des départements en charge de la pharmacovigilance et des affaires médicales.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Bristol-Myers Squibb fait appel à un prestataire pour mettre en œuvre l’ATU DACLATASVIR. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend de garantir leur sécurité et leur confidentialité, de s’interdire de les utiliser à ses propres fins et de ne pas les conserver à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti poison.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès