AgentPublic/cnil huggingface dataset:
En outre, au regard des manquements constitués, de leur persistance durant 15 mois, malgré les nombreuses diligences effectuées à son égard par les services de la CNIL, la formation restreinte décide de rendre publique sa décision. Elle estime nécessaire de sensibiliser les responsables de traitement aux droits et obligations issus de la loi Informatique et Libertés , en particulier, à l’importance de répondre aux demandes de la Présidente de la Commission et de mettre effectivement en œuvre les mesures requises.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 10.000 (dix mille) euros ;
rendre publique sa décision, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
Le bureau de la Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
 
Vu le code de la sécurité intérieure, notamment son article L.253-3 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
 
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations ;
 
Décide :
 
Article 1er : Les agents de la Commission nationale de l’informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l’article 44 de la loi du 6 janvier 1978 modifiée et à l’article L. 253-3 du code de la sécurité intérieure :
 
Mme Maryline ABIVEN, chef du service du droit d’accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; 
Mme Audrey BACQUIE, assistante au service des sanctions à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Brice BASTIÉ, juriste au service des affaires économiques à la direction de la conformité ;
M. Franck BAUDOT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
Mme Nacéra BEKHAT, juriste au service de la santé à la direction de la conformité ;
Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Solenn BRUNET, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l’innovation ;
Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas CHRISTINE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Valentyne CROSNIER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Thomas DAUTIEU, directeur adjoint de la conformité ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l’innovation ;
M. Eric DELISLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d’information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Corentin DUPOUEY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; 
M. Hugo DUSSERT, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Marie FERTE, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
M. Emile GABRIE, conseiller auprès de la Présidente et du secrétaire général ;
Mme Malika, Mahalia GALIÉ-BLANZÉ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jérôme GORIN, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Matthieu GRALL, chef du service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Estelle HARY, designer au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
M. Armand HESLOT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Amandine JAMBERT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Sabrina LALAOUI, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Névine Lahlou, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice de LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Bernard LAUNOIS, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Gwendal LE GRAND, directeur des technologies et de l’innovation ;
M. Pierre LEPHAY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jean LESSI, secrétaire général ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, adjoint au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice de la conformité ;
M. Bao-Khanh NGUYEN TRUNG, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Adélaïde PATERNOGA, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Astrid PEYRARD, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Délia RAHAL-LOFSKOG, juriste au service des affaires européennes et internationales ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
Mme Albane RICHET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
M. Valentin ROGER, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Guilda ROSTAMA, juriste au service des affaires économiques à la direction de la conformité ;
M. David RUIZ, juriste au service des affaires économiques à la direction de la conformité ;
Mme Isabelle SANSOT, juriste au service des affaires économiques à la direction de la conformité ;
Mme Katty SAINT-GELAIS, chargée du développement des outils - responsable des BCR au service des outils de la conformité à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service des affaires économiques à la direction de la conformité ;
Mme Emilie SERUGA-CAU, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Adeline VALERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Félicien VALLET, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Benjamin VIALLE, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
Mme Albine VINCENT, cheffe du service des délégués à la protection des données à la direction de la conformité ;
M. Christophe VIVENT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Clémentine VOISARD, chargée de mission auprès du service des relations avec les publics ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche ;
 
Article 2 : La délibération n° 2018-143 du 19 avril 2018 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
 
Article 3 : Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans.
 
Article 4 : La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
 
 
La présidente,
 
 
 
Isabelle FALQUE-PIERROTIN
Délibération de la formation restreinte n° SAN-2018-010 du 6 septembre 2018 prononçant une sanction pécuniaire à l’encontre de l’association X
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ , Président, M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et Monsieur Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2017-265C du 27 novembre 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous traitements accessibles depuis le domaine […] :
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 24 mai 2018 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à l’association X le 5 juin 2018 ;
Vu les observations écrites de l’association X reçues le 6 juillet 2018, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 12 juillet 2018 :
M. François PELLEGRINI, Commissaire, en son rapport ;
En qualité de représentants de l’association X:
[…] ;
[…] ;
En qualité de conseil de l’association X:
[…] ;
Les représentants de l’association X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
L’association X (ci-après l’association ) est une association créée en vertu de la loi du 1er juillet 1901, reconnue d’utilité publique, dont l’objectif est de contribuer au développement de la langue française en proposant des cours de français. Son chiffre d’affaires pour l’année 2017 est de 8 871 905 euros.
Le 26 novembre 2017, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été informée de l’existence d’un défaut de sécurité sur le sous-domaine […] faisant partie du site web […] exploité par l’association pour les besoins de son activité. Il était fait état de ce que ce défaut de sécurité permettait d’accéder à des documents contenant des données à caractère personnel à partir d’adresses URL du type […] , où X représente un nombre entier.
Le 4 décembre 2017, en application de la décision n° 2017-265C du 27 novembre 2017 de la Présidente de la Commission, une délégation de la CNIL a procédé à des constatations en ligne sur le domaine […] .
Au cours du contrôle, la délégation a constaté que la saisie de plusieurs adresses URL du type précité permettait de télécharger des documents contenant des données à caractère personnel tels que des factures, des certificats d’inscription à un stage ou encore des récapitulatifs des cours suivis. La délégation a ainsi été en mesure, par simple incrémentation de la valeur de X , de télécharger 15 611 documents qui contenaient tous au moins un nom et un prénom et qui pour certains, contenaient également une adresse postale et une nationalité.
Le jour même, la délégation a pris contact avec l’association par téléphone et par courriel afin de l’informer de l’existence de cette violation de données et l’a invitée à prendre les mesures nécessaires afin d’y remédier. Le 6 décembre 2017, l’association a indiqué par courriel à la délégation qu’elle allait procéder au plus tôt à la mise en place d’un correctif empêchant cette fuite de données. Le procès-verbal de constat n°2017-265/1 a été notifié à l’association le 14 décembre 2017.
Le 5 février 2018, la délégation de la CNIL a procédé à une mission de contrôle dans les locaux de l’association. La délégation a constaté à cette occasion que les documents qu’elle avait téléchargés au cours du contrôle en ligne du 4 décembre 2017 étaient toujours accessibles à partir des mêmes adresses URL et que 413 144 documents étaient accessibles.
L’association a expliqué que le sous-domaine […] avait été réalisé par son sous-traitant, que n’étant pas satisfaite de la dernière version livrée, elle avait décidé de dénoncer les contrats passés avec celui-ci et qu’elle avait repris l’administration et la maintenance du site en octobre 2017. L’association a expliqué qu’en raison du litige qui l’oppose à son sous-traitant, elle avait fait constater l’existence de la violation de données par un huissier de justice le 20 décembre 2017 et qu’à cette occasion, un correctif avait été mis en place. Au jour du contrôle sur place, l’association n’avait pas encore reçu le procès-verbal de constat établi par l’huissier de justice.
Par ailleurs, l’association a indiqué à la délégation qu’un courrier électronique l’informant de l’existence d’une vulnérabilité sur le sous-domaine lui avait été adressé le 20 juillet 2017 mais qu’elle n’avait pas réussi à contacter son expéditeur.
Le 23 février 2018, un second contrôle en ligne effectué par la délégation de la CNIL a fait apparaitre que les documents pouvaient toujours être téléchargés. L’association en a été informée le jour même par courrier électronique. Le procès-verbal de constat n°2017-265/3 a été notifié à l’association le 28 février 2018. Le 2 mars 2018, l’association a indiqué que des correctifs mettant fin à la violation de données avaient été mis en place.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 24 mai 2018, sur le fondement de l’article 46 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ).
A l’issue de son instruction, le rapporteur a notifié à l’association X le 5 juin 2018 un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce et proposait à la formation restreinte de prononcer une sanction pécuniaire de quarante mille (40.000) euros qui serait rendue publique.
Ce rapport était accompagné d’une convocation pour la séance de la formation restreinte du 12 juillet 2018 et invitait l’association à produire des observations en réponse dans un délai d’un mois.
Le 6 juillet 2018, l’association a produit des observations écrites en réponse au rapport, réitérées oralement lors de la séance de la formation restreinte du 12 juillet suivant.
Motifs de la décision
Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données.
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si l’association X a manqué à l’obligation de mettre en œuvre des moyens propres à assurer la sécurité des données à caractères personnel contenues dans son système d’information et en particulier, celles des utilisateurs du sous-domaine […] afin notamment que ces données ne soient pas accessibles à des tiers non autorisés.
En défense, l’association rappelle que c’est son sous-traitant qui, entre septembre 2012 et octobre 2017 était en charge de la conception du sous-domaine à l’origine de l’incident et qu’elle n’a commencé à s’approprier cet outil qu’en octobre 2017, date à laquelle elle a mis fin au contrat passé avec son sous-traitant. Elle affirme également qu’aucun utilisateur n’a exploité la vulnérabilité contenue dans les adresses URL en question et qu’en tout état de cause, son site internet ne présente aucun intérêt pour un attaquant.