AgentPublic/cnil huggingface dataset:
L'accès des officiers de police judiciaire au système d'information SEQUOIA, dans le cadre d'une une enquête ou une information relative à un crime ou un délit, est réalisé quant à lui par l'intermédiaire d'un code d'accès personnels et sécurisé. La commission tient par ailleurs à appeler l'attention du ministère de l'intérieur, en charge de ces habilitations, de la vigilance avec laquelle ses personnels devront être habilités.Les accès nécessitent une clé d'authentification nominative et un code PIN délivrés par l'autorité de certification CertEurope. Une modification de cette gestion des accès est prévue au premier semestre 2015 ; la connexion au portail SEQUOIA s'effectuera alors avec la carte agent  justice  et se basera sur l'annuaire LDAP du ministère.Les enregistrements audio conservés sont notamment chiffrés.Le dispositif biométrique de reconnaissance vocale est activé sur demande pour réaliser une authentification. Il est composé d'un serveur biométrique d'empreinte vocale et d'un serveur vocal interactif permettant un dialogue direct avec la personne placée. Le système est installé sur une infrastructure dédiée et sécurisée, hébergée chez le prestataire.L'ensemble des informations relatives au dispositif biométrique est stocké dans un espace de stockage numérique sécurisé (chiffrement et intégrité), hébergé sur les serveurs de l'administration pénitentiaire. La liste des personnes ayant accès à cet espace de stockage sécurisé est limitée au besoin d'en connaître,
ces personnes étant dûment habilitées et recensées par la direction du projet PSE/M.Le module de traçabilité dans SEQUOIA liste et garde un historique de toutes les traces liées aux opérations techniques et toutes les informations métiers. Les articles R. 57-30-9 et R. 61-19 du CPP tels que prévus par le projet de décret prévoient ainsi que des mesures de traçabilité seront mises en œuvre. Le serveur de log est confiné dans un espace sécurisé et l'accès aux traces fait également l'objet d'une traçabilité. Les données hébergées dans la base SEQUOIA sont conservées par le prestataire trois mois à compter de la fin de l'assignation. La commission estime que ces mesures de traçabilité sont satisfaisantes.La durée de conservation des traces est paramétrée par défaut à trois ans à partir de la génération de la trace. Cependant, cette dernière est conservée dans la limite de la période spécifique définie comme durée de conservation, générant ainsi la purge automatique.Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle néanmoins la nécessité de mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.Sur le traitement relatif au placement sous surveillance électronique mobile (PSEM) :Les modifications des modalités de mise en œuvre du traitement relatif au placement sous surveillance électronique mobile,
prévues aux articles R. 61-12 à R. 61-20 du CPP, appellent en outre les observations suivantes de la commission.Sur les finalités du traitement :Le projet de décret vise à assigner au traitement concerné une finalité statistique (article R. 61-12-5° du CPP tel que prévu par le projet de décret). Le ministère a en outre procédé à des ajustements rédactionnels concernant la finalité mentionnée au 1o dudit article, relative à l'alerte de l'administration pénitentiaire en cas de déclenchement d'une alarme. L'ensemble de ces modifications n'appelle pas d'observations particulières.Par ailleurs, le troisième alinéa de l'article R. 61-12 du CPP tel que prévu par le projet de décret tient compte des nouvelles hypothèses dans lesquelles le PSEM peut être mis en place, c'est-à-dire dans le cadre d'une assignation à résidence (ARSEM) et dans le cadre d'une suspension de l'exécution d'une condamnation. Ces modifications n'appellent pas d'observation particulière de la part de la commission.Enfin, il est ajouté un nouvel article R. 61-12-1 au CPP, relatif au placement sous surveillance électronique mis en oeuvre sur le fondement de l'article L. 571-3 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA). En application de cet article, l'autorité administrative peut ordonner le placement sous surveillance électronique mobile de l'étranger astreint à résider dans les lieux qui lui sont fixés en application des articles L. 523-3, L. 523-4 ou L. 541-3 dudit code s'il a
été condamné à une peine d'interdiction du territoire pour des actes de terrorisme prévus ou si une mesure d'expulsion a été prononcée à son encontre pour un comportement lié à des activités à caractère terroriste. Les modalités de mise en oeuvre de cette mesure de placement sous surveillance électronique sont prévues aux articles R. 571-1 à R. 571-7 du CESEDA. La commission prend acte que la fonctionnalité permettant la gestion de ces mesures sera logiquement séparée des fonctionnalités permettant la gestion des autres mesures de placement sous surveillance électronique fixe et mobile.Sur la nature des données traitées :L'article R. 61-14 du CPP, relatif aux données collectées, est modifié afin de prendre en compte la possibilité, pour l'autorité administrative et non plus seulement l'autorité judiciaire, de prononcer une mesure de PSEM (6° et 7° de l'article R. 61-14). Le 11° du même article est également modifié afin de prévoir que le relevé à intervalles réguliers des positions concerne également le dispositif prévu par le CESEDA.Ces modifications visant à prendre en compte des évolutions des conditions de prononcé des mesures de placement sous surveillance électronique mobile, elles n'appellent pas d'observation particulière de la part de la commission.Sur la durée de conservation des données :L'article R. 61-15 du CPP est modifié afin de prévoir que les données à caractère personnel enregistrées au titre du placement sous surveillance électronique mobile prononcé en
application du CESEDA sont conservées pendant la durée de la mesure et pendant un délai de trois mois après que la surveillance électronique mobile a cessé. La commission estime que cette durée de conservation est conforme aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.Sur les destinataires des données :L'article R. 61-16 du CPP, relatif aux personnels habilités à  enregistrer, conserver, modifier ou traiter les informations enregistrées dans le traitement , est modifié afin de prendre en compte la disparition de la DAGE (direction de l'administration générale et de l'équipement) au profit du secrétariat général (SG), qui a repris l'ensemble de ses activités. Cet ajustement rédactionnel ne soulève dès lors aucune difficulté.L'article R. 61-17 du CPP relatif aux personnes ou catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, peuvent directement accéder aux informations enregistrées dans le traitement est modifié de manière plus substantielle.En premier lieu, les mots :  les magistrats et fonctionnaires habilités des juridictions de l'application des peines et du parquet ainsi que le juge d'instruction  sont remplacés par les mots :  les autorités judiciaires ainsi que les greffes chargés de les assister, individuellement désignés et spécialement habilités à cet effet par les chefs de juridiction ou de cour . La commission appelle l'attention du ministère de la Justice sur la vigilance avec laquelle les
habilitations doivent être délivrées et gérées.En second lieu, le ministère entend compléter le 3° de ce même article afin de prévoir qu'au-delà des cadres déjà existants permettant aux OPJ de consulter le traitement (information concernant un crime ou un délit, enquête ou information pour recherche des causes d'une mort ou d'une blessure suspectes, disparition suspecte ou inquiétante), cette consultation pourrait désormais intervenir dans le cadre de recherche de personnes en fuite.La commission estime que ces accès ne sauraient intervenir que sous réserve de la légalité de la finalité mentionnée au 3° de l'article R. 61-12 du CPP. Dans le cas contraire, elle rappelle que les officiers de police judiciaire, dans le cadre de recherches mises en œuvre au titre des articles 74, 74-1 et 74-2 du CPP, ne seraient légitimes à connaître des données enregistrées dans le traitement que dans le cadre d'une réquisition judiciaire leur permettant de recevoir communication de ces données, sans accès direct au traitement.Sur le traitement relatif au placement sous surveillance électronique fixe (PSE) :Les modifications spécifiquement prévues concernant les modalités de mise en œuvre du traitement relatif au placement sous surveillance électronique fixe appellent les observations suivantes de la commission.Sur la finalité du traitement :L'article R. 57-30-1 du CPP tel que prévu par le projet de décret précise les cadres dans lesquels une mesure de PSE peut être prononcée ainsi que la
finalité générale poursuivie par le traitement, qui est  d'assurer le contrôle à distance, par un centre de surveillance, ainsi que le suivi des personnes placées sous surveillance électronique .D'une part, cet article est modifié afin d'actualiser les conditions du prononcé de ces mesures. Depuis le 1er janvier 2015, le PSE peut en effet être prononcé à trois titres : au titre de l'assignation à résidence (ARSE), d'un aménagement de peine ou d'une libération sous contrainte.D'autre part, les finalités prévues par le projet de décret, énumérées aux 1°, 2°, 3° et 5° de l'article R. 57-30-1 du code précité, sont proches de celles prévues par l'arrêté du 24 juillet 2003 susvisé. L'enregistrement et le suivi des décisions, le contrôle de la présence de la personne placée au lieu d'assignation ainsi que l'alerte de l'administration sont en effet des finalités prévues par ledit arrêté, même si le projet de décret les détaille davantage et procède à quelques ajustements rédactionnels.La commission prend acte de ces modifications. De même, elle prend acte que l'assignation à résidence administrative avec placement sous surveillance électronique fixe telle que prévue par le CESEDA ne sera pas mise en oeuvre par le ministère de la justice et n'entre dès lors pas dans le périmètre du traitement envisagé.Sur la nature des données traitées :Le projet d'article R. 57-30-2 du CPP tel que prévu par le projet de décret énumère les données collectées. Les données sont plus détaillées que dans
l'arrêté du 24 juillet 2003 précité et de nouvelles catégories de données sont ajoutées.Ces modifications concernent plus précisément l'ajout de données relatives à la situation professionnelle de la personne assignée, à la décision de placement et aux décisions modificatives du placement (désignation de l'autorité ayant pris la décision, nature et contenu de la décision) et à la décision de condamnation (désignation de la juridiction, nature et contenu de la décision, infraction commise).La commission estime que ces nouvelles données sont adéquates, pertinentes et non excessives au regard des finalités assignées au traitement, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.Sur les destinataires des données :L'article 5 de l'arrêté du 24 juillet 2003 susvisé prévoit que  les destinataires des informations enregistrées sont les magistrats du tribunal de grande instance, le chef de l'établissement pénitentiaire, le directeur du service pénitentiaire d'insertion et de probation et les agents dûment habilités du service chargé de la surveillance électronique .Les articles R. 57-30-5 et R. 57-30-6 du CPP tels que prévus par le projet de décret listent les personnels respectivement habilités à accéder directement aux données enregistrées dans le traitement et à recevoir communication de certaines de ces données.S'agissant des personnels habilités à accéder directement aux données, la commission estime que les trois premières catégories ne posent pas de
difficulté au regard de leurs missions (les personnels de la direction de l'administration pénitentiaire, les autorités judiciaires et les agents du greffe chargés de les assister, ainsi que les personnels habilités de la protection judiciaire de la jeunesse). S'agissant des autorités judiciaires et des greffes, la commission relève toutefois que cette modification semble avoir pour conséquence d'étendre à un grand nombre de personnels l'accès direct au traitement. Dès lors, elle appelle l'attention du ministère de la justice sur la nécessité de gérer avec la plus grande vigilance les habilitations des personnels concernés, afin de limiter au strict nécessaire les personnes qui pourront avoir directement accès aux données.En revanche, et conformément aux réserves formulées précédemment sur la nouvelle finalité mentionnée au 4° de l'article R. 57-30-1 du CPP tel que prévu par le projet de décret, la commission estime que les OPJ ne devraient pas apparaître au titre des personnels habilités à accéder directement aux données enregistrées dans le traitement, dans la mesure où ils ne participent pas directement à la finalité de suivi de mesures d'application des peines ou de mesures de sûreté actuellement poursuivie par le traitement PSE.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, M. Philippe GOSSELIN et M. Maurice RONAI membres ; 
 
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
 
Vu la plainte n° 15003218 reçue le 3 février 2015 ; 
 
Vu la décision n° 2015-082C du 4 mars 2015 de la Présidente de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès de la société X ; 
 
Vu le procès-verbal de contrôle sur place n° 2015-082 du 15 avril 2015 ; 
 
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 26 novembre 2015 ; 
 
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, adressé à la société X le 10 décembre 2015 ;
Vu la demande de huis clos reçue le 28 décembre 2015 à laquelle il a été fait droit par lettre du 8 janvier 2016 ; 
 
Vu les observations écrites versées par la société X le 13 janvier 2016, ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
 
Vu les autres pièces du dossier. 
 
Ayant entendu, lors de la séance de la formation restreinte du 21 janvier 2016 : 
- Monsieur François PELLEGRINI, commissaire, en son rapport ;
- Monsieur X ;
- Monsieur Y ;
- Madame Z ;
 
Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation. 
 
Les représentants de la société X ayant eu la parole en dernier ; 
Après en avoir délibéré, a adopté la décision suivante : 
Faits et procédure
 
La société X (ci-après la société) est spécialisée dans les prestations de télécommunications par fibre optique. Elle compte environ un million d’abonnés et emploie, via ses établissements secondaires, près de 1.500 salariés. 
 
La société a présenté en 2014 un chiffre d’affaires d’environ 990 millions d’euros pour un résultat net de près de 122 millions d’euros. 
 
Le 3 février 2015, la Commission Nationale de l’Informatique et des Libertés (ci-après la CNIL ou la Commission) a été saisie d’une plainte à l’encontre de la société émanant de la Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (ci-après la Hadopi).
Cette dernière, chargée par le législateur de lutter contre les échanges illicites d’œuvres protégées par le droit d’auteur sur Internet, interroge régulièrement les fournisseurs d’accès à Internet afin d’identifier les titulaires d’adresses IP à partir desquelles des faits de mise à disposition d’œuvres protégées sont constatés. 
 
Dans le cadre de cette procédure, la société X lui a communiqué à 1531 reprises, entre le 26 janvier et le 15 avril 2013, l’identité d’un même abonné (ci-après l’Abonné). 
 
Sur la base de ces éléments, la Hadopi a déposé plainte à l’encontre de cet Abonné sur le fondement du délit de contrefaçon. 
 
Or, l’enquête préliminaire diligentée par le parquet territorialement compétent a révélé que l’Abonné avait été identifié par erreur par la société en raison d’un dysfonctionnement informatique récurrent. 
 
Le 15 avril 2015, en application de la décision 2015-082C du 4 mars 2015 de la Présidente de la CNIL, une délégation de la CNIL a procédé à un contrôle auprès de la société. Le 12 mai 2015 et le 29 septembre 2015, la délégation de contrôle a obtenu de la société et de la Hadopi l’envoi d’informations et de pièces complémentaires. 
 
Les éléments recueillis ont permis d’établir que la société a développé une application informatique lui permettant de traiter de manière automatisée les demandes relatives à l’identification des adresses IP provenant de la Hadopi et des services de police ou de gendarmerie.
Cet outil permettait d’associer les adresses IP transmises par les autorités administratives ou judiciaires aux adresses MAC - adresse physique d’une carte réseau permettant d’identifier de façon unique un équipement sur un réseau local ( Media Access Control ) - des abonnés de la société afin de déterminer l’identité de la personne à laquelle était affecté l’équipement à la date demandée. 
 
Toutefois, lorsque l’application ne parvenait pas à associer une adresse IP à une adresse MAC, elle ne générait pas de message d’erreur mais renvoyait, par défaut, vers des adresses MAC composée uniquement d’une suite de zéro (00:00:00:00:00:00). 
 
Or, la société a enregistré sous cette valeur les adresses MAC correspondant aux équipements de plusieurs abonnés. 
 
C’est ainsi que l’Abonné s’est vu attribuer, à 1531 reprises, les adresses IP non identifiées par l’application informatique et a été mis en cause tant par la Hadopi dans le cadre de son dispositif de réponse graduée que par des services de police et de gendarmerie dans des enquêtes pénales. 
 
La société a en effet précisé avoir à 7 reprises, entre le 28 janvier et le 11 février 2014, transmis par erreur l’identité de l’Abonné à des services de police et de gendarmerie en réponse à des réquisitions judiciaires. 
 
Elle a également indiqué avoir corrigé ce dysfonctionnement découvert à l’occasion d’une demande d’information adressée par un service de police le 26 septembre 2014.
Au vu des constats opérés et des pièces communiquées révélant des défaillances sur l’exactitude des données à caractère personnel des abonnés de la société, la Présidente de la Commission a décidé, le 26 novembre 2015 et sur le fondement de l’article 46 de la loi n°78-17 du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ), d’engager une procédure de sanction en désignant M. François PELLEGRINI en qualité de rapporteur. 
 
A l’issue de son instruction, celui-ci a notifié à la société, le 10 décembre 2015, un rapport détaillant le manquement à la loi Informatique et Libertés qu’il estimait constitué et sollicitant le prononcé d’un avertissement public. 
 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 21 janvier 2016 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites. 
 
Après avoir obtenu que la séance de la formation restreinte se déroule à huis clos, la société a produit, le 13 janvier 2016, des observations écrites sur le rapport, réitérées oralement lors de la séance du 21 janvier 2016. 
 
Motifs de la décision
 
Sur l’existence d’un manquement à l’obligation de veiller à l’exactitude des données à caractère personnel
Aux termes du rapport de M. François PELLEGRINI, il est reproché à la société d’avoir manqué à son obligation de veiller à l’exactitude des données à caractère personnel de ses abonnés en violation de l’article 6-4° de la loi n° 78-17 du 6 janvier 1978 lequel dispose qu’un traitement ne peut porter que sur des données qui sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées. 
 
Dans ses écritures, la société X reconnaît le dysfonctionnement intervenu sur son application informatique mais conteste avoir manqué à son obligation légale. Elle soutient avoir respecté la lettre de l’article 6-4°, lequel consiste en une obligation de moyen et non de résultat, en ayant corrigé le dysfonctionnement dès que celui-ci a été porté à sa connaissance.
Sur ce point, la formation restreinte rappelle que l’article 6-4° précité consiste sans ambiguïté en une obligation de résultat en ce qu’il impose au responsable de traitement de garantir l’exactitude des données à caractère personnel qu’il traite en prenant toutes les mesures utiles afin de rectifier ou d’effacer les données inexactes. Le droit pour les personnes concernées d’obtenir du responsable de traitement la rectification ou l’effacement de données inexactes, énoncé à l’article 40 de la loi Informatique et Libertés, est le corollaire de cette obligation. Il s’agit ainsi pour ce dernier d’atteindre un objectif déterminé et non de déployer ses meilleurs efforts afin d’y parvenir. 
 
En tout état de cause, si la société a réagi promptement lorsque le dysfonctionnement lui a été signalé, la formation restreinte relève que celui-ci a persisté 1 an et 9 mois et n’a été identifié qu’à la faveur de l’insistance d’un service de police chargé d’une procédure pénale ouverte à l’encontre de l’Abonné. 
 
La société fait également valoir que le volume considérable de demandes à traiter provenant de la Hadopi l’a contraint, sans aide financière de l’Etat, à automatiser sa procédure d’identification des adresses IP ce qui rendait les anomalies difficilement détectables.
La formation restreinte considère que cette argumentation n’est pas de nature à dispenser la société d’opérer les vérifications élémentaires sur l’application informatique qu’elle met en œuvre et dont elle est responsable afin de répondre à ses obligations légales en raison, notamment, des conséquences graves que peuvent avoir des erreurs d’identification sur ses abonnés. 
 
En l’espèce, l’article L. 34-1 du code des postes et des communications électroniques impose à la société, en sa qualité de fournisseur d’accès à Internet, de conserver les données techniques de ses clients à des fins de mise à disposition de l’autorité judiciaire ou de la Hadopi. 
 
Or, il ressort du dossier que la société a, d’une part, affecté à différents abonnés des adresses MAC composées d’une suite de zéro et, d’autre part, attribué par défaut les recherches infructueuses de titulaires d’adresses IP à l’un de ces abonnés. 
 
Il n’est pas contesté que le cumul de ces défaillances a conduit à identifier à tort l’Abonné comme étant titulaire de nombreuses adresses IP à partir desquelles des faits délictuels auraient été commis, en communiquant par erreur son identité à la Hadopi et aux services de police et de gendarmerie. 
 
La formation restreinte considère que la société a ainsi manqué à son obligation de veiller à l’exactitude des données à caractère personnel de ses abonnés. 
 
Dès lors, le manquement à l’article 6-4° précité est caractérisé. 
 
Sur la sanction et la publicité