AgentPublic/cnil huggingface dataset:
La société AECF exploite un site de vente à distance sur internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire ou par chèque, effectuées lors d’achat à distance, cette société a recours à un outil d’évaluation des risques.  Cette évaluation est réalisée par deux sous-traitants, établis en France. En cas de détection d’une anomalie sur la commande (ex : un impayé non régularisé), les clients en sont avertis afin de régulariser leur situation. En l’absence de réponse du client, la commande est invalidée. Cette information relative aux commandes impayées sera ensuite inscrite sur une liste noire. Les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société AECF. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte. La société AECF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire et par chèque. La Commission considère que cette finalité est déterminée, explicite et légitime.Ce traitement a pour objet d’identifier les paiements effectués à distance auprès de la société AECF et présentant
un risque de fraude susceptible de générer un impayé. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
Sur les données traitées
Les catégories de données traitées sont relatives :- à l’identité des clients : nom, prénom(s), date et lieu de naissance, adresse postale de livraison, de facturation et de courrier électronique ;- aux informations d’ordre économique et financier : moyens de paiements utilisés (carte bancaire ou chèque), aux produits commandés ;- aux données de connexion : identifiants des terminaux, identifiants de connexions, informations d’horodatage, informations de connexions.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les partenaires de la lutte anti fraude, c’est-à-dire les sociétés FIA NET, CERTEGY, AUCHAN France et le cabinet de recouvrement « Lucas et Degand », ont accès à ce traitement. Les sociétés FIA NET et CERTEGY fournissent à la société AUCHAN une garantie en cas d’impayés sur des transactions qu’elles ont qualifiées de fiables. Lorsqu’une transaction assurée par CERTEGY est en impayée, cette société en est informée dans la cadre de sa prestation d’assurance. La Commission observe qu’une partie du traitement sera réalisée par deux sous-traitants, la société FIA NET pour les paiements par carte bancaire et la société CETERGY pour les paiements par chèque. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant.La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la société AECF sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure sur le formulaire de paiement qui redirige les clients vers une page d’informations sur le site internet de AECF. Lorsqu’une commande génère un impayé les données sont conservées en liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier. Les droits d’accès et de rectification s’exercent auprès du Service Vente à distance à l’adresse postale suivante : Auchandirect 28 rue du Puits Dixme 94320 Thiais ou par courrier électronique à l’adresse : client@Auchandirect.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable du traitement doit prendre toutes les précautions utiles pour préserver la sécurité des données à caractère personnel collectées et traitées. Il doit, notamment  durant leur collecte, leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès. A cet effet, des mesures de sécurité adéquates seront mises en œuvre pour assurer la confidentialité des données conservées sur les serveurs, par l’application d’une méthode de chiffrement par exemple, en particulier pour la transmission sécurisée des pièces justificatives. L’envoi de données à caractère personnel ou données identifiantes telles les login et mot de passe ne doivent pas être réalisées par courriel. En effet, l’interception du contenu par une tierce personne non autorisée est possible. La Commission préconise l’usage de plusieurs canaux de transmission pour l’envoi de ces données, login par courriel et mot de passe par courrier postal par exemple.Le responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par des tiers autorisés, tels les partenaires et sous-traitants, devant assurer les mêmes garanties de sécurité. Notamment, le contrat établi entre les parties devra mentionner les objectifs de sécurité que le responsable de traitement doit nécessairement imposer à ses partenaires.Les autres mesures de sécurité, tant physiques que logiques n’appellent pas de remarque de la
Les critères pris en compte pour l’analyse des risques présentés par la commande sont relatifs aux données, au contenu et à la fréquence de la commande ainsi qu’à l’ancienneté du client. La société AECF interroge FIA NET qui adresse en retour une appréciation sur la solvabilité du client. Si le score est inferieur à 90%, FIA NET peut procéder à d’autres contrôles (ex : appel du client afin de vérifier l’exactitude de son numéro de téléphone) afin de réévaluer la note pour valider la commande.En cas de transaction identifiée comme présentant un risque de fraude, le service Prévention des fraudes de la société AECF procède à une analyse manuelle des éléments de la commande afin de confirmer ou non le caractère frauduleux. Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client en est informé et mis en mesure de présenter ses observations.La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une analyse manuelle. Lorsqu’une commande génère un impayé non régularisé, une mention est ajoutée dans l’outil. Cette information est supprimée dès lors qu’il y a eu régularisation de l’impayé. Si le client ne corrige pas cette anomalie (absence de régularisation du moyen de paiement, absence d’un autre moyen de paiement…), un courrier lui est adressé et précisant son
inscription en liste noire jusqu’à régularisation de son impayé. En l’absence de régularisation de son impayé la commande est automatiquement annulée. La liste noire ainsi créée permet de connaître les acheteurs «présentant un profil de risque particulier », c’est-à-dire, les personnes ayant un impayé non régularisé depuis 3 ans. Les données inscrites en liste noire correspondent à l’identité du client (nom, prénom(s), date et lieu de naissance), son adresse, le montant de la commande, le numéro de commande et le moyen de paiement utilisé. Les données sont conservées le temps de la vérification de la commande, elles sont ensuite archivées pendant une durée de trois ans.La société CETERGY n’a pas accès à la liste des impayés toutefois, certaines informations relatives aux commandes impayées (original du chèque, date et numéro de commande) peuvent faire l’objet d’une communication de la part de AECF à la société CETERGY dans le cadre de sa prestation d’assurance auprès d’AECF.La Commission observe que les données des clients relatives à la commande ainsi que la mention « impayé » sont conservées au-delà de 90 jours en base active à des fins d’une part de connaissance de l’historique du client et d’autre part à des fins comptables.
Autorise, conformément à la présente délibération, AUCHAN E COMMERCE FRANCE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1590024)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le Conseil National de l’Ordre des Pédicures-Podologues d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des professionnels pédicures-podologues sur le territoire national ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 4322-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil National de l’Ordre des Pédicures-Podologues (CNOPP)
Sur la finalité
La finalité du traitement est d’assurer :
la gestion des inscriptions des professionnels au tableau de l’ordre des pédicures-podologues sur le territoire national ;
le recensement et suivi des condamnations prononcées par l’ensemble des juridictions ordinales et leurs conséquences pour l’exercice de la profession de pédicure-podologue.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-1°de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :- les données d’identification des professionnels inscrits au tableau de l’ordre des pédicures-podologues (nom, prénom, adresse, date et lieu de naissance, lieu d’exercice professionnel), - les données relatives à la date de leur éventuelle condamnation, à l’identification de la juridiction qui a prononcé la sanction, à la nature de la sanction (avertissement, blâme, interdiction d’exercer, radiation…), à la durée de la sanction s’il s’agit d’une interdiction provisoire d’exercer ou de donner des soins aux assurés sociaux.Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :- les personnels dûment habilités du CNOPP (service juridique, service comptable, service informatique) ;- les présidents et les secrétaires administratifs des conseils régionaux de l’Ordre, sous l’autorité de leur président, pour les données des pédicures-podologues de leur région.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, par une mention sur leur dossier d’inscription, de la mise en œuvre du traitement et des modalités d’exercice de leurs droits auprès du service régional de gestion des inscriptions au tableau de l’ordre.Une mention spécifique sur les dossiers d’inscription et sur le site Internet du CNOPP informe également les personnes de ce que leur nom, prénom, adresse et téléphone professionnels figureront sur l’annuaire en ligne de la profession accessible sur le site Internet du CNOPP.Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, l’authentification des utilisateurs de la base s’effectue au moyen d’un mot de passe d’une taille de huit caractères, composé de trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), et changé tous les six mois.L’authentification des administrateurs de la base s’effectue au moyen d’un mot de passe d’une taille de dix caractères, composé d’au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), changé tous les six mois.La Commission rappelle que les permissions d’accès doivent être supprimées pour tout utilisateur n’étant plus habilité.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN présentant un niveau de sécurité suffisant.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant dix ans à compter de la cessation d’exercice du professionnel concerné et conformément aux dispositions légales et réglementaires applicables.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Conseil National de l’Ordre des Pédicures-Podologues à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1623025)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société MONDIAL ASSISTANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Cinryse® exploitée par le laboratoire VIROPHARMA ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Société MONDIAL ASSISTANCE
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Cinryze® exploitée par le laboratoire VIROPHARMA. La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre du programme d’apprentissage les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent à un programme. Elles portent sur l’identité, la date de naissance, les coordonnées (téléphones, adresse) ainsi que sur des informations relatives à la santé (antécédents et traitements médicaux…).Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Le consentement du patient à participer au programme est recueilli par le médecin prescripteur du médicament faisant l’objet du programme. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur conformément à l’article R.1161-23 du code de la santé publique. Le patient contacte la plateforme téléphonique de l’opérateur afin de finaliser son inscription.Les patients inscrits à un programme sont informés de leurs droits d’accès et de rectification ainsi que de la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux articles R.1161-8 à R.1161-26 du code de la santé publique.Les médecins prescripteurs et les médecins traitants sont également informés des droits qui leur sont reconnus par la loi précitée.
Sur les mesures de sécurité
outre, être conservé de manière à préserver sa confidentialité.Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que l’opérateur s’y conforme.Sur la traçabilité :L’opérateur met en place une traçabilité des actions effectuées sur les données. Les traces de toutes activités suspectes sont conservées sous forme d’un tableau récapitulatif de suivi des anomalies et des activités suspectes sur l’Intranet de l’entreprise. Ce tableau, généré automatiquement, est accessible à l’administrateur et au médecin ou au pharmacien responsable qui peuvent déclencher des enquêtes internes afin de différencier s’il s’agit d’une alerte ou d’un fonctionnement anormal du système.La Commission juge ces mesures satisfaisantes et rappelle qu’il convient d’informer les personnels concernés de leur mise en œuvre.Sur la conservation des données :Les données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme. La
Commission considère que cette durée est adéquate avec les finalités du traitement. Toutefois, elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R.1161-24 du code de la santé publique.Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.La Commission rappelle qu’en application de ces dispositions, le consentement exprès des personnes doit être obtenu.Sur l’anonymisation :L’article R.1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant
l’objet du programme.Les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.Les professionnels de santé en charge du programme et de sa mise en œuvre n’assurent aucune mission à caractère commercial.Le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société MONDIAL ASSISTANCE, n’exerce pas de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage.L’opérateur met en place un système d’export statistique de données ne permettant pas de ré-identifier les patients.La Commission estime que ces mesures d’anonymisation sont satisfaisantes.Les transferts de données entre la société MONDIAL ASSISTANCE et le site d’hébergement s’opèrent par l’utilisation du protocole SSL.La Commission juge cette solution satisfaisante.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions règlementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société MONDIAL ASSISTANCE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1577127)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société PATIENTYS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Norditropine® exploitée par le laboratoire NOVO NORDISK ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Société PATIENTYS
Sur la finalité