AgentPublic/cnil huggingface dataset:
Seul le personnel habilité de la société LOSC Lille peut accéder aux données du présent traitement, à savoir le personnel habilité de la direction de la sécurité, de la direction de la billetterie et de la direction juridique.Les données sont également accessibles au personnel habilité d’une société filiale du responsable de traitement, à savoir la société Grand stade rayonnement, chargée de gérer la billetterie de la société LOSC Lille.Les données du présent traitement sont également accessibles aux personnes spécifiquement chargées de filtrer les accès des enceintes dans lesquelles se déroulent les compétitions sportives organisées par la société LOSC Lille. À cet égard, la Commission rappelle que seul le personnel spécialement habilité d’un sous-traitant doit pouvoir accéder aux données se rapportant à la liste des interdits de stade de la société LOSC Lille, à l’exclusion de toute personne n’étant pas chargée d’assurer la réalisation de cette prestation de service. La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données du présent traitement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier personnalisé. En cas d’impossibilité pratique pour délivrer cette information, en particulier lorsque le responsable de traitement n’a pas eu de contact avec une personne avant le jour de la manifestation qu’il organise, la Commission rappelle que cette dernière devra être informée de son inscription dans le présent traitement lors du premier contact avec le responsable de traitement, par exemple par la remise d’un formulaire remis contre signature ou par l’envoi d’un courrier ou d’un courriel.   Les droits d’accès et de rectification ainsi que le droit d’opposition pour motif légitime  s’exercent par courrier postal ou courrier électronique auprès du service juridique de la société LOSC Lille.   La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’accès au traitement n’est possible qu’à partir d’un réseau installé sur site.L’authentification des utilisateurs est assurée par l’utilisation de mots de passe, renouvelés tous les deux mois, constitués d’au moins huit caractères et contenant au minimum un chiffre. A cet égard, la Commission rappelle qu’elle recommande l’utilisation de mots de passe comprenant au moins huit caractères à choisir parmi trois types différents (lettres majuscules ou minuscules, chiffres, caractères spéciaux).Des profils d’habilitation définissent les fonctions ou types d’informations accessibles à un utilisateur.Des mesures de sécurité physiques garantissent la sécurité des locaux et des équipements.Les sauvegardes hebdomadaires sont conservées dans une armoire forte. Les échanges de données sont effectués par voie postale ou par courriel. S’agissant de l’envoi de données sensibles par courriel, la Commission rappelle qu’il convient d’adresser des courriels chiffrés, étant précisé que la clef de déchiffrement doit nécessairement être adressée par un canal distinct, ou des courriels non chiffrés comprenant une pièce jointe sécurisée contenant les données sensibles. Les opérations de maintenance sont réalisées en présence d’un informaticien du responsable de traitement.Le traitement met en œuvre une journalisation des accès à l’application. Sous réserve de la prise en compte de ses recommandations, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont
conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées uniquement pendant la durée de l’interdiction de stade prononcée par l’autorité judicaire ou administrative. 
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable traitement.
Elle rappelle, conformément aux articles R. 332-3 et R. 332-9 du code du sport et à l’article 6-4° de la loi du 6 janvier 1978 modifiée, que le responsable de traitement doit mettre à jour sans délai son traitement et supprimer les données à caractère personnel correspondantes :
à l’expiration de la durée d’interdiction prononcée ; 
lorsqu’une peine complémentaire d’interdiction de stade prononcée par l’autorité judiciaire est infirmée à l’occasion d’un recours juridictionnel ou amnistiée ;
lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est suspendue ou annulée par la juridiction administrative.
Pour s’assurer du respect de ces obligations, la Commission préconise ainsi la mise en œuvre d’une procédure de suppression automatique des données à caractère personnel à compter de l’expiration de leur durée de conservation.
Autorise, conformément à la présente délibération, la société anonyme LOSC Lille à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1773656)
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme Stade rennais football club d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Conformément à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l’informatique et des libertés doit autoriser la mise en œuvre des traitements, automatisés ou non automatisés, portant sur des données relatives à des infractions, condamnations ou mesure de sûreté. 
Les interdictions de stade prononcées par l’autorité judiciaire, à titre de peine complémentaire, ainsi que les mesures d’interdictions de stade décidées par l’autorité administrative, sont des données qui relèvent de cette catégorie. 
La mise en œuvre d’un traitement de données à caractère personnel, automatisé ou non, portant sur de telles interdictions de stade doit dès lors être autorisée par la Commission nationale de l’informatique et des libertés.
Responsable du traitement
La Commission nationale de l’informatique et des libertés est saisie par la société anonyme Stade rennais football club en qualité de société sportive organisatrice de manifestations sportives ouvertes au public. 
Sur la finalité
La demande d’autorisation dont est saisie la Commission, sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, concerne un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.Le Stade rennais football club, lorsqu’il agit en qualité d’organisateur de manifestations sportives à but lucratif ouvertes au public, est tenu d’y assurer la sécurité conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.Au regard de ce qui précède, la Commission considère que la finalité du traitement dont elle est saisie est déterminée, explicite et légitime.
Sur les données traitées
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
des données identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
des condamnations ou mesures de sûreté, à savoir :
en cas d’interdiction judiciaire : date de la décision et durée de la peine complémentaire ;
en cas d’interdiction administrative : enceintes et abords interdits d’accès, type de manifestations sportives concernées, date et durée de validité de l’arrêté préfectoral d’interdiction et, le cas échéant, obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par le préfet.
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, permettent aux associations et sociétés sportives, au nombre desquelles figurent les clubs de football professionnels, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
Elle prend acte que les raisons ayant conduit au prononcé d’une interdiction de stade ne sont pas collectées par le responsable de traitement, d’une part, et qu’aucun dispositif biométrique de reconnaissance faciale ne sera utilisé, d’autre part.
La Commission considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Seul le personnel habilité du Stade rennais football club peut accéder aux données du présent traitement, à savoir le Directeur de la sécurité et le responsable de la billetterie.Les données du présent traitement sont également accessibles aux personnes spécifiquement chargées de filtrer les accès des enceintes dans lesquelles se déroulent les compétitions sportives organisées par le Stade rennais football club. À cet égard, la Commission rappelle que seul le personnel spécialement habilité d’un sous-traitant doit pouvoir accéder aux données se rapportant à la liste des interdits de stade, à l’exclusion de toute personne n’étant pas chargée d’assurer la réalisation de cette prestation de service.La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données du présent traitement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans les conditions générales de vente.En cas d’impossibilité pratique pour délivrer cette information, en particulier lorsque le responsable de traitement n’a pas eu de contact avec une personne avant le jour de la manifestation qu’il organise, la Commission rappelle que cette dernière devra être informée de son inscription dans le présent traitement lors du premier contact avec le responsable de traitement, par exemple par la remise d’un formulaire remis contre signature ou par l’envoi d’un courrier ou d’un courriel.Les droits d’accès et de rectification, ainsi que le droit d’opposition pour motif légitime, s’exercent par courrier ou par courriel auprès du service « Stade » du Stade Rennais football club.    La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le traitement est mis en œuvre au sein du Stade Rennais football club. Le réseau de l’organisme est composé d’un réseau interne sur site et d’un réseau externalisé chez un prestataire. Les échanges sur ces réseaux privés se font par l’intermédiaire d’un réseau privé virtuel (VPN). La Commission rappelle que le protocole doit garantir un chiffrement du canal de bout en bout, afin de garantir la confidentialité des données lors de leur transmission.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.L’authentification des utilisateurs est assurée par des mots de passe de neuf caractères, régulièrement renouvelés, à choisir parmi deux types de caractères. A cet égard, la Commission rappelle qu’elle recommande l’utilisation de mots de passe comprenant au moins huit caractères à choisir parmi trois types différents (lettres majuscules ou minuscules, chiffres, caractères spéciaux).Les locaux et équipements utilisés font l’objet de mesures de sécurité physique, en particulier la salle informatique hébergeant le traitement et le lieu de stockage de la  version papier du traitement qui sont uniquement accessibles avec un badge nominatif.Les environnements de développement et de production sont distincts. A ce titre, la Commission rappelle qu’il est nécessaire que les développements soient réalisés sur des données fictives ou anonymisées.Enfin, le traitement comprend un procédé de journalisation des opérations.Sous réserve de
la prise en compte de ses recommandations, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées uniquement pendant la durée de l’interdiction de stade prononcée par l’autorité judicaire ou administrative. 
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable traitement.
Elle rappelle, conformément aux articles R. 332-3 et R. 332-9 du code du sport et à l’article 6-4° de la loi du 6 janvier 1978 modifiée, que le responsable de traitement doit mettre à jour sans délai son traitement et supprimer les données à caractère personnel correspondantes :
à l’expiration de la durée d’interdiction prononcée ; 
lorsqu’une peine complémentaire d’interdiction de stade prononcée par l’autorité judiciaire est infirmée à l’occasion d’un recours juridictionnel ou amnistiée ;
lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est suspendue ou annulée par la juridiction administrative.
Pour s’assurer du respect de ces obligations, la Commission préconise ainsi la mise en œuvre d’une procédure de suppression automatique des données à caractère personnel à compter de l’expiration de leur durée de conservation.
Autorise, conformément à la présente délibération, le Stade rennais football club à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1792062)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Pfizer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des personnes atteintes de leucémie myéloïde aiguë de novo et traitées avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Pfizer est une société spécialisée dans la fabrication de médicaments.Sa spécialité pharmaceutique MYLOTARG est disponible dans le cadre d’une autorisation temporaire d’utilisation (ATU), dite de cohorte, accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM). Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.En l’espèce, MYLOTARG est indiqué pour le traitement des patients âgés de 50 à 70 ans atteints de leucémie myéloïde aiguë de novo, précédemment non traitée.
Sur la finalité
La finalité du traitement est de permettre le recueil d’informations relatives aux caractéristiques des patients traités par MYLOTARG, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique visé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.L’ATU MYLOTARG répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
données d’identification : initiales associées à un numéro de patient, date de naissance, sexe, poids, taille ;
Les destinataires des données sont les personnels dûment habilités de la société Pfizer, à savoir des membres des départements en charge de la pharmacovigilance et des affaires médicales.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Pfizer fait appel à un prestataire pour mettre en œuvre l’ATU MYLOTARG. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend concernant la garantie de leur sécurité et de leur confidentialité, l’interdiction de les utiliser à ses propres fins et leur absence de conservation à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti poison.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques et contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Pfizer.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès de Pfizer.S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit la spécialité MYLOTARG.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer en application de l’article 38 de la loi du 6 janvier 1978 modifiée.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre de l’ATU dont est titulaire le laboratoire Pfizer. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge. 
Les informations relatives aux patients seront saisies par le médecin prescripteur dans un cahier de recueil d’informations informatisé accessible sur internet. Les professionnels de santé devront créer un compte afin de compléter les formulaires.
La création du compte personnel est opérée directement sur le site. Pour cela, le professionnel de santé doit renseigner une adresse électronique sur laquelle sera transmis un courriel contenant un lien permettant d’activer le compte et de vérifier que l’adresse électronique saisie est valide.
Le contrôle d’accès au compte des professionnels de santé est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Enfin, les mots de passe ne doivent pas être stockés en clair dans un fichier ou une base de données.