AgentPublic/cnil huggingface dataset:
L’article 20-III de la loi du 6 janvier 1978 modifiée dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes:[…] : 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 .
L’article 83 du RGPD prévoit : Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement, visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi; b) le fait que la violation a été commise délibérément ou par négligence ; c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées; d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32; e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant; f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la
violation et d'en atténuer les éventuels effets négatifs; g) les catégories de données à caractère personnel concernées par la violation; h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation; i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures; j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42; et k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation .
63.La société considère que le montant proposé dans le rapport de sanction est disproportionné dès lors que celui-ci équivaut à 3,5 % de son chiffre d’affaires, ainsi qu’au vu de sa réactivité et des mesures mises en place après la découverte du défaut de sécurité.
La société estime que de tels éléments doivent être pris en compte par la formation restreinte dans le cadre de la détermination du montant de l’amende administrative, comme cela a été fait dans le cadre de procédures antérieures. Lors de la séance du 13 juin, la société a insisté sur le fait que sa taille et sa capacité financière doivent être pris en compte dans la détermination du montant de la sanction et que le montant proposé par le rapporteur est disproportionné au vu de sanctions prononcées antérieurement à l’encontre de sociétés ayant une capacité financière plus élevée et davantage de salariés.
Elle souligne également sa coopération avec les services de la Commission dans le cadre des échanges entretenus avec ceux-ci à la suite des contrôles en ligne ainsi que lors du contrôle sur place et fait valoir qu’aucun de ses clients ne l’a informée de l’existence d’un dommage, à la suite de la notification de la violation de données à caractère personnel auprès de ceux-ci.
66.Tout d’abord, la formation restreinte considère que dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants.
67.Elle rappelle que face aux risques représentés par les violations de données à caractère personnel, le législateur européen a entendu renforcer les obligations des responsables de traitement en matière de sécurité des traitements. Ainsi, selon le considérant 83 du RGPD, Afin de garantir la sécurité et de prévenir tout traitement effectué en violation du présent Règlement, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement. Ces mesures devraient assurer un niveau de sécurité approprié, y compris la confidentialité, compte tenu de l'état des connaissances et des coûts de mise en œuvre par rapport aux risques et à la nature des données à caractère personnel à protéger. Dans le cadre de l'évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte ou l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière ou l'accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles d'entraîner des dommages physiques, matériels ou un préjudice moral . Or, la formation restreinte observe que la société n’a pas mesuré, avant d’être alertée par les services de la CNIL, l’importance de la sécurisation des données
personnelles contenues dans ses systèmes d’information, malgré la nature des données traitées.
Ensuite, la formation restreinte considère que la gravité du manquement est caractérisée en l’espèce.
Celle-ci est caractérisée en raison de la nature des données personnelles concernées, la société traitant des données particulièrement identifiantes, ainsi que des données relatives à des infractions. La formation restreinte considère également que la gravité du manquement est caractérisée en raison du nombre de documents et de personnes concernées par le défaut de sécurité, celui-ci ayant affecté les comptes de plusieurs milliers de clients et de personnes ayant résilié leur contrat avec la société.
La formation restreinte rappelle, par ailleurs, que le défaut de sécurité est dû à une conception défectueuse de son site web par la société, développé en 2014, et qu’il a donc perduré pendant plusieurs années. En outre, la mise en œuvre d’une procédure d’authentification sur le site ainsi que celle d’une directive limitant l’indexation par les moteurs de recherche de certaines parties du site web étaient des mesures élémentaires.
Enfin, la formation restreinte relève que les décisions de sanction invoquées par la société ont été adoptées sous l’empire de la loi Informatique et Libertés telle que modifiée par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, qui prévoyait que le montant de sanctions pouvant être prononcées par la formation restreinte ne pouvait excéder 3 millions d’euros. Les faits de l’espèce ont eux été constatés alors que le RGPD était entré en application et que le manquement constaté est susceptible de donner lieu à une amende pouvant s’élever jusqu’à 10 000 000 d’euros ou, dans le cas d’une entreprise, jusqu’à 2% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
La formation restreinte note, toutefois, que la société a réagi rapidement après avoir eu connaissance de la violation de données en mettant en place des mesures correctrices vingt-quatre heures après avoir été alertée par les services de la CNIL. Elle prend également acte de ce que la société a coopéré avec la CNIL dans le cadre des différents échanges entretenus avec ses services à la suite des contrôles et de sa bonne foi dans la résolution du défaut de sécurité.
Elle relève enfin que la société a informé ses clients de la survenance du défaut de sécurité et qu’aucun dommage les concernant n’a été porté à sa connaissance.
74.Compte tenu de l’ensemble de ces éléments, la formation restreinte, tenant compte des critères fixés à l’article 83 du RGPD, estime qu’une amende administrative à hauteur de 180 000 euros est justifiée et proportionnée, ainsi qu’une sanction complémentaire de publicité pour les mêmes motifs.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de déclarer irrecevables les observations de la société X produites le 11 juin 2019 ;
de prononcer à l’encontre de la société X, une amende administrative d’un montant de 180 000 (cent quatre-vingt mille) euros ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Alexandre LINDEN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
(demande d’avis n° 19011835)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet de loi relatif à la bioéthique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code civil ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission a été saisie le 14 juin 2019 par le ministère des solidarités et de la santé, en application de l’article 8-I-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur quatre mesures du projet de loi relatif à la bioéthique (ci-après le projet ) entrant dans le champ des missions exercées par la Commission. L’urgence a été invoquée par le gouvernement, conformément aux dispositions de l’article 9-I du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Le projet de loi relatif à la bioéthique a été précédé de l’avis 129 portant contribution du Comité consultatif national d’éthique à la révision de la loi de bioéthique du 18 septembre 2018. Une étude, sous la forme d’un rapport intitulé  Révision de la loi de bioéthique : quelles options pour demain ?  a également été menée, à la demande du Premier ministre, par le Conseil d’Etat ; elle a été adoptée en assemblée générale le 28 juin 2018.
Les quatre mesures du projet de loi, soumises à l’examen de la Commission, visent à :
déterminer le cadre à appliquer aux traitements de données à caractère personnel constitués par l’Agence de la biomédecine et la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur aux fins de permettre l’exercice du droit d’accès aux origines de l’enfant conçu à partir d’un don de gamètes ou d’embryons (articles 3 et 3 bis du projet) ;
sécuriser la bonne information du patient lorsqu’un traitement algorithmique de données massives est utilisé à l’occasion d’un acte de soins (article 11 du projet) ;
modifier les dispositions de la loi informatique et libertés concernant les modalités d’examen des caractéristiques génétiques à des fins de recherche scientifique (article 18 du projet) ;
notamment organiser de manière sécurisée la transmission des résultats d’analyses génétiques au laboratoire autorisé par l’Agence régionale de santé directement au prescripteur (article 25 du projet).
À titre liminaire, la Commission souhaite indiquer que, sans remettre en cause la légitimité des nouvelles mesures introduites par le projet de loi, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être mises en œuvre. Elle estime que des mesures juridiques et techniques adaptées devront être prévues afin d’assurer un haut niveau de protection des données. Elle formule, dans ce contexte, les observations suivantes :
Sur l’assistance médicale à la procréation (art. 3 et 3 bis du projet de loi) :
Concernant la transmission de données de santé à caractère personnel des enfants conçus au bénéfice des donneurs de gamètes :
Les articles 3 et 3 bis du projet de loi ouvrent la possibilité, pour un médecin, d’accéder aux informations médicales non identifiantes , en cas de nécessité médicale, au bénéfice d’un donneur de gamètes. Le gouvernement a précisé que ce dispositif a pour objectif de permettre à un médecin, qui assure la prise en charge sanitaire d’un donneur de gamètes, de contacter un médecin du Centre d’étude et de conservation des œufs et du sperme (CECOS) pour obtenir des informations de nature médicale relatives aux enfants nés de dons qui seraient utiles au suivi sanitaire du donneur, à l’exclusion des informations susceptibles d’identifier le(s) enfant(s) conçu(s).
En premier lieu, la Commission indique que les informations médicales non identifiantes contenues dans les dossiers des CECOS constituent des données de santé à caractère personnel conformément aux dispositions de l’article 4-15) du RGPD. Elle relève qu’un médecin qui demande, au titre du suivi sanitaire d’un donneur, la transmission des données de santé d’un enfant conçu à partir d’un don n’intervient pas, en vertu de l’article L. 1110-4 du code de la santé publique (CSP), en qualité de membre de l’équipe de soins de l’enfant conçu. Elle observe également, toujours par application de l’article L. 1110-4 précité, que les conditions d’échange et de partage des données de santé sont strictement définies et que lesdites données sont protégées par le secret médical, excepté dans les cas de dérogation expressément prévus par la loi. Elle ajoute que seule une mesure législative est de nature à rendre inapplicables les dispositions du code pénal relatives aux sanctions attachées à la divulgation d’une information protégée par le secret médical. Sur cette base, elle relève que le projet de loi relatif à la bioéthique donne une base légale suffisante à la transmission des données de santé à caractère personnel de l’enfant conçu au médecin du tiers donneur.
En deuxième lieu, s’agissant de la notion de données non identifiantes , la Commission invite à se reporter aux développements ci-dessous concernant la nature des données collectées. Elle attire en conséquence l’attention du gouvernement sur les risques possibles de ré-identification de l’enfant né du don qui résulteraient de la transmission desdites données.
En troisième lieu, elle s’interroge sur les modalités pratiques de mise en œuvre de ces dispositions, notamment s’agissant de la manière dont les données seront communiquées au donneur depuis les bases des CECOS, ainsi que sur le fait de savoir si les enfants ou les titulaires de l’autorité parentale seront informés de l’accès effectif à des données concernant les enfants par le donneur, accès pouvant à tout le moins générer des interrogations sur l’état de santé de l’enfant. Par ailleurs, la Commission s’interroge sur la nature et les modalités de collecte des données s’agissant du suivi de l’état de santé des enfants issus de dons par les CECOS.
La Commission prend enfin acte que les articles 3 et 3 bis du projet suppriment le renvoi aux dispositions de la loi informatique et libertés , auquel il est aujourd’hui procédé, en ce qui concerne les formalités à réaliser et les pouvoirs de la Commission sur les traitements constitués. Dès lors que cette suppression n’emporte pas de conséquence sur l’obligation pour les responsables de traitement de respecter les dispositions du RGPD et de la loi informatique et libertés , celle-ci n’appelle pas d’observation particulière de la part de la Commission.
Concernant les traitements de données à caractère personnel constitués aux fins d’exercice du droit d’accès aux origines des enfants issus d’un don
Le projet de loi relatif à la bioéthique entend instituer le droit, pour l’enfant conçu par assistance médicale à la procréation avec tiers donneur, d’accéder à sa majorité à ses origines dès lors qu’il en fait la demande. A cette fin, il octroie à l’Agence de la biomédecine une compétence nouvelle : celle de mettre en œuvre un traitement de données à caractère personnel collectant les données nécessaires à l’exercice de ce droit. Il crée en outre une commission ad hoc, placée auprès du ministre chargé de la santé, responsable de la gestion des demandes d’accès aux données non identifiantes et à l’identité du donneur.
A titre liminaire, la Commission souhaite préciser que le droit pour un enfant d’accéder à ses origines et de se voir, en conséquence, communiquer des données à caractère personnel relatives au tiers donneur doit être distingué du droit d’accès de la personne concernée à des données le concernant tel que prévu par les dispositions de l’article 15 du RGPD.
Sur les modalités retenues pour le traitement des données à caractère personnel transmises par les CECOS à l’Agence de la biomédecine, ainsi que les traitements constitués par cette agence et la commission d’accès aux données non identifiantes et à l’identité du donneur aux fins de permettre l’accès des enfants conçus à leurs origines, le projet de loi propose deux orientations distinctes correspondant à des scenarii présentés respectivement aux articles 3 et 3 bis :
L’article 3 du projet de loi énonce que l’accès à des données non identifiantes relatives à un tiers donneur (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations au don) et, si l’enfant le souhaite, à l’identité de ce tiers exige : le consentement exprès du tiers donneur à la communication de ces données et de son identité (…) recueilli au moment de son don . Le gouvernement a précisé que le consentement du tiers donneur au don emporte son consentement à la transmission de ses données non identifiantes et de son identité à la personne majeure conçue par assistance médicale à la procréation qui les demanderait à partir de sa majorité. La personne majeure peut soit demander uniquement l’accès aux données non identifiantes, soit l’accès à l’identité, soit les deux . Si cette option rédactionnelle devait être maintenue, la Commission demande que le fait, pour le donneur, de consentir à effectuer un don emporte consentement à donner accès à son identité soit clairement précisé dans le projet.
L’article 3 bis du projet de loi prévoit que l’accès aux données non identifiantes du donneur, à l’exception de celles qui permettraient manifestement son identification , est systématique dès lors que l’enfant, devenu majeur, en fait la demande. Le tiers donneur pourrait alors s’opposer au recueil des informations non identifiantes portant uniquement sur sa situation familiale et professionnelle, sur son pays de naissance et sur sa motivation concernant le don. L’enfant pourrait également (…) accéder à l’identité du tiers donneur, sous réserve du consentement exprès, au moment de la demande (…). Le gouvernement a par ailleurs précisé que le consentement au don emporte le consentement du tiers donneur à la transmission de ces données non identifiantes . La Commission relève que le choix de cette option rédactionnelle est susceptible de créer une différence de traitement entre les enfants pour lesquels le donneur a consenti à l’accès aux données identifiantes le concernant et les enfants pour lesquels le donneur n’aura pas donné son consentement.
La Commission indique que, bien qu’elle ne se prononce que sur les scenarii présentés dans le projet de loi dont elle est saisie, d’autres options plus protectrices des droits des personnes concernées auraient pu être envisagées, notamment en limitant la transmission des données concernant les donneurs à l’Agence de la biomédecine aux cas dans lesquels ils auraient consenti à ce que les enfants conçus y aient accès.
S’agissant des traitements de données dont la mise en œuvre est envisagée, la Commission note que trois catégories de traitements de données à caractère personnel interviennent dans le dispositif d’accès aux origines prévu par le projet :
les traitements mis en œuvre par chacun des CECOS, dont la finalité principale est la gestion des dons de gamètes et d’embryons dans le cadre de l’assistance médicale à la procréation. La transmission des données relatives aux donneurs et aux enfants conçus à l’Agence de la biomédecine constitue une finalité nouvelle et accessoire à ces traitements ;
le traitement mis en œuvre par l’Agence de la biomédecine, dont la finalité est la collecte et la conservation des données nécessaires à l’accès aux origines des enfants conçus ;
le traitement mis en œuvre par la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur, dont la finalité est la gestion des demandes d’accès aux origines.
Concernant la base légale à retenir pour les traitements de données à caractère personnel constitués et les formalités à accomplir :
Se fondant sur les précisions apportées par le gouvernement, la Commission prend acte que les articles 3 et 3 bis du projet de loi relatif à la bioéthique imposent la transmission des données des tiers donneurs par les CECOS à l’Agence de la biomédecine et à la commission d’accès aux données non identifiantes et à l’identité du donneur.
La Commission considère que les traitements constitués sont, suivant la rédaction actuelle du projet, par application des dispositions de l’article 6-1-c) du RGPD, nécessaires au respect d’une obligation légale, dans la mesure où les données seront transmises à l’Agence de la biomédecine dans tous les cas. Ce constat a pour conséquence pratique qu’un donneur qui refuserait que ses données soient transmises à l’Agence de la biomédecine, notamment car il ne souhaite pas que des données le concernant soient transmises à un enfant conçu, ne pourrait pas effectuer de don. Ainsi, la Commission attire l’attention du gouvernement sur l’interprétation qui pourrait être faite des articles 3 et 3 bis du projet et qui pourrait être différente de celle qui en est faite par le gouvernement, dans la mesure où il n’est pas expressément indiqué que le refus de transmettre des informations non identifiantes et identifiantes empêcherait la réalisation d’un don. La Commission demande donc que le projet de loi soit clarifié sur ce point.