AgentPublic/cnil huggingface dataset:
La société SEPHORA SA, ci-dessous dénommée SEPHORA commercialise des produits cosmétiques par internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achat à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction, évaluation réalisée par un sous-traitant, établi aux Etats-Unis. Elle souhaite en outre inscrire sur une liste noire des données relatives aux commandes impayées.La société SEPHORA a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire. Ce traitement a pour objet d’identifier les paiements par carte bancaire effectués à distance auprès de la société SEPHORA et présentant un risque de fraude susceptible de générer un impayé. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.Les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables
pour la société SEPHORA. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
identification : nom, prénom, adresse postale de facturation et de livraison, numéro de téléphone et adresse de courrier électronique, numéro de compte client et adhésion au programme de fidélité ;
données de connexion : adresse IP et Host name de l’ordinateur ayant servi à la commande,
informations d’ordre économique et financier : type et numéro de carte bancaire, date de validité et le nombre de tentative de validation infructueuse;
informations relatives à la commande : type (commande initiale ou modification de commande), date, montant, devise, type et quantité de produits, leurs références, le mode de livraison et l’utilisation d’une promotion.
Une copie de la pièce d’identité de la personne ayant passé commande peut également être collectée. Ce document est détruit une fois les vérifications complémentaires effectuées et dans un délai maximal de 24 heures.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Ces données sont conservées pendant une durée de six mois en base active et archivées pendant une durée de deux ans.
L’identité, l’adresse de facturation et de livraison, les données relatives à la carte bancaire, l’adresse électronique, le numéro de client et de téléphone lié à l’adresse de facturation d’une commande impayée sont inscrits sur la liste noire et sont conservés pendant une durée de trois ans.
Sur les destinataires
Seul le personnel habilité de la cellule Fraude de SEPHORA peut avoir accès à ce traitement.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur le transfert de données
La finalité du transfert est l’analyse des risques présentés par la transaction réalisée à distance par carte bancaire.L’ensemble des catégories de données ci-dessus sont transmises au personnel habilité de la société Cybersource LTD, Etats-Unis. Le transfert est encadré par un contrat de transfert de données hors Union Européenne de responsable de traitement à sous-traitant sur le modèle des clauses contractuelles types de la Commission européenne.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de transport figurant sur le site internet de SEPHORA. Lorsqu’une commande génère un impayé les données mentionnées supra sont conservées sur la liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier. Les droits d’accès et de rectification s’exercent auprès du Service client de SEPHORA, 65 avenue Edouard Vaillant, 92 100 Boulogne Billancourt.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour l’analyse des risques présentés par la commande sont : - l’identité de la personne ayant passé la commande, son adresse électronique, l’adresse postale de livraison et de facturation, son numéro de téléphone- le numéro de carte bancaire- l’adresse IP de l’ordinateur ayant servi à passer la commande. A chaque transaction un niveau de risque global sous la forme d’une note de score est calculé à partir de ces critères. La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats communiqués par la société Cybersource LTD feront l’objet d’une analyse manuelle par le personnel habilité de la cellule fraude de SEPHORA. Seul ce dernier procède à la validation ou à l’annulation de la commande, le cas échéant, après avoir sollicité la transmission d’une copie de la pièce d’identité de la personne ayant passé la commande.La Commission prend acte que les données transmises à la société Cybersource LTD ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant.
Autorise, conformément à la présente délibération, SEPHORA SA à mettre en œuvre le traitement susmentionné. 
La Présidente
(Demande d’autorisation n° 1549376)
La Commission nationale de l’informatique et des libertés, 
Saisie par MEUBLES IKEA FRANCE SNC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard PEYRAT, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
MEUBLES IKEA France SNC
Sur la finalité
La société MEUBLES IKEA France SNC, ci-dessous  dénommée IKEA commercialise du mobilier par internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achat à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction. Elle souhaite en outre inscrire sur une liste noire des données relatives aux commandes impayées.La société IKEA a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire. La Commission observe que ce traitement a pour objet d’identifier les paiements par carte bancaire effectués à distance auprès de la société IKEA et présentant un risque de fraude susceptible de générer un impayé. Dès lors, elle considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société IKEA.
Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
identification : nom, prénom, adresse postale de facturation, numéros de téléphone et adresse de courrier électronique, l’adhésion au programme de fidélité, le type de client et l’ancienneté de la relation ;
données de connexion : adresse IP 
informations d’ordre économique et financière : type et numéro de la carte bancaire, date de validité ;
informations relatives à la commande : montant et le cas échéant, le montant cumulé sur une période déterminée, les références et la désignation du ou des produits, leurs prix unitaires, la quantité, le mode de livraison et le cas échéant, les données relatives à la livraison (identité du destinataire, adresse électronique,  adresse postale, numéros de téléphone).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Ces données sont conservées pendant une durée de 90 jours dans la base active pour permettre de procéder à une analyse manuelle et approfondie des commandes effectuées pendant cette période et présentant une ou plusieurs caractéristiques identiques. Elles sont ensuite archivées pendant une durée de deux ans. 
Dans l’hypothèse où une commande générerait un impayé l’adresse IP, l’adresse électronique, le ou les numéros de téléphone et le numéro de carte bancaire attachés à la commande sont inscrits sur une liste d’exclusion pendant une durée de deux ans.
Sur les destinataires
Seul le personnel habilité du service Prévention des fraudes de la société IKEA peut accéder à ce traitement.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de transport figurant sur le site internet d’IKEA.Lorsqu’une commande génère un impayé les données mentionnées supra sont conservées en liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier. Les droits d’accès et de rectification s’exercent auprès du Service Vente à distance de MEUBLES IKES FRANCE SNC, 425 rue Henri Barbusse, 78 375 PLAISIR.
Sur les mesures de sécurité
L’authentification des utilisateurs, tant chez le sous-traitant que chez le responsable de traitement, respecte les recommandations de la Commission en la matière, à savoir une longueur minimale de 8 caractères, une durée de validité limitée et une minimum d’une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial.Les données sont intégralement chiffrées au moyen du protocole HTTPS lors de leur transmission du sous-traitant vers le responsable de traitement, ce qui permet de garantir leur confidentialité lors de leur transmission sur internet.L’ensemble des actions effectuées par les destinataires des données sont tracées dans le système d’analyse des commandes afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Par ailleurs, les opérations opérées par les administrateurs du sous-traitant sont également intégralement journalisées. Ces données de journalisation sont conservées pendant 12 mois.Les autres mesures de sécurité, tant physique que logiques n’appellent pas de remarque de la Commission.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour l’analyse des risques présentés par la commande prennent en compte les données mentionnées supra et sont basés sur des règles de fréquence et de récurrence sur une période donnée. L’ensemble des commandes passées sur le site ikea.fr font l’objet de cette analyse. En cas de transaction identifiée comme présentant un risque de fraude, le service Prévention des fraudes de la société IKEA procède à une analyse manuelle des éléments de la commande afin de confirmer ou non le caractère frauduleux. Si les vérifications complémentaires permettent d’écarter tous risques de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client en est informé et mis en mesure de présenter ses observations.La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une analyse manuelle. La Commission observe qu’une partie du traitement sera réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant.
Autorise, conformément à la présente délibération, MEUBLES IKEA FRANCE SNC à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1501950)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Réseau Rhône-Alpes de Sclérose en Plaques d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise à disposition et la collecte, à travers la plateforme d’échange PEPS-réseaux et le portail Internet régional SIS Rhônes-Alpes de données de santé nécessaires à la prise en charge des patients atteints de sclérose en plaques;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et notamment; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I,1°;
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions et notamment son article 25 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 7817 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Sur le responsable du traitement
Le Réseau Rhône-Alpes Sclérose en Plaques (69)
Sur la finalité
- Amélioration de la prise en charge médicale des patients en permettant la création et le partage entre professionnels de santé chargés de leur suivi, de fiches individuelles les concernant dans le cadre d’un réseau territorial pour la prise en charge de patients atteints de sclérose en plaques.- Mise à disposition et collecte d’informations médicales sur les patients pris en charge au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe :- un outil d’identification régionale du patient, le  « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des statistiques d’activité.La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui, comme en l’espèce, poursuivent un intérêt
Sur les données traitées 
- Concernant les patients : identité (nom, prénom, date de naissance, sexe, numéro d’identification local et régional), données administratives et sociales, données de soins et médicales validées (pathologie, antécédents familiaux, données relatives aux soins)- Concernant les professionnels de santé : nom, prénom, spécialité, n° d’identification, coordonnées professionnelles, date d’adhésion au dispositif
Sur les destinataires
- Les professionnels de santé membres du réseau, pour les seuls patients qu’ils suivent, avec l’autorisation de ces derniers- Les secrétaires médicales sous la responsabilité des professionnels de santé et dans la mesure de leurs attributions- Les professionnels de santé adhérents au DPPR en charge des patients dans la région avec l’autorisation de ces derniers- La cellule de coordination, sous la responsabilité du médecin coordinateur
Sur l’information et le droit d’accès
- Information des parents par la remise d’un document et recueil de leur consentement par un formulaire - Exercice du droit d’accès auprès du médecin référent ou en s’adressant à la cellule de coordination du réseau.
Sur les mesures de sécurité
- L'accès aux dossiers des patients nécessite soit une habilitation préalable du patient et une carte de professionnel de santé ou en l'absence d'habilitation préalable du professionnel de santé par le patient, une CPS et la carte Vitale du patient, ce qui implique la présence physique de celui-ci. - Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants et des données concernées. - Les accès à l’application (consultation, création, mise à jour, suppression des données) font l’objet d’une journalisation.- L’application met en œuvre des procédés de chiffrement du transport et des données.- Des actions de sensibilisation aux bonnes conditions d’utilisation du réseau et à la confidentialité des données sont effectuées auprès des professionnels de santé adhérant au réseau par la remise et la signature d’une charte d’information des utilisateurs de PEPS.
Sur les autres caractéristiques du traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient dans le cadre du réseau. A l’issue de cette période, les données sont archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques. 
Autorise, conformément à la présente délibération, le Réseau Rhône-Alpes Sclérose en Plaques à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1566081)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Centre hospitalier d’Aix-les-Bains d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise à disposition et la collecte, à travers la plateforme d’échange PEPS-réseaux et le portail Internet régional SIS Rhônes-Alpes de données de santé nécessaires à la prise en charge des patients;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et notamment; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I,1°;
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 7817 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Sur le responsable du traitement
Le Centre Hospitalier d’Aix-les-Bains (73)
Sur la finalité
- Amélioration de la prise en charge médicale des patients en permettant la création et le partage entre professionnels de santé chargés de leur suivi, de fiches individuelles les concernant dans le cadre d’un réseau territorial pour la prise en charge de patients.- Mise à disposition et collecte d’informations médicales sur les patients pris en charge au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe :- un outil d’identification régionale du patient, le  « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des statistiques d’activité.La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui, comme en l’espèce, poursuivent un intérêt public.