AgentPublic/cnil huggingface dataset:
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société HSN est un opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique. Elle a été choisie et conventionnée par la société Bristol-Myers-Squibb pour mettre en œuvre un programme d’apprentissage dans l’objectif de rendre le patient plus autonome en facilitant son adhésion aux traitements prescrits et en améliorant sa qualité de vie.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Orencia exploitée par le laboratoire Bristol-Myers-Squibb. Ce programme d’apprentissage est mis en œuvre par des professionnels de santé intervenant pour le compte de l’opérateur et a pour objet l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament, conformément aux dispositions des articles R. 1161-22 à R. 1161-25 du code de la santé publique.Aux fins de mise en œuvre du programme d’apprentissage, l’opérateur met en place un centre d’appels téléphoniques disponible en continu pour répondre aux patients du programme. Les appels sont gérés par des professionnels de santé qu’il emploie. Ces derniers sont placés sous la responsabilité du pharmacien ou médecin employé par l’opérateur.En cas de nécessité, un professionnel de santé, intervenant pour le compte de l’opérateur, peut se rendre chez le patient pour lui expliquer les modalités d’administration de son traitement.Conformément à l’article R. 1161-23 du code de la santé publique, les données recueillies dans le cadre du programme d’apprentissage ne peuvent être utilisées à d’autres fins que celles du programme et de son évaluation.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions
combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme d’apprentissage. Elles portent sur l’identité, la date de naissance, les coordonnées (numéro de téléphone, adresse) ainsi que sur les données de santé strictement nécessaires à la mise en œuvre du programme d’apprentissage (pathologies, antécédents, traitements médicaux et données relatives aux soins).Les données relatives aux médecins traitants et aux médecins prescripteurs font également l’objet d’un traitement (identité, coordonnées).La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, l’article L. 1161-1 du code de la santé publique prévoit expressément l’interdiction d’accès des laboratoires aux données identifiantes et l’article R. 1161-23 du même code précise que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.En outre, le médecin traitant est informé par l’opérateur de l’inscription de son patient au programme d’apprentissage. Il est  destinataire, ainsi que le médecin prescripteur du traitement, des informations sur le déroulement du programme. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le médecin prescripteur du traitement peut proposer à ses patients susceptibles de bénéficier du programme d’apprentissage d’y participer. A cette occasion, une note d’information préalable est remise au patient concerné et son consentement à participer au programme est recueilli par ce médecin. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur aux fins de mise en œuvre du programme d’apprentissage, conformément à l’article R. 1161-23 du code de la santé publique. Le patient contacte la plateforme téléphonique de l’opérateur afin de finaliser son inscription.Les patients inscrits à un programme sont informés, au moyen de la note d’information et du formulaire de recueil du consentement écrit susmentionnés, de leurs droits d’accès, de rectification ainsi que de la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux articles R. 1161-8 à R. 1161-26 du code de la santé publique. Les médecins prescripteurs et les médecins traitants sont également informés des droits qui leur sont reconnus par la loi précitée.
Sur les mesures de sécurité
Sur le contrôle d’accès et les habilitationsEn application des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée, l’opérateur mettant en œuvre le programme d’apprentissage doit mettre en place des moyens de vérification des habilitations accordées au personnel qu’il emploie.Il doit veiller, en particulier, à ce que l’accès aux données de santé à caractère personnel, couvertes par le secret professionnel, soit limité aux seuls personnels en charge du programme d’apprentissage pour les patients qu’ils suivent effectivement. Les habilitations données au personnel doivent également être revues régulièrement, notamment afin de supprimer les autorisations d’accès dès le départ d’un collaborateur.La Commission relève que la solution proposée par la société HSN prévoit deux profils d’accès aux données : médecin responsable du programme et infirmières du centre d’appel. Ces différents profils ont accès uniquement aux données nécessaires à l’exercice de leurs fonctions.Les connexions aux postes de travail se font par l’utilisation d’une combinaison login / mot de passe individuelle. S’agissant de la complexité du mot de passe, la Commission recommande l’utilisation de huit caractères au moins, comprenant trois types de caractères parmi les quatre possibles (majuscules, minuscules, chiffres et caractères spéciaux), renouvelé au moindre doute de compromission et si possible de manière périodique (tous les ans). Il doit, en outre, être conservé de manière à préserver sa
confidentialité.Conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, l’opérateur doit prévoir la mise en œuvre d’une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.L’opérateur met en place deux bases de données distinctes, l’une contenant les données nominatives et l’autre les données médicales des patients participant au programme. Les accès à ces bases par les professionnels de santé sont indépendants et passent notamment par l’utilisation de codes d’accès spécifiques. La Commission considère ces mesures comme étant satisfaisantes. Toutefois, elle rappelle à la société HSN que des mesures doivent être prises afin de révoquer les habilitations lors du départ d’un collaborateur. Sur la traçabilitéL’opérateur met en place une traçabilité des actions effectuées sur les données. Les traces de toute activité suspecte sont conservées sous forme d’un tableau récapitulatif de suivi des anomalies et des activités suspectes sur l’Intranet de l’entreprise. Ce tableau, généré automatiquement, est accessible à l’administrateur et au médecin ou au pharmacien responsable qui peuvent déclencher des enquêtes internes afin de différencier s’il s’agit d’une alerte ou d’un fonctionnement anormal du système.La Commission estime ces mesures satisfaisantes et rappelle
qu’il convient d’informer les personnels concernés de leur mise en œuvre.Sur l’hébergement des donnéesLes données de santé à caractère personnel collectées dans le cadre du programme d’apprentissage sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique. A cet égard, la Commission souligne que les dispositions de l’article R. 1161-24 du code de la santé publique, qui prévoient que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage, ne font pas obstacle à l’hébergement des données de santé à caractère personnel, dans des conditions conformes à l’article L. 1111-8 précité.Le consentement du patient à l’hébergement de ses données par un hébergeur agréé est recueilli à l’aide d’un formulaire papier.Les transferts de données entre la société HSN et le site d’hébergement s’opèrent par l’utilisation du protocole SSL, assurant la sécurité des données.Sur l’anonymisationL’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.Les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc
faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.Les professionnels de santé en charge du programme et de sa mise en œuvre n’assurent aucune mission à caractère commercial.La Commission estime que ces mesures d’anonymisation sont satisfaisantes.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme. La Commission considère que cette durée est adéquate avec les finalités du traitement. Toutefois, elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique.Le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société HSN n’assure aucune mission à caractère commercial, conformément à l’article R. 1161-24 du code de la santé publique.La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités auprès de la Commission au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société HSN à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1729787)
La Commission nationale de l'informatique et des libertés,
Saisie par la société HSN d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Bydureon exploitée par le laboratoire Bristol-Myers-Squibb  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique et modifiant le code de la santé publique ;
Vu le dossier et ses compléments ;
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique  Bydureon exploitée par le laboratoire Bristol-Myers-Squibb. Ce programme d’apprentissage est mis en œuvre par des professionnels de santé intervenant pour le compte de l’opérateur et a pour objet l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament, conformément aux dispositions des articles R. 1161-22 à R. 1161-25 du code de la santé publique.Aux fins de mise en œuvre du programme d’apprentissage, l’opérateur met en place un centre d’appels téléphoniques disponible en continu pour répondre aux patients du programme. Les appels sont gérés par des professionnels de santé qu’il emploie. Ces derniers sont placés sous la responsabilité du pharmacien ou médecin employé par l’opérateur.En cas de nécessité, un professionnel de santé, intervenant pour le compte de l’opérateur, peut se rendre chez le patient pour lui expliquer les modalités d’administration de son traitement.Conformément à l’article R. 1161-23 du code de la santé publique, les données recueillies dans le cadre du programme d’apprentissage ne peuvent être utilisées à d’autres fins que celles du programme et de son évaluation.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions
(Demande d’autorisation n° 1752641)
La Commission nationale de l'informatique et des libertés,
Saisie par la Ligue de football professionnel d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Joëlle FARCHY, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Ligue de football professionnel d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
Les interdictions de stade prononcées par l’autorité judiciaire à titre de peine complémentaire, ainsi que les mesures d’interdictions de stade décidées par l’autorité administrative, sont des données relatives à des infractions, condamnations ou mesures de sûreté au sens de l’article 9 de la loi du 6 janvier 1978 modifiée. Dès lors, la mise en œuvre d’un traitement de données à caractère personnel, automatisé ou non, portant sur de telles informations doit être autorisée par la Commission nationale de l’informatique et des libertés, en application de l’article 25-1-3° de la loi précitée.
Sur la finalité du traitement :
Le traitement projeté par la Ligue de football professionnel a pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.
L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. 
L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.
En application des articles R. 332-2 et R. 332-8 du code du sport, les fédérations sportives agréées transmettent sans délai l’identité des personnes faisant l’objet d’une interdiction judicaire ou administrative de stade aux ligues professionnelles intéressées. 
Lorsque la Ligue de football professionnel agit en qualité d’organisateur de manifestations sportives à but lucratif, en particulier lors de l’organisation du Trophée des champions et de la finale de la Coupe de la Ligue, elle est tenue d’y assurer la sécurité, conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.
Au regard de ce qui précède, la Commission considère que la finalité du traitement dont elle est saisie est déterminée, explicite et légitime.
Elle prend acte que le contrôle opéré par la Ligue de football professionnel se déroule en deux phases. 
Dans un premier temps, l’identité des acheteurs de billets et celle de leurs éventuels accompagnants est vérifiée par les membres habilités du service « Stade » de la Ligue de football professionnel, à partir de l’application de billetterie, pour s’assurer que parmi ces acheteurs ne figure pas une personne frappée, par une juridiction ou l’autorité préfectorale, d’une interdiction d’accès à la manifestation sportive organisée par la Ligue de football professionnel. Dans un second temps, à savoir le jour de la manifestation, le responsable du service « Stade » de la Ligue de football professionnel, sur la base d’une liste « papier » centralisant l’identité des personnes interdites d’accès à la manifestation sportive concernée, indique aux personnes chargées de filtrer les accès du stade si une personne, dont l’identité ne coïncide pas avec celle mentionnée sur son titre d’accès, peut ou non accéder aux tribunes.
Sur la nature des données traitées :
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
des données d’identification (nom ; prénom ; adresse ; date et lieu de naissance) ;
des condamnations ou mesures de sûreté, à savoir :
en cas d’interdiction judiciaire : date de la décision et durée de la peine complémentaire ;
en cas d’interdiction administrative : enceintes et abords interdits d’accès, type de manifestations sportives concernées, date et durée de validité de l’arrêté préfectoral d’interdiction et, le cas échéant, obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par le préfet.
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport permettent aux fédérations sportives agréées, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
Elle relève, en outre, que ces fédérations doivent, en application des articles R. 332-2 et R. 332-8 du même code, communiquer ces données sans délai aux ligues professionnelles intéressées, aux nombre desquelles figurent notamment la Ligue de football professionnel. 
La Commission considère dès lors que la Ligue de football professionnel est habilitée par une disposition légale à traiter, dans ce seul cadre, des données relatives à des condamnations ou à des mesures de sûreté.  
La Commission prend acte que les raisons ayant conduit au prononcé d’une interdiction de stade ne sont pas collectées par le responsable de traitement.
Elle considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur la durée de conservation des données :
La Ligue de football professionnel organise chaque année deux rencontres sportives, à savoir le Trophée des champions et la finale de la Coupe de la Ligue, dont elle doit assurer directement la sécurité. 
Les données du présent traitement sont supprimées le lendemain de chaque rencontre organisée par la Ligue de football professionnel.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable traitement.
Sur les destinataires des données :
Seuls les membres spécialement habilités du service « Stade » de la Ligue de football professionnel, chargé de l’organisation des rencontres et de la billetterie, peuvent accéder aux données du présent traitement. 
La Commission considère que ces destinataires ont un intérêt légitime à connaître des données collectées.
Sur l'information des personnes et l’exercice de leurs droits :
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans les conditions générales de vente et sur les billets électroniques.
En cas d’impossibilité pratique pour délivrer cette information, en particulier lorsque le responsable de traitement n’a pas eu  de contact avec une personne avant le jour de la manifestation qu’il organise, la Commission rappelle que les personnes concernées devront être informées de leur inscription dans le présent traitement lors du premier contact avec le responsable de traitement.  
Les droits d’accès et de rectification ainsi que le droit d’opposition pour motif légitime  s’exercent par courrier postal ou courrier électronique auprès du correspondant à la protection des données à caractère personnel désigné par la Ligue de football professionnel.   
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’authentification des utilisateurs du présent traitement est assurée par l’utilisation de mots de passe, régulièrement renouvelés, constitués d’au moins dix caractères à choisir parmi trois types distincts (chiffre, caractère spécial, lettre majuscule, lettre minuscule).
Des profils d’habilitation définissent les fonctions ou types d’informations accessibles aux utilisateurs.
Le présent traitement ne donne pas lieu à l’utilisation d’un réseau informatique.