(Demande d’autorisation n° 1720111)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SANOFI PASTEUR MSD S.N.C. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’identification et l’analyse de risques relatifs aux conflits d’intérêt apparents ou potentiels de ses partenaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
SANOFI Pasteur MSD S.N.C. (ci-après « SPMSD ») est une société en nom collectif spécialisée dans le commerce de produits pharmaceutiques, issue d’un partenariat entre le laboratoire français SANOFI PASTEUR et le groupe pharmaceutique américain MERCK & Co., Inc. (connu sous l’acronyme « MSD » en dehors des États-Unis et du Canada), dont le siège est à Lyon, en France.
La société SPMSD fabrique et commercialise les vaccins à utilisation humaine développés par les sociétés MSD et SANOFI PASTEUR. La société SPMSD possède des filiales dans treize pays de l’Union européenne, en Suisse et en Norvège.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société SPMSD d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption. Ce traitement consiste à mettre en œuvre un processus de gestion des conflits d’intérêts (« COI ») apparents ou potentiels de ses partenaires.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées.
La société SPMSD se prévaut notamment à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.
Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles que SPMSD à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique UKBA du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.
Le groupe MSD est soumis au FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées, dont fait partie SPMSD.
S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.
Afin d’assurer la conformité de la société à ces dispositions, SPSMD a mis en place une politique et des procédures internes encadrant les relations avec les partenaires et applicables à toutes les sociétés du groupe.
Le traitement envisagé par la société SPMSD vise à s’assurer qu’elle opère à tout moment en conformité avec les lois et les codes de conduite de l’industrie pharmaceutique, qui interdisent la corruption et l’influence inappropriée. Le traitement concerne essentiellement des professionnels de santé et de manière ponctuelle des responsables d’organisations à but non lucratif, des dirigeants de sociétés ou toute personne/dirigeant de toute autre organisation.
Le processus COI repose sur un système d’évaluation progressive, adaptée aux risques encourus.
La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées, relatives au partenaire de la société SPMSD avec lequel une interaction est envisagée, portent sur :
Lorsqu'un partenaire potentiel indique qu'un membre de sa famille a une position d’influence, la société SPMSD ne collecte pas l'identité de cette personne dans le questionnaire, ni ultérieurement. Aucun contact n'est établi avec ce tiers. La société SPMSD ne cherche pas à identifier la personne en question. La nature de la position et le degré de parenté suffisent pour l’analyse et la prise de décision.
L’identification du partenaire : nom, prénom, numéro d’enregistrement professionnel (le cas échéant) ;
Les informations de contact du partenaire : adresse professionnelle, adresse électronique, numéro de téléphone ;
L’activité professionnelle et le type de position d’influence potentielle ;
Les informations relatives aux précédentes interactions avec le partenaire.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification et d’analyse sont réalisées par les Process Manager, les Contacts COI et les Décisionnaires dûment habilités. Ils peuvent, de façon exceptionnelle, demander l’intervention d’autres services en raison de leur expertise financière ou juridique. Ces personnes n’interviendront qu’en tant que de besoin et n’auront accès qu’aux données nécessaires à leur expertise.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de la politique menée par la société SPMSD en matière de lutte contre la corruption par une mention figurant dans le questionnaire et la lettre d’information l’accompagnant.
La COI Fact Sheet mentionne les coordonnées du département juridique désigné par la société SPMSD pour permettre aux personnes concernées d’exercer leurs droits d’accès, de rectification et d’opposition reconnus par les articles 38, 39 et 40 de la loi Informatique et Libertés.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
L’accès à la base de données COI et les opérations effectuées sur les données sont tracés.
L’accès à la base de données COI est protégé par un mécanisme d’authentification basé sur un identifiant et un mot de passe personnels. La politique de gestion des mots de passe de l’entreprise impose à chaque utilisateur de changer de mot de passe tous les 60 jours. Il ne peut réutiliser les 6 derniers mots de passe. Les mots de passe doivent avoir une longueur minimum de 8 caractères, avec au moins trois types de caractères différents. Le mot de passe ne peut être identique au nom de l’utilisateur.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
En raison de l’organisation de SPMSD au niveau européen, les données peuvent être transférées dans les pays où SPMSD opère, lorsqu’un partenaire y dispose d’une position d’influence. Ces pays sont situés au sein de l’Union européenne ou en Suisse et en Norvège (pays reconnus par la Commission européenne comme offrant un niveau de protection suffisant).
Les données issues des COI Fact Sheets et des Grilles d’Analyse COI sont conservées dans la base de données COI pendant un an, puis archivées pendant 10 ans.
Autorise, conformément à la présente délibération, SANOFI Pasteur MSD S.N.C. à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN