AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1601357v1)
La Commission nationale de l'informatique et des libertés,
Saisie par la société VOYAGES-SNCF.COM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société VOYAGES-SNCF.COM, filiale de la Société Nationale des Chemins de Fer (SNCF). 
Sur la finalité
La finalité du traitement est la détection et la prévention des fraudes à la carte bancaire lors d’achat de titres de transport ferroviaire sur les sites www.voyages-sncf.com et TGV Europe, ainsi que sur leurs portages sur terminaux mobiles. Pour ce faire, la société VOYAGES-SNCF.COM a recours à un outil d’évaluation des risques présentés par ce type de transaction.La société souhaite également mettre en place une liste d’exclusion pour les cas de commandes impayées. Les personnes figurant sur cette liste ne pourront plus passer de commande tant qu’elles n’auront pas réglé les sommes impayées. La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.      Elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Sur les données traitées
La société recourt à un outil d’évaluation des risques lorsqu’elle ne peut utiliser le dispositif 3D Secure (canal de vente ne permettant pas l’utilisation de 3D Secure ou client n’ayant pas donné son numéro de téléphone portable). 
Dans ce cadre, les données collectées sont les suivantes :
Données relatives à l’identification : identifiant, nom, prénom, date de naissance, adresse électronique, adresse, numéro de téléphone, date de création du compte client ;
Données relatives au terminal utilisé : type de terminal, système d’exploitation du terminal ;
Données de connexion : adresse IP horodatée ; 
Informations d’ordre économique et financier : date et heure de la transaction, montant et numéro de la transaction, type et numéro (chiffré) de la carte bancaire, date d’expiration, monnaie de la commande, M Paiement (paiement via un terminal mobile), type de tarif du billet, utilisation d’un moyen de paiement alternatif lors d’une précédente commande ;
Informations relatives à la commande : adresse d’expédition, panier mixte (montant, nom du partenaire), temps avant le départ, type de produit, itinéraire, villes de départ et d’arrivée, pays de départ et d’arrivée, programme de fidélité, type de billet (aller-retour), nombre de passagers par trajet.
Lorsque le dispositif 3D Secure peut être utilisé, seul le résultat 3D Secure est collecté et traité. 
Dans le cas de commande générant un impayé, l’adresse électronique et le numéro de carte bancaire attachés à la commande sont inscrits dans la liste d’exclusion.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Seuls les personnels habilités du service des fraudes de la société VOYAGES-SNCF.COM sont destinataires de ces données, dans la limite de leurs attributions.Ces destinataires n’appellent pas d’observation de la part de la Commission.En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant. Conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, les données ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant que sur instruction du responsable de traitement. 
Sur l’information et le droit d’accès 
Les personnes concernées sont informées préalablement à la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales.En cas d’inscription dans la liste d’exclusion des impayés, les personnes concernées sont informées de cette inscription, ainsi que de la possibilité d’être désinscrites de la liste dès qu’elles régularisent l’impayé. Les droits d’accès et de rectification s’exercent auprès du service clients de la société VOYAGES-SNCF.COM, 2, place de la Défense – CNIT 1 – BP 440 PARIS LA DEFENSE.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin. Les utilisateurs ayant accès au traitement sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant et régulièrement renouvelé.
Les données sont transmises chiffrées au sous-traitant situé aux Etats-Unis et celui-ci conserve les numéros de cartes bancaires sous forme chiffrée. Les communications intervenant sur le réseau informatique interne sont filtrées.Les interventions de maintenance font l'objet d'une traçabilité.Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Ces journaux sont conservés pendant 10 jours avec accès immédiat, puis sont archivés pendant 1 an.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Pour le traitement de détection et de prévention des fraudes, une alerte est déclenchée dans les cas suivants : 
Utilisation d’une carte volée ;
Inscription dans la liste d’exclusion des impayés ;
Dépassement d’un montant maximum d’achat ;
Cumul de critères identifiés comme pouvant caractériser un comportement frauduleux. Les critères pris en compte pour l’analyse des risques présentés par la commande prennent en compte les données mentionnées supra et sont basés sur des règles de fréquence et de récurrence sur une période donnée. 
En cas de transaction identifiée comme présentant un risque de fraude, le service des fraudes de la société VOYAGES-SNCF.COM procède à une analyse manuelle des éléments de la commande afin de confirmer ou non le caractère frauduleux. Si les vérifications complémentaires permettent d’écarter les risques de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est bloquée. Le client en est informé et est invité à utiliser un autre moyen de paiement et/ou un autre canal de vente pour effectuer l’achat. Il peut à cet égard présenter ses observations en contactant le service clients par courrier électronique ou par téléphone.
Conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision à l’égard d’une personne ne sera prise sur le seul fondement de ce traitement et les résultats font l’objet d’une analyse au cas par cas par les personnels habilités du service des fraudes de la société VOYAGES-SNCF.COM.
Par ailleurs, les données sont conservées pendant une durée de 90 jours dans la base active, puis elles sont archivées pendant une durée de deux ans. Les données figurant dans la liste d’exclusion sont également conservées pendant une durée de deux ans.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société VOYAGES-SNCF.COM à mettre en œuvre le traitement susmentionné et abroge la délibération n° 2013-010 du 10 janvier 2013.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain modifiée par la directive 2010/84/UE en ce qui concerne la pharmacovigilance ;Vu le règlement (UE) n° 1235/2010 du Parlement européen et du Conseil du 15 décembre 2010 modifiant, en ce qui concerne la pharmacovigilance des médicaments à usage humain, le règlement (CE) n° 726/2004 établissant des procédures communautaires pour l'autorisation et la surveillance en ce qui concerne les médicaments à usage humain et à usage vétérinaire, et instituant une Agence européenne des médicaments, et le règlement (CE) n° 1394/2007 concernant les médicaments de thérapie innovante ;Vu le règlement (UE) n°520/2012 de la Commission du 19 juin 2012 sur l'exécution des activités de pharmacovigilance prévues par le règlement (CE) n°726/2004 du Parlement européen et du Conseil et par la directive 2001/83/CE du Parlement européen et du Conseil ;Vu le code de la santé publique, et notamment ses articles L. 5121-22 à L.
5121-26 et R. 5121-150 à R. 5121-201 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-II ;Vu la loi n° 2011-2012 du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2011-655 du 10 juin 2011 relatif aux modalités de signalement par les patients et associations agréées de patients d'effets indésirables susceptibles d'être liés aux médicaments et produits mentionnés à l'article L. 5121-1 du code de la santé publique ; Vu le décret n° 2012-1244 du 8 novembre 2012 relatif au renforcement des dispositions en matière de sécurité des médicaments à usage humain soumis à autorisation de mise sur le marché et à la pharmacovigilance ; Vu le décret n° 2013-923 du 16 octobre 2013 pris pour la transposition de la directive 2012/26/UE du 25 octobre 2012 modifiant en ce qui concerne la pharmacovigilance la directive 2001/83/CE instituant un code communautaire relatif aux médicaments à un usage humain ; Vu l'arrêté du 28 avril 2005 modifié relatif aux bonnes pratiques de pharmacovigilance ;Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La pharmacovigilance, dont les règles sont harmonisées au niveau communautaire par les dispositions de la directive 2001/83/CE du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain modifiée par la directive 2010/84/UE en ce qui concerne la pharmacovigilance, a pour objet, aux termes de l'article L. 5121-22 du code de la santé publique, la surveillance, l'évaluation, la prévention et la gestion du risque d'effet indésirable résultant de l'utilisation des médicaments et produits mentionnés à l'article L. 5121-1 du même code.
A ce titre, toute entreprise ou organisme exploitant un médicament ou un produit mentionné à l'article L. 5121-1 est tenu de respecter les obligations qui lui incombent en matière de pharmacovigilance et, en particulier, de mettre en œuvre un système de pharmacovigilance garantissant le suivi et la surveillance des médicaments qu'il exploite, enregistré dans le dossier permanent du système de pharmacovigilance, mis à la disposition des autorités compétentes, ainsi que d'enregistrer, de déclarer et de suivre tout effet indésirable suspecté d'être dû à un médicament ou produit mentionné à ce même article, dont il a connaissance.
L'ensemble des obligations de pharmacovigilance est mis en œuvre conformément aux principes de bonnes pratiques de pharmacovigilance fixés par l'arrêté du 28 avril 2005 modifié, au Règlement (UE) n° 520/2012 de la Commission du 19 juin 2012 sur l'exécution des activités de pharmacovigilance ainsi qu'aux bonnes pratiques de pharmacovigilance européenne ( Guideline on Good pharmacovigilance practice (GVP) ).
Les exploitants de médicaments sont également tenus de conserver et de tenir à la disposition des autorités compétentes les informations détaillées relatives à tous les effets indésirables susceptibles d'être dus à un médicament ou produit dont ils ont connaissance, survenus à l'intérieur ou à l'extérieur de l'Union européenne, en application de l'article R. 5121-166 du code de la santé publique. Ces informations sont tenues à la disposition des autorités compétentes notamment à des fins de vérification.
De plus, les exploitants de médicaments doivent pouvoir recontacter la personne à l'origine du signalement d'un effet indésirable, ci-après  le notificateur  (patient, membre d'une association agréée de patients, professionnel de santé, membre d'une autorité de santé) pour obtenir des informations complémentaires nécessaires à la validation du signalement ou à l'évaluation de l'effet indésirable. Ceci nécessite le traitement de l'identité du notificateur et notamment des données à caractère personnel le concernant. Ces données sont susceptibles d'être enregistrées dans une base de données informatisée dont l'accès est géré distinctement de l'accès à la base de données de pharmacovigilance.
En outre, les exploitants de médicaments doivent pouvoir demander des précisions au professionnel de santé ayant suivi la personne qui présente un effet indésirable, notamment son médecin prescripteur ou son médecin traitant. Il doit donc pouvoir collecter auprès du notificateur des données concernant ce professionnel de santé. 
Pour satisfaire à l'ensemble de ces obligations, les bonnes pratiques de pharmacovigilance fixées par arrêté du ministre chargé de la santé recommandent  vivement  de mettre en œuvre un traitement informatisé. En outre, les dispositions communautaires imposent une transmission électronique des informations relatives aux effets indésirables par les laboratoires pharmaceutiques à la base de données européenne  Eudravigilance .
Les traitements de données à caractère personnel résultant des activités de pharmacovigilance, ainsi que l'échange de ces données, y compris à l'international, au-delà de leur caractère obligatoire, présentent un intérêt majeur pour la santé publique et la prise en charge thérapeutique des patients en ce qu'ils permettent de partager toute information nouvelle relative à un potentiel d'effet indésirable lié à l'utilisation d'un médicament, quel que soit le lieu de sa survenue, et de déterminer ainsi les mesures nécessaires pour en prévenir et en réduire le risque. Ces traitements relèvent dès lors des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée. 
En application de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires. 
Les responsables de traitements exploitants de médicaments qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.
Article 1 - Sur la finalité des traitements :
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en œuvre par ou pour le compte des laboratoires exploitants et ayant pour finalité : 
- la collecte, l'enregistrement, l'analyse, le suivi, la documentation, la transmission et la conservation, des données relatives aux risques d'effet indésirables résultant de l'utilisation de médicaments et produits mentionnés aux articles L. 5121-1 et R. 5121-150 du code de la santé publique et des contraceptifs mentionnés à l'article L. 5134-1 du même code, ainsi que les informations relatives à un mésusage, un surdosage, un abus, une erreur médicamenteuse, une exposition professionnelle ou à une utilisation d'un médicament pendant l'allaitement ou la grossesse ;
- la gestion des contacts, par le laboratoire, avec le notificateur (patient, membre d'une association agréée de patients, professionnels de santé, membre d'une autorité de santé), avec la personne devant être interrogée pour obtenir des précisions sur l'effet indésirable signalé ou le professionnel de santé ayant suivi la personne ayant présenté l'effet indésirable.
Article 2 - Sur la nature des données traitées :
a) Les seules données à caractère personnel relatives aux personnes présentant un effet indésirable et pouvant être traitées par le laboratoire dans le cadre de la pharmacovigilance sont :
1° Les données systématiquement collectées :
- Données d'identification du patient : numéro, code alphanumérique ou code alphabétique d'identification tel que prévu par le formulaire Cerfa de déclaration d'un effet indésirable, informations signalétiques (âge, année ou date de naissance, sexe, poids, taille) ;
- Données de santé : traitements administrés, résultats d'examens, nature du ou des effets indésirables, antécédents personnels ou familiaux, maladies ou événements associés, facteurs de risque ; informations relatives au mode de prescription et d'utilisation des médicaments et à la conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l'effet indésirable ;
- Données d'identification des professionnels de santé concernés par l'observation. 
2° Les données collectées lorsqu'elles sont strictement nécessaires à l'appréciation de l'effet indésirable :
- Données de santé : informations relatives à l'ascendance et à la descendance de la personne, s'il s'agit d'un nouveau-né ou en cas de grossesse ou d'allaitement ;
- Données relatives à la vie professionnelle : professions actuelle et antérieures (dans les seuls cas où cela peut être justifié pour l'évaluation de l'événement indésirable) ;
- Consommation de tabac, alcool, drogues ;
- Habitudes de vie et comportements : dépendance (seul, en institution, autonome, grabataire), assistance (aide ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire ;
- Mode de vie (urbain, semi-urbain, nomade, sédentaire) et habitat (maison particulière ou immeuble, étage, ascenseur) ;
- Vie sexuelle ;
- Origine ethnique, uniquement dans les cas où le Résumé des Caractéristiques du Produit (RCP) d'un exploitant concerné par un signalement comporte des informations particulières relatives à l'origine ethnique des personnes et selon les critères définis dans le RCP.
Les responsables de traitements doivent mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
b) Les seules données à caractère personnel relatives au notificateur lorsque celui-ci n'est pas un professionnel de santé (patient ou membre d'une association agréée de patients) et pouvant être traitées par le laboratoire pour obtenir des précisions dans le cadre de la pharmacovigilance sont :
- Le nom, le nom d'usage et le(s) prénom(s) ;
- Le numéro de téléphone et de télécopie ;
- L'adresse électronique ou, à défaut, l'adresse postale ;
c) Les seules données à caractère personnel relatives au membre d'une autorité de santé ou au professionnel de santé notificateur (ou ayant suivi le patient) pouvant être traitées par le laboratoire pour obtenir des précisions dans le cadre de la pharmacovigilance sont :
- Le nom, le nom d'usage et le(s) prénom(s) ;
- Le numéro de téléphone et de télécopie ;
- L'adresse électronique ;
- Une adresse postale ;
- La spécialité du professionnel de santé.
Article 3 - Sur la durée de conservation des données :
Les données et documents de pharmacovigilance relatifs à une spécialité pharmaceutique sont conservés pendant la durée de l'autorisation de mise sur le marché et dix ans après que cette autorisation cesse d'exister. 
A l'expiration de ce délai, les données sont supprimées ou archivées sous une forme anonymisée.
La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
Article 4 - Sur les destinataires des données :
Ont accès aux données traitées les différents services du laboratoire exploitant :
- le responsable de la pharmacovigilance, ainsi que ses collaborateurs placés sous sa responsabilité ;- le pharmacien responsable ou son représentant, ainsi que toute personne dûment habilitée et placée sous sa responsabilité, dans la limite de ses attributions et pour ce qui la concerne ;
- les personnes habilitées du service des affaires juridiques et des affaires réglementaires, en fonction des dossiers qu'elles ont à traiter dans le cadre de la gestion des réclamations.
Le service chargé des audits peut, de façon ponctuelle et motivée, avoir accès à ces données pour vérifier le respect des exigences réglementaires et des procédures internes dans la limite de ses attributions et pour ce qui le concerne.
Peuvent également être destinataires de ces données :
- les prestataires de services intervenant pour le compte et sous la responsabilité du laboratoire dans le cadre de son activité de pharmacovigilance, dans la limite de leurs fonctions et dans les conditions définies par le contrat les liant à l'exploitant ;
- les autres sociétés du groupe auquel appartient le laboratoire exploitant ainsi que ses partenaires qui participent à l'exploitation ou à la commercialisation du médicament mis en cause, à l'exception de l'identité du notificateur telle que prévue à l'article 2.b) ;
- les laboratoires tiers dont un des médicaments pourrait être mis en cause, à l'exception de l'identité du notificateur telle que prévue à l'article 2.b) ;
- les professionnels de santé concernés par le signalement ;
- les organismes publics nationaux, communautaires ou étrangers en charge de la pharmacovigilance dans le cadre de l'exercice de leurs missions telles que définies par les textes : les centres régionaux de pharmacovigilance (CRPV), l'Agence Nationale de Sécurité du Médicament et des produits de santé (ANSM), l'Agence européenne du médicament (EMA), les autorités ou agences sanitaires nationales étrangères et les autorités ou agences sanitaires internationales qui peuvent avoir accès aux données à caractère personnel relatives aux personnes traitées par le laboratoire dans le cadre de la pharmacovigilance.
Article 5 - Sur les mesures de sécurité :