AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1694263)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ASTELLAS PHARMA S.A.S. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des questions médicales et des réclamations relatives à ses produits de santé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26 et R. 5121-150 à R. 5121-201 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ASTELLAS PHARMA est une société par actions simplifiée, spécialisée dans la fabrication de médicaments.En qualité d’établissement pharmaceutique, la société ASTELLAS PHARMA doit être en mesure d’informer les patients et les professionnels de santé utilisant les produits de santé qu’elle commercialise et de répondre aux questions et réclamations présentées par les mêmes personnes.
Sur la finalité
La finalité du traitement est d’assurer :
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (qui peuvent concerner, par exemple, un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (qui peuvent concerner, par exemple, un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données collectées concernent les auteurs des questions ou réclamations adressées à la société ASTELLAS PHARMA.Il s’agit de  leurs données d’identification (nom, prénom, sexe), de leurs coordonnées (adresse, téléphone, fax, email) en cas de nécessité de recontacter les personnes, et de leur qualité ou nature (médecin généraliste, pharmacien hospitalier, patient).En outre, des données de santé, correspondant au contenu  des questions posées (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question), peuvent également être collectées.La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société ASTELLAS PHARMA, à savoir des membres de la direction médicale, des services informatiques et du département des affaires pharmaceutiques (affaires règlementaires et assurance qualité).L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées, dès lors qu’elles transmettent leurs questions ou réclamations au responsable de traitement, sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un message téléphonique ou par courrier postal personnalisé du traitement de leurs données. Les droits d’accès et de rectification s’exercent auprès des personnels d’ASTELLAS PHARMA.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe d’une longueur de huit caractères au moins, composé de trois types de caractères distincts et valable trois mois.Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création est tracé.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques
Sur les autres caractéristiques du traitement
Les données des patients sont conservées pendant cinq ans à compter de la réception de sa question ou de sa réclamation, et ce selon les modalités suivantes s’agissant de leurs données d’identification :- ces dernières sont conservées pendant trois mois à compter de la réception de la question ou de la réclamation, cette durée correspondant au temps nécessaire pour apporter une réponse, puis elles sont supprimées ;- dans l’hypothèse où une question ou une réclamation serait associée à un cas de pharmacovigilance (cas d’effet indésirable enregistré dans une base dédiée d’ASTELLAS PHARMA et relevant des formalités de l’autorisation unique n°13 de la Commission), seules les initiales des patients sont conservées au-delà du délai de trois mois susmentionné, notamment afin d’éliminer les doublons, d’évaluer la véracité des déclarations d’effets indésirables et d’assurer le suivi de ces déclarations, sans avoir besoin de lever l’anonymat des patients.Les données d’identification des professionnels de santé et les réponses apportées par le responsable de traitement sont également conservées pendant cinq ans. Passé ce délai, l’ensemble des données des patients et des professionnels de santé sont supprimées. Elles peuvent toutefois faire l’objet d’un archivage, dans un format anonymisé, à des fins de statistiques. La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société ASTELLAS PHARMA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4°et 25 II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2005-305 du 8 décembre 2005 telle que modifiée par la délibération n°2010-369 du 14 octobre 2010 ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a adopté le 8 décembre 2005 une délibération portant autorisation unique (AU-004) de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (« whistleblowing »).  
Cette autorisation unique a déjà été modifiée le 14 octobre 2010, notamment s’agissant du champ d’application des dispositifs d’alerte qui avait été élargi à de nouveaux domaines.
Pour pouvoir faire l’objet d’un engagement de conformité à l’AU-004 les traitements de données à caractère personnel mis en œuvre doivent répondre aux exigences de l’article 1er de l’autorisation unique, à savoir :
- soit répondre à une obligation législative ou réglementaire de droit français visant à l'établissement de procédures de contrôle interne dans les domaines financier, comptable, bancaire et de la lutte contre la corruption,
- soit répondre à l’intérêt légitime du responsable du traitement au sens de l’article 7-5° de la loi du 6 janvier 1978 modifiée, ce dernier étant limité dans l’autorisation unique aux traitements mis en œuvre:
dans les domaines précités par les entreprises concernées par la section 301(4) de la loi américaine dite «Sarbanes-Oxley» du 31 juillet 2002, ainsi que par la loi japonaise « Financial Instrument and exchange Act » du 6 juin 2006 dite « Japanese SOX » ;
pour lutter contre les pratiques anticoncurrentielles au sein de l'organisme concerné.
La Commission a relevé depuis que les dispositifs d’alerte professionnelle pour lesquels elle était saisie n’entraient pas dans le champ d’application de l’AU-004 ainsi défini.
Ces dispositifs, qui ont pu être autorisés spécifiquement par la Commission portent principalement sur la lutte contre les discriminations et le harcèlement au travail et plus généralement divers domaines mentionnés dans les codes éthiques (hygiène, santé et sécurité au travail, prévention des atteintes à l’environnement, protection des actifs de la société, conflits d’intérêt, confidentialité et données personnelles).
Dans ce contexte, il est apparu nécessaire à la Commission de simplifier les formalités préalables en élargissant le champ d’application de l’AU-004 aux domaines de la lutte contre les discriminations et du harcèlement, de la santé, de l’hygiène et de la sécurité au travail ainsi que de la protection de l’environnement.
En effet, la mise en œuvre de dispositifs d’alerte dans ces domaines se justifie par le fait que les responsables de traitements ont l’obligation (au sens de l’article 7-1° de la loi du 6 janvier 1978 modifiée) ou un intérêt légitime (au sens de l’article 7-5° de la loi du 6 janvier 1978 modifiée) à mettre en place de tels traitements de données à caractère personnel qui répondent à des dispositions législatives, réglementaires ou conventionnelles de droit français ou étranger.
Les dispositifs d’alerte qui concernent d’autres domaines devront faire l’objet de demandes d’autorisations spécifiques. 
La Commission a également estimé nécessaire de clarifier les garanties relatives au traitement des alertes anonymes.
Compte tenu des réglementations étrangères notamment de la loi Sarbannes-Oxley américaine qui imposent aux entreprises situées en France de mettre en place un dispositif d’alerte professionnelle permettant de traiter les alertes anonymes, la Commission a estimé que le recueil de ces alertes doit nécessairement être toléré dans les conditions qu’elle définit à l’article 2 de l’AU-004.
Dans ces conditions, la Commission décide:
Article 1er
L’article 1er de la délibération n°2005-305 du 8 décembre 2005 tel que modifié par la délibération n°2010-369 du 14 octobre 2010 relatif aux finalités du traitement est supprimé et est désormais rédigé comme suit :
«Peuvent faire l'objet d'un engagement de conformité à la présente décision unique les traitements automatisés de données à caractère personnel mis en œuvre par les organismes publics ou privés ayant pour finalité le signalement et le traitement des alertes au sein de l’organisme dans les domaines suivants :
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ; 
lutte contre les discriminations et le harcèlement au travail ;
santé, hygiène et sécurité au travail ;
protection de l’environnement ;
Et ce, dès lors que la mise en œuvre de ces traitements répond à une obligation légale ou à un intérêt légitime dans ces domaines ».
Article 2
L’article 2 de la Délibération n°2005-305 du 8 décembre 2005 relatif au traitement de l’identité de l’émetteur d’alerte est supprimé.
Le nouvel article 2 de l’AU-004 relatif aux alertes anonymes est rédigé comme suit : 
« L'émetteur de l'alerte professionnelle doit s'identifier mais son identité est traitée de façon confidentielle par l'organisation chargée de la gestion des alertes. 
L'organisme ne doit pas inciter les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme. 
Par exception, l'alerte d'une personne qui souhaite rester anonyme peut-être traitée sous les conditions suivantes :
1. la gravité des faits mentionnés est établie et les éléments factuels sont suffisamment détaillés ;
2. le traitement de cette alerte doit s'entourer de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif. »
Article 3
L’article 12 inséré par la délibération n°2010-369 du 14 octobre 2010 est supprimé. 
La présente délibération sera publiée au Journal officiel de la République française.
Le Vice-président délégué
Emmanuel de GIVRY
(Demande d’autorisation n° 1705444)
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme Paris Saint Germain Football d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’une liste d’exclusion de clients ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-11, L. 332-15 et L. 332-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Monsieur Dominique RICHARD, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie, par la société anonyme Paris Saint Germain Football, d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité de recenser les violations aux conditions générales de vente et au règlement intérieur par les abonnés et acheteurs de billets, d’une part, et de gérer les actions contractuelles associées (suspension, résiliation, impossibilité de souscrire un nouvel abonnement), d’autre part.
Ce traitement automatisé est susceptible du fait de sa nature, de sa portée et de ses finalités d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. Il est dès lors assimilable à la constitution d’une liste d’exclusion de clients et sa mise en œuvre doit, en application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, être autorisée par la Commission.
Sur la finalité du traitement
Le dossier présenté à la Commission par le Paris Saint Germain Football mentionne comme finalités le recensement de l’ensemble des violations aux conditions générales de vente et au règlement intérieur par les abonnés et acheteurs de billets, d’une part, et la gestion les actions contractuelles associées (suspension, résiliation, impossibilité de souscrire un nouvel abonnement), d’autre part.
A titre général, la Commission rappelle que la sanction des comportements pénalement répréhensibles et le maintien de l’ordre public sont des attributions régaliennes, qui relèvent de la compétence exclusive des pouvoirs publics et des juridictions.
L’article L. 332-11 du code du sport prévoit, à ce titre, que les juridictions peuvent prononcer une peine complémentaire d’interdiction de pénétrer ou de se rendre aux abords d’une enceinte dans laquelle se déroule une manifestation sportive, à l’encontre des personnes coupables de l’une des infractions définies aux articles L. 332-3 à L. 332-10 et L.332-19 du code du sport, d’une part, ou aux articles 222-11 à 222-13, 322-1 à 322-4, 322-6, 322-11 et 433-6 du code pénal lorsque l’infraction a été commise dans une enceinte où se déroule une manifestation sportive ou, à l’extérieur de l’enceinte, lorsqu’elle est commise en relation directe avec une manifestation sportive, d’autre part. Cette peine, d’une durée maximale de cinq ans, peut être assortie d’une obligation de répondre aux convocations des autorités ou personnes qualifiées désignées par le juge.
En outre, l’article L. 332-16 du code du sport prévoit que le représentant de l'Etat dans le département, ou le préfet de police à Paris, peut prononcer par arrêté motivé une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes dans lesquelles se déroulent des manifestations sportives, ou sont retransmises en public, à l’encontre d’une personne constituant une menace pour l’ordre public en raison de son comportement d'ensemble à l'occasion de manifestations sportives, de la commission d'un acte grave à l'occasion de l'une de ces manifestations, du fait de son appartenance à une association ou à un groupement de fait ayant fait l'objet d'une dissolution, ou du fait de sa participation aux activités qu'une association ayant fait l'objet d'une suspension d'activité s’est vue interdire.
Le Paris Saint Germain Football a ainsi été autorisé, par délibération de la Commission en date du 7 novembre 2013, à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par les juridictions ou l’autorité administrative, étant précisé que ces interdictions lui sont transmises par l’autorité préfectorale en application des articles L. 332-15 et L. 332-16 du code du sport.
La Commission estime que des motifs d’exclusion déterminés par un organisme privé ne sauraient, sans méconnaitre les attributions des autorités publiques, viser à sanctionner la commission d’infractions pouvant justifier une interdiction judiciaire ou administrative de stade. Une telle finalité n’apparaît dès lors pas légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sous cette réserve, la Commission considère en revanche que l’exclusion des clients n’ayant pas respecté des conditions générales de vente ou des dispositions d’un règlement intérieur constitue une finalité déterminée, explicite et légitime.
Parmi les motifs d’exclusion annexés au dossier de demande d’autorisation du Paris Saint Germain Football, la Commission relève la présence de motifs liés à la commission supposée d’infractions prévues par le code du sport.
L’article 9 de la loi du 6 janvier 1978 modifiée réserve la possibilité de mise en œuvre d’un traitement de données à caractère personnel relatif à des infractions, condamnations ou mesures de sûreté aux juridictions, aux autorités publiques et aux personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, aux auxiliaires de justice pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi et, enfin, aux personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle.
Le Conseil constitutionnel a également considéré dans sa décision n° 2004-499 DC du 29 juillet 2004, par une réserve d’interprétation, que l’article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprété comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale s'agissant des infractions dont elle a été victime.
La Commission estime que le Paris Saint Germain Football ne rentre dans aucune de ces hypothèses.
Il en résulte que le Paris Saint Germain Football, en l’absence d’une disposition législative spécifique, ne peut être autorisé à mettre en œuvre un traitement de données à caractère personnel relatif à des infractions, condamnations ou mesures de sûreté pour sanctionner de sa propre initiative des infractions pénales supposées, ou pour prévenir la survenance de troubles à l’ordre public. 
Au regard de ces éléments, la Commission considère que seuls les motifs suivants peuvent donner lieu à un enregistrement dans le traitement automatisé de données à caractère personnel soumis à son examen :
existence d’un impayé ;
non respect des règles de billetterie (prêt et revente d’un abonnement ou d’un titre d’accès en violation des conditions générales de vente) ;
activité commerciale dans l’enceinte sportive en violation des conditions générales de vente ; 
paris dans l’enceinte sportive sur le match en cours.
Sur les données traitées
Les données à caractère personnel traitées dans le cadre du présent traitement sont relatives :
à des données d’identification (nom ; prénoms ; photographie pour les abonnés ; date et lieu de naissance) ;
aux motifs d’exclusion (détail des violations des conditions générales de vente ou du règlement intérieur, hormis celles de ces conditions relatives à un  comportement pouvant justifier une interdiction judiciaire ou administrative de stade) ;
aux décisions associées aux motifs d’exclusion (suspension, résiliation et impossibilité de souscrire un nouvel abonnement ; annulation, refus de vente de titre d’accès).
S’agissant des motifs d’exclusion, la Commission rappelle en effet qu’ils ne doivent pas porter, en application de l’article 9 de la loi du 6 janvier 1978 modifiée, sur des données relatives à des infractions, condamnations ou mesures de sûreté.
Sous cette réserve, la Commission considère que les données précitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. 
Sur les durées de conservation
Les données du présent traitement sont conservées pendant trois ans à compter de la décision prise par le responsable de traitement.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.