AgentPublic/cnil huggingface dataset:
-	les prestataires de services intervenant dans la mise en œuvre de l'ATU ou de la RTU, dans le cadre et la limite de leurs fonctions et dans les conditions définies par le contrat les liant au responsable de traitement ;
-	les autres sociétés du groupe auquel appartient le laboratoire exploitant ainsi que ses partenaires qui participent à la mise en œuvre de l'ATU ou de la RTU ;
-	les organismes publics communautaires, nationaux ou locaux en charge de la surveillance des médicaments sous ATU ou RTU, dans le cadre de l'exercice de leurs missions telles que définies par les textes, notamment l'ANSM, les centres régionaux de pharmacovigilance et les centres anti-poison.
Article 5 - Sur l'information des personnes et sur leurs droits d'accès, de rectification et d'opposition:S'agissant des patients, les modalités sont les suivantes :
-	Conformément à l'article L. 5121-12 du CSP pour les ATU et à l'article L. 5121-12-1 du CSP pour les RTU, le médecin prescripteur doit informer le patient du cadre de la prescription, des risques encourus, des contraintes et des bénéfices potentiels.
-	Le médecin prescripteur remet au patient une note d'information, établie conformément à l'article 32-I de la loi Informatique et Libertés, qui rappelle notamment que les droits d'accès et de rectification reconnus par les articles 39 et 40 de la loi précitée s'exercent, en l'espèce, par l'intermédiaire du médecin prescripteur, le laboratoire exploitant n'ayant pas accès à l'identité des patients concernés.
-	Il est rappelé que les patients sont libres d'accepter ou de refuser leur traitement par un médicament prescrit sous ATU ou RTU. En cas d'acceptation des soins, les articles L. 5121-12 et R. 5121-70 du CSP pour les ATU, ainsi que les articles L. 5121-12-1 et R. 5121-76-2 du même code pour les RTU, imposent le recueil d'informations de suivi relatives au patient.
S'agissant des médecins prescripteurs et des pharmaciens dispensateurs, le laboratoire informe ces derniers du traitement de leurs données à caractère personnel dans le courrier qui leur est adressé au moment de l'initiation de l'ATU ou de la RTU. Cette information reprend les mentions prévues à l'article 32-I de la loi Informatique et Libertés notamment les modalités d'exercice des droits d'accès et de rectification.
Si une plateforme électronique est utilisée pour recueillir les informations, les professionnels de santé doivent être informés lors de leur connexion à cette plateforme.
Article 6 - Sur les transferts des données hors de l'Union européenne :Tout transfert des données relatives au patient vers un pays non-membre de l'Union européenne n'accordant pas une protection suffisante au sens de l'article 68 de la loi Informatique et Libertés doit s'opérer conformément aux dispositions spécifiques de la loi précitée relatives aux transferts internationaux de données, notamment à son article 69.
Il est satisfait à ces dispositions lorsque l'une des conditions suivantes est réunie :
-	les transferts s'effectuent à destination d'un pays reconnu par la Commission européenne comme assurant un niveau de protection suffisant ou d'une entreprise américaine ayant adhéré aux principes du Safe Harbor ;
-	le traitement garantit un niveau suffisant de protection de la vie privée ainsi que les droits et libertés fondamentaux des personnes par la mise en œuvre des clauses contractuelles types adoptées par la Commission européenne ou par l'adoption de règles internes d'entreprise (dénommées  BCR ), dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant ;
-	ils correspondent à l'une des exceptions prévues à l'article 69 de la loi du 6 janvier 1978 modifiée, dont le champ d'application est limité à des cas de transferts ponctuels et exceptionnels. Ainsi, les transferts répétitifs, massifs ou structurels de données personnelles doivent faire l'objet d'un encadrement juridique spécifique ( BCR , clauses contractuelles types ou Safe Harbor).
Le responsable de traitement doit avoir clairement informé les personnes concernées de l'existence de transferts de données vers des pays tiers, dans les conditions prévues par les dispositions de l'article 91 du décret du 20 octobre 2005 modifié.
S'il est satisfait à ces conditions et si le traitement dont le transfert est issu est par ailleurs conforme à l'ensemble des autres dispositions de la présente délibération, l'engagement de conformité à la présente autorisation unique porte également autorisation du transfert envisagé en application de l'article 69 de la loi du 6 janvier 1978 modifiée.
Les données relatives aux médecins prescripteurs et aux pharmaciens dispensateurs peuvent être transférées, hors de l'Union européenne, dans les conditions d'encadrement précitées, lorsque ce transfert est strictement nécessaire à la mise en œuvre de l'ATU ou de la RTU.
Article 7 - Sur la sécurité des données et la traçabilité des actions :Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données traitées, en particulier leur confidentialité, leur intégrité et leur disponibilité.
Le responsable du traitement définit, met en œuvre et contrôle l'application d'une politique de sécurité qui devra notamment décrire :
-	les mesures de sécurisation physique des matériels et des locaux ainsi que les dispositions prises pour la sauvegarde des fichiers ;
-	les habilitations d'accès aux données et en particulier les mesures d'identification et d'authentification, les procédures de traçabilité des accès aux informations médicales, ainsi que l'historique des connexions ;
-	les mesures de sécurité devant être mises en œuvre pour les transmissions de données.
Cette politique de sécurité doit être définie au regard des risques identifiés au terme d'une analyse des risques présentés par le traitement (cette analyse devra notamment couvrir les risques que peut présenter le traitement sur les libertés et la vie privée des personnes concernées).
Les données relatives aux patients pourront être renseignées par le médecin prescripteur et le pharmacien dispensateur dans des formulaires de recueil d'informations au format électronique ou au format papier.
Si le format électronique est utilisé par l'intermédiaire d'une plateforme électronique de recueil des informations, le médecin prescripteur et le pharmacien dispensateur devront créer un compte personnel afin de compléter les formulaires. Leur adresse électronique pourra être collectée afin de permettre l'envoi d'un courriel contenant un lien permettant d'activer le compte et de vérifier que l'adresse électronique saisie est valide. Le contrôle d'accès au compte des professionnels de santé doit être opéré conformément aux dispositions de l'article L. 1110-4 du code de la santé publique qui impose une authentification forte des professionnels de santé par l'utilisation d'une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l'organisme chargé d'émettre la CPS pour toute transmission ou tout accès aux données de santé.
Si le format papier est utilisé et que les transmissions sont effectuées par fax, la Commission rappelle que les mesures de sécurité suivantes doivent être mises en place :
-	le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
-	l'impression des messages doit être subordonnée à l'introduction d'un code d'accès personnel ;
-	lors de l'émission des messages, le fax doit afficher l'identité du fax destinataire afin d'être assuré de l'identité du destinataire ;
-	le carnet d'adresses des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
S'agissant des transmissions par courriel, celles-ci devront être sécurisées par exemple en chiffrant les données à caractère personnel par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
En cas de recours à un prestataire de service pour la mise en œuvre du traitement, le contrat doit prévoir la limitation de l'utilisation des données à la finalité prévue par la présente autorisation. Le contrat doit également prévoir une clause de confidentialité et encadrer les modalités de destruction ou de restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de la prestation. 
Article 8 - Publication :
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le cabinet ACTECIL CARAIBES, le 25 juillet 2013, d'une demande de  délivrance de label concernant sa formation intitulée  Exercer le métier de Correspondant  Informatique et Libertés  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la  protection des personnes à l'égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l'égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l'informatique, aux fichiers et aux libertés, notamment ses articles 11 3°c  ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique,  aux fichiers et aux libertés ;
Vu la  délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement  intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération  n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la  délivrance de labels en matière de formation tendant à la protection des  personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire,          membre du Comité de labellisation et après avoir entendu les  observations de M. Jean-Alexandre   SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
-       La loi n° 78-17 modifiée, approche juridique
-       La loi n° 78-17 modifiée et le transfert de données 
-       La CNIL et ses missions
-       La mise en œuvre des traitements
-       Le rôle du Correspondant Informatique et Libertés
-       Les missions du CIL
-       La gestion des risques
-       Le pouvoir de sanctions de la CNIL
-       Les dispositions pénales
-       Exercer le métier de CIL, l'approche pratique
La demande de label présentée par le cabinet ACTECIL CARAIBES inclut les modules complémentaires suivants : 
-       la présentation de la CNIL et de ses missions ;
-       la présentation des formalités préalables à la mise en œuvre des traitements ;
-       la présentation de l'encadrement des transferts de données hors de l'Union européenne ;
-       la présentation du rôle du correspondant à la protection des données à caractère personnel ;
-       la présentation du pouvoir de contrôle a posteriori de la CNIL ;
-       la présentation du pouvoir de sanction de la CNIL ;
-       la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL  formation  pour la formation intitulée  Exercer le métier de Correspondant Informatique et Libertés  du cabinet ACTECIL CARAIBES. 
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La  Présidente
 
I.  FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le cabinet PINSENT MASONS, le 20 décembre 2013, d'une demande de délivrance de label concernant sa formation intitulée Formation Informatique et Libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
1. Cadre légal de la protection des données à caractère personnel
a. Principaux textes applicables en droit français (cas pratique)
b. Définitions des principaux termes de la loi Informatique et Libertés
c. Champ d'application de la protection des données
2. Conditions de licéité d'un traitement de données à caractère personnel
a. Conditions générales de licéité
b. La conservation des données
c. La sécurité des données
d. Le recueil du consentement
e. Les données sensibles
3. Les droits des personnes concernées
a. Information des personnes concernées
b. Le droit d'opposition
c. Le droit d'accès
d. Le droit de rectification
4. Les transferts de données personnelles
a. Pluralité des hypothèses de transfert
b. Le principe 
c. Exceptions au principe
d. Les formalités préalables aux transferts
e. L'obligation d'information relative aux transferts
La demande de label présentée par le cabinet PINSENT MASONS inclut les modules complémentaires suivants :
- la présentation de l'encadrement des transferts de données hors de l'Union européenne ; 
- la présentation des dispositions pénales associées au non respect de la loi Informatique et Libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
Décide :
De la délivrance du label CNIL formation pour la formation intitulée Formation Informatique et Libertés du cabinet PINSENT MASONS. 
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société LEXAGONE, le 19 août 2013, d'une demande de délivrance de label concernant sa formation intitulée Formation Informatique et Libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
Un module obligatoire intitulé Les fondamentaux 
1. Présentation de la loi Informatique et Libertés
2. Formalités Informatique et Libertés
3. Obligations du responsable des traitements
4. Droit des personnes concernées
Auxquels peuvent s'ajouter 3 modules complémentaires :
Encadrement des transferts de données hors de l'Union européenne
1. Principes relatifs au transfert de données hors de l'UE 
2. Moyens destinés à encadrer les transferts de données 
3. Formalités préalables applicables à un transfert de données hors de l'UE 
4. Obligations du responsable de traitement concernant l'information des personnes concernées par le transfert hors de l'UE de leurs données
Correspondant Informatique et Libertés
1. Statut du CIL
2. Différents types de désignation
3. Modalités et procédure de désignation d'un CIL
4. Conditions dans lesquelles la liste des traitements doit être tenue par le CIL
5. Conditions dans lesquelles le CIL traite les réclamations adressées au responsable des traitements
6. Conditions dans lesquelles le CIL doit établir le bilan annuel de son activité
7. Conditions dans lesquelles le CIL alerte le responsable de traitement sur les manquements qu'il constate
8. Relations entre la CNIL et le CIL
9. Conditions et procédure relative à la fin de mission du CIL
Encadrement des traitements dans le domaine de la santé
1. Régime de formalités préalables applicable selon le traitement
2. Pertinence et adéquation des données à la finalité poursuivie
3. Recherche dans le domaine de la santé (chapitre IX)
4. Evaluation ou l'analyse des pratiques ou des activités de soins et de prévention (chapitre X)
La demande de label présentée par la société LEXAGONE inclut les modules complémentaires suivants : 
- la présentation de la CNIL et de ses missions ;
- la présentation des formalités préalables à la mise en œuvre des traitements ;
- la présentation de l'encadrement des transferts de données hors de l'Union européenne ;
- la présentation du rôle du correspondant à la protection des données à caractère personnel ;
- la présentation de l'encadrement des traitements dans le domaine de la santé ;
- la présentation du pouvoir de contrôle a posteriori de la CNIL ;
- la présentation du pouvoir de sanction de la CNIL ;
- la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
Décide :
De la délivrance du label CNIL formation pour la formation intitulée Formation Informatique et Libertés de la société LEXAGONE. 
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le groupe LA POSTE, le 28 novembre 2013, d'une demande de délivrance de label concernant sa procédure d'audit interne intitulée Procédure d'audit Informatique et Libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.
 
Décide :
De la délivrance du label CNIL audit de traitements pour la procédure d'audit interne intitulée Procédure d'audit Informatique et Libertés du groupe LA POSTE. 
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année. 
La Présidente 
I. FALQUE-PIERROTIN