AgentPublic/cnil huggingface dataset:
La délégation a constaté que les gardiens d'immeuble de X accèdent, à partir de leur profil, à des données relatives aux locataires. La nature et l'étendue des informations auxquelles chaque gardien a accès varient selon qu'elles concernent des locataires situés dans ou en dehors de son secteur géographique.
- S'agissant des locataires situés en dehors de son ressort, la délégation a constaté que le gardien dispose d'un accès à la liste de l'ensemble des locataires de X au moyen de la saisie d'un nom.
Lors d'une recherche effectuée à partir du nom [...], la délégation a pu constater que le gardien avait accès à une liste répertoriant tous les homonymes concernés comportant, pour chaque locataire, les nom, prénom, date de naissance, adresse, dates d'entrée dans les lieux et de sortie éventuelle.
La délégation a également constaté que le gardien ne pouvait pas consulter les informations figurant dans le compte du locataire dès lors qu'il se situait en dehors de son ressort.
- S'agissant des locataires situés dans son ressort géographique, la délégation a constaté que le gardien avait accès, à partir de l'onglet gestion locative , aux comptes des locataires comportant, en particulier, les données suivantes : leur situation familiale, leur profession, leur date de naissance, leur relevé d'identité bancaire, et le détail de leur compte locatif (échéance de loyers et prélèvements).
De même, au moyen du même onglet "gestion locative", le gardien accède à une liste de comptes de locataires faisant l'objet d'une exemption dans le règlement de leur loyer, qui mentionne également des motifs d'exemption. Apparaissent notamment les mentions : "lettre contentieuse" ou "prov. créances douteuses". 
La délégation a constaté qu'à partir de la consultation de la liste des locataires concernés par une exemption de loyers, et en particulier du motif "lettre contentieuse", le gardien accède au numéro du compte locataire, au nom, prénom, à la date de début et de fin de l'exemption et au motif de l'exemption.
Outre l'informatisation des loges, la délégation s'est également attachée à vérifier le traitement et le contenu des dossiers de locataires, lors d'une mission de contrôle effectuée dans les locaux de [...]. 
La délégation a été informée que lorsque la demande de logement est validée par la Commission d'attribution de X, le dossier est directement transmis par une correspondance interne de X au secteur de proximité dont le locataire dépend.
La délégation a pu prendre connaissance de plusieurs dossiers de locataires sous format papier. 
La délégation a été informée que les dossiers des locataires ayant quitté X étaient conservés un an dans le bureau des chargés de gestion locative avant d'être transmis au service des archives de X.
La délégation a cependant constaté la conservation d'un dossier d'un précédent locataire en date de l'année 1994 dans le dossier d'un locataire actuel, comprenant des données à caractère personnel et notamment les pièces suivantes : le congé donné à X par le précédent locataire, les échanges de correspondances avec X, un état des lieux, une attestation de responsabilité générale et une note de service relative à une plainte d'un autre précédent locataire en date de l'année 1982.
- S'agissant de la gestion des réclamations et des contentieux avec les locataires, la délégation a constaté que ces dernières étaient intégrées dans l'application [...] CONTENTIEUX du logiciel [...].
La délégation a été informée que les réclamations d'ordre technique sont d'abord traitées par le gardien. Par ailleurs, les réclamations liées à des troubles du voisinage recueillies par le gardien sont transmises au secteur de proximité pour traitement.
La délégation a été informée que les gardiens ont la possibilité d'avertir leur hiérarchie de tout contentieux avec un locataire, soit oralement auprès du responsable de secteur concerné, soit via leur messagerie électronique installée sur leur poste de travail pour les loges informatisées, soit en passant par l'application [...].
La délégation a pu constater, lors de la mission de contrôle réalisée le 27 octobre 2011 dans une loge de gardien située [...], que la gardienne de l'immeuble utilisait sa messagerie professionnelle pour communiquer à sa hiérarchie, la responsable du secteur de proximité, les demandes de travaux et réclamations.
Les zones commentaires et bloc-notes extraites de l'application [...] font apparaître la présence d'informations relatives à la santé des personnes ("séropositif", "cancer", "alzeimer"), la présence d'informations relatives aux infractions, ("de violence dans le travail notamment harcèlement sexuel", "vit ailleurs accusé de viol par Mme et a gagné le procès voir dossier" , "violence avec arme par destination de M. [A] le patron", "22 08 11 reçu M. remis dépôt plainte suite violence conjugal et éviction"), ainsi que des commentaires tels que "n'est pas de nationalité française", "alcoolique".
La délégation s'est également attachée à vérifier les mesures de sécurité mises en œuvre au sein de X.
Elle a constaté que les gardiens des immeubles appartenant à X accèdent à des données à caractère personnel traitées dans le cadre de la gestion locative de l'application [...].
La délégation a constaté que la gestion des traces sur l'application [...] est uniquement d'ordre technique, elle indique la résolution d'incidents, la recherche d'erreurs, la date et l'heure de connexion.
La délégation a été informée qu'il n'y avait pas de traces de la consultation des fiches des locataires. Il n'est pas possible d'identifier la personne qui accède à une fiche, ni de vérifier l'opération qui a pu être réalisée sur la fiche, que cette fiche ait été simplement lue ou amendée.
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978
Un manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre de traitements
X met en œuvre, par l'intermédiaire de l'application [...], un traitement de gestion des réclamations portant notamment sur des données relatives à des infractions, condamnations et mesures de sûreté relatives à ses locataires dans le cadre de ses missions de sécurité et de tranquillité des locaux.
Or, si un tel traitement est envisageable au regard de l'article 9 de la loi du 6 janvier 1978 modifiée, X étant une personne morale de droit privé gérant un service public agissant dans le cadre des ses attributions légales, c'est à la condition d'en obtenir l'autorisation préalable auprès de la Commission. Néanmoins, aucune demande d'autorisation n'a été déposée par X à ce sujet.
Les faits précités constituent un manquement aux obligations du chapitre IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoyant l'accomplissement de formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données à caractère personnel.
En vertu de l'article 226-16 du code pénal "Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 € d'amende".
Un manquement à l'obligation de veiller au caractère adéquat, pertinent et non excessif des données
Certains commentaires figurant dans l'application [...] apparaissent non pertinents et inadéquats au regard de la finalité de gestion locative. Les mentions subjectives telles que "comportement agressif", "tentative de suicide", "personne très difficile à vivre de tempérament agressif et violent très procédurier", "alcoolique", "n'est pas de nationalité française", "ancien SDF addiction boisson", "Mr. est violent", "violence conjugale" ne paraissent pas utiles à la mise en œuvre d'un tel traitement. 
Les faits précités constituent un manquement aux obligations découlant du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs". 
Un manquement à l'obligation de définir une durée de conservation des données
Bien que X ait indiqué à la délégation conserver pendant une durée d'une année les dossiers sous format papier des locataires ayant quitté X avant de les archiver, la délégation, en procédant par sondage, a constaté la présence du dossier datant de 1994 d'un précédent locataire comportant des données nominatives intégrées dans le dossier d'un locataire actuel.
Les faits précités constituent un manquement aux obligations découlant du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées". 
Il convient de relever que ces faits sont susceptibles de constituer l'infraction prévue à l'article 226-20 du code pénal qui punit de cinq ans d'emprisonnement et de 300 000 € d'amende, le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi.
Un manquement à l'interdiction de collecter ou de traiter des données à caractère personnel qui sont relatives à la santé des personnes
X enregistre des commentaires sur la santé des locataires et de leur entourage familial. S'il apparait légitime de connaitre des informations générales d'ordre médical afin notamment d'attribuer un logement plus adapté en cas de mobilité réduite, l'enregistrement détaillé des pathologies ou des traitements médicaux apparait contraire aux dispositions précitées. Les mentions telles que "séropositif", "cancer", "personne cardiaque", "sous chimiothérapie", "alzeimer aveugle", "maladie de parkinson", "souffrant d'une pathologie respiratoire et chronique", "dépression hôpital psychiatrique", "fils cancer Mme malade des poumons", "cancer des intestins opération du cerveau" ne peuvent légitimement apparaître dans un tel traitement. 
Les faits précités constituent un manquement à l'article 8 de la loi du 6 janvier 1978 modifiée, qui interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.
Un manquement à l'obligation d'assurer la sécurité des données
- Sur l'accès aux données à caractère personnel des locataires par des tiers non autorisés :
Selon la déclaration effectuée auprès de la Commission, le traitement [...] dont la finalité est la gestion locative s'adresse au personnel habilité dont devraient faire partie, selon X, les gardiens d'immeuble disposant d'une loge informatisée.
En l'espèce, la délégation a constaté que les gardiens ont accès, aux données des locataires relatives à leur situation familiale, à leur date de naissance, à leur profession, au détail de leur compte locatif (montant des loyers et charges, échéances et prélèvements) et à leur relevé d'identité bancaire.
Aux termes de l'accord collectif d'entreprise relatif aux gardiens de X en date du 20 novembre 2000, les activités principales des gardiens sont l'entretien du patrimoine, les relations avec les locataires et la surveillance technique et la maintenance. 
Il est également prévu, au titre de ses missions, que le gardien assure la gestion locative , à savoir : assurer et participer aux états des lieux d'entrée et de sortie des logements, collecter les titres de paiements, contribuer aux actions de recouvrement et collecter et diffuser des documents administratifs.
On doit relever que la gestion locative d'un immeuble ne peut qu'être accessoire à l'activité d'un gardien dont les fonctions sont définies par l'article L. 7211-2 du code du travail qui précise qu' "est considéré comme concierge, employé d'immeubles, femme ou homme de ménage d'immeuble à usage d'habitation, toute personne salariée par le propriétaire ou par le principal locataire et qui, logeant dans l'immeuble au titre d'accessoire au contrat de travail, est chargée d'en assurer la garde, la surveillance et l'entretien ou une partie de ces fonctions".
La fonction, accessoire, de gestion locative attribuée aux gardiens de X telle que prévue par l'accord collectif d'entreprise du 20 novembre 2000 doit donc être limitée à la collecte, pour transmission à X, de documents administratifs ou des paiements et à l'information des locataires en cas de retards de paiements.
En aucun cas, cette fonction ne saurait conférer aux gardiens la qualité de tiers autorisés aux données traitées par X dans le cadre de sa gestion locative et, ainsi, leur permettre d'accéder à des informations relatives à la vie privée des locataires telles que leur situation familiale, leur date de naissance, leur profession, le détail de leur compte locatif (montant des loyers et charges, échéances et prélèvements) et leur relevé d'identité bancaire.
- Sur la sécurité du traitement [...] :
La délégation a constaté que l'application [...] ne comporte pas de mesures de traçabilité des actions.
Il n'est dès lors pas possible d'identifier a posteriori un accès frauduleux aux données personnelles, ni d'en déterminer l'origine, alors même que les données relatives à la vie privée des locataires doivent rester confidentielles et ne doivent pas pouvoir être altérées.
Les faits précités constituent un manquement à l'article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".
Il convient de rappeler que l'article 226-17 du code pénal dispose également que : "Le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n°78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende".
En conséquence, la Présidente de la CNIL met en demeure X, situé [...], sous un délai de deux mois à compter de la notification de la présente délibération, de :
- procéder à une demande d'autorisation s'agissant du traitement de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ; excepté le cas dans lequel X est victime d'une infraction, limiter le traitement aux données strictement nécessaires pour assurer la sécurité et la tranquillité des locaux ; en tout état de cause, veiller à l'exactitude de ces données, notamment en mentionnant leur origine ;
- supprimer, et ne plus enregistrer dorénavant, de commentaires non adéquats, non pertinents et excessifs sur les locataires ;
- ne plus enregistrer d'informations détaillées sur la santé des locataires et de leur entourage familial ;
- procéder à l'archivage des données dont la conservation n'est pas justifiée, en particulier s'agissant des traitements manuels relatifs à la gestion locative des locataires n'occupant plus les lieux depuis plus d'un an ;
- prendre des mesures de sécurité pour remédier aux lacunes relevées par la délégation de la Commission et assurer la sécurité des traitements de données à caractère personnel mis en œuvre ; en particulier, ne plus transmettre à des tiers non autorisés, à savoir les gardiens d'immeuble, des données à caractère personnel qui ne doivent être traitées que par le personnel habilité de X dans le cadre de la gestion locative, et veiller à ce qu'un système de traçabilité soit mis en place sur l'application [...] ;
- justifier que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l'issue de ce délai, si X s'est conformé à la présente mise en demeure, la Présidente de la CNIL considérera que la procédure est close et lui adressera un courrier en ce sens. 
À l'inverse, si, au vu de l'ensemble des éléments qui auront été portés à sa connaissance, la Présidente constate que X ne s'est pas conformé à la présente mise en demeure, elle désignera un rapporteur qui pourra demander à la formation restreinte de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée. 
 
 
La Présidente,
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 17 janvier 2012 sous la présidence de Mme Isabelle FALQUE-P1ERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-Président délégué, et M. Jean-Paul AMOUDRY, Vice-Président ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78¬17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 70 ;
Vu la décision n° 2011-037 du 22 décembre 2011 mettant en demeure X ;
A adopté la délibération suivante :
Par décision du 22 décembre 2011, la Présidente de la Commission nationale de l'informatique et des libertés (CNIL) a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, mis en demeure X, sis [...], de faire cesser sous un délai de deux mois les manquements constatés à la loi Informatique et Libertés précitée.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL, a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 17 janvier 2012.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements relevés (mise en oeuvre d'un traitement automatisé comportant notamment des données à caractère personnel relatives à des infractions, condamnations et mesures de sécurité sans autorisation préalable de la CNIL, enregistrement de données à caractère personnel relatives à la santé des personnes, de commentaires non pertinents et inadéquats au regard de la finalité du traitement, durée de conservation des données excessive, défaut de sécurité des données), le statut et la taille de l'organisme en cause ainsi que le nombre de locataires concernés.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2011-037 de la Présidente de la CN1L mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
 
La Présidente,
Isabelle FALQUE-PIERROTIN
La Présidente
 
[...]
 
Références à rappeler dans toute correspondance :CTX 2011-075 - CTRL n°2011-261CSaisines n°11004323 et 11026304
Paris, le 19 juillet 2012,
 
Monsieur le directeur général,
Je fais suite à la décision n° 2011-037 du 22 décembre 2011 vous mettant en demeure et aux échanges qui ont suivi.
Dans vos courriers de réponse, parvenus à notre Commission les 27 mars et 25 mai 2012, vous avez précisé avoir adopté un certain nombre de mesures afin de vous conformer à cette mise en demeure. 
En premier lieu, je constate que vous avez accompli les formalités à la mise en œuvre de vos traitements par le dépôt des demandes d'autorisation n°1578186 et n°1585283. Je vous indique que ces demandes d'autorisation sont en cours d'instruction par le service des affaires juridiques et feront l'objet de réponses distinctes, adressées dans les prochaines semaines. 
En deuxième lieu, je note que vous avez supprimé la majorité des zones commentaires ou blocs notes présents dans votre application logicielle et mis en œuvre, tant pour les commentaires restant que pour ceux saisis à l'avenir, une modération automatique et manuelle. Ces mesures sont satisfaisantes. Je vous signale toutefois qu'elles vont au-delà de ce qui était exigé dans la mise en demeure qui ne visait que la purge des commentaires excessifs et des données de santé et non la suppression de l'intégralité des observations saisies.
En troisième lieu, je constate que vous avez limité l'accès des gardiens aux applications relatives à la gestion technique des immeubles dont ils ont la charge. Je vous précise que votre conformité est subordonnée au maintien de cet accès restreint et vous rappelle votre engagement de soumettre à notre Commission toute éventuelle modification de cette habilitation limitée. Toutefois, vous avez attiré l'attention de notre Commission sur l'évolution de ce métier et la nécessité pour les gardiens de disposer d'informations plus détaillées sur les locataires afin de mener à bien leurs missions. La formation plénière de notre Commission sera amenée, dans les prochains mois, à examiner cette problématique.
En quatrième lieu, j'observe que des mesures permettant d'assurer la traçabilité des données sensibles (en consultation comme en écriture) sont en cours de déploiement conformément au calendrier que vous avez communiqué.
Enfin, je note que vous mettez en œuvre des modalités d'archivage papier et électronique satisfaisantes au regard des prescriptions de la loi du 6 janvier 1978 modifiée.
Au regard de ces éléments, j'ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2011-261C et des saisines n°11004323 et 11026304.
Je vous précise que la clôture de la mise en demeure ne préjuge en aucune manière ni des suites qui seront réservées aux demandes d'autorisation en cours d'instruction relevant de la compétence de la formation plénière, ni des vérifications ultérieures qui pourraient être effectuées par notre Commission. 
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. 
A cet égard, je me félicite de la désignation, au sein de votre organisme, d'un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. 
Je vous précise que vous disposez d'un délai de deux mois à compter de la notification du présent courrier pour exercer un éventuel recours devant le Conseil d'Etat à son encontre.
Le service des sanctions de notre Commission reste à votre disposition pour tout complément d'information. 
Je vous prie, Monsieur le directeur général, d'agréer l'expression de mes salutations distinguées. 
 
Isabelle FALQUE-PIERROTIN