AgentPublic/cnil huggingface dataset:
La formation restreinte décide de ne pas donner droit à cet argument. Les dispositions précitées n'imposent en effet aucunement aux contrôleurs de la CNIL d'adresser au Procureur de la République territorialement compétent d'autres éléments que la date, l'heure, le lieu et l'objet du contrôle (article 61 du décret n°2005-1309 du 20 octobre 2005), à l'exclusion, par conséquent, de l'identité de l'organisme contrôlé. Cette précision s'avère en effet inutile, dès lors qu'elle ne conditionne pas l'éventuelle intervention du juge lors du contrôle de la CNIL, et que l'identification du responsable de traitement peut précisément n'être réalisée qu'à la suite de la tenue de celui-ci. 
- La société affirme, en second lieu, que l'information du Procureur n'a pas été faite dans le délai requis par l'article 61 du décret susvisé, lequel prévoit que le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place.
En l'espèce, il est établi que l'information du Procureur a bien été effectuée la veille de la tenue du contrôle. En tout état de cause, la formation restreinte estime que l'éventuel vice de procédure résultant d'un défaut d'information du Procureur de la République dans le délai requis ne serait pas de nature à affecter la légalité du contrôle opéré, lequel était motivé par l'urgence et la gravité des faits. En effet, la société n'aurait subi aucun préjudice du fait de ce défaut d'information du Procureur dans les délais, dès lors qu'elle était par ailleurs été explicitement informée de son droit de s'opposer au contrôle. 
- La société soutient enfin, en troisième lieu, que le procès-verbal de contrôle ne lui aurait pas été notifié conformément à l'article 65 du décret susvisé, qui prévoit que lorsque la visite a lieu avec l'autorisation et sous le contrôle du juge en application du II de l'article 44 de la loi du 6 janvier 1978 susvisée, copie du procès-verbal de la visite lui est adressée par le président de la commission.
Sur ce point, la formation restreinte constate que les procès-verbaux des deux contrôles diligentés le 29 décembre 2011 ont été signés par les responsables des lieux dès leur rédaction achevée, sur les lieux mêmes des opérations de contrôle effectuées, et qu'une copie leur en a été remise aussitôt. Dans ces conditions, il était inutile de procéder à la notification ultérieure des mêmes documents par lettre recommandée avec accusé de réception. C'est donc en vain que la société tente d'exciper de ce défaut de notification une cause de nullité de la procédure. 
- La formation restreinte considère, dans ces conditions, que les deux contrôles diligentés en l'espèce ne sont entachés d'aucune irrégularité, et que la société n'est pas fondée à arguer de la nullité de la procédure. 
2. Sur le manquement à l'obligation d'assurer la sécurité et la confidentialité des données
Aux termes de l'article 34 de la loi du 6 janvier 1978 modifiée, le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Il appartient à la formation restreinte de décider si la société a enfreint ces dispositions dans cette affaire.
- Au préalable, la formation restreinte relève que les faits litigieux se sont produits suite à l'intégration, au sein du groupe Y, des sociétés exerçant des activités médias et presse, aux fins de diversification de l'activité historique bancaire du groupe. Afin de permettre aux nouvelles activités acquises, présentées comme étant dans une situation économique précaire, de réaliser des économies, le système de messagerie du groupe a été modifié pour que tous les salariés du groupe, quel que soit leur secteur d'activité ou leur entité d'appartenance, y soient intégrés. De ce fait, l'ensemble de ces salariés a été intégré dans l'annuaire de la messagerie mutualisée et disposent d'une messagerie [...] interne mutualisée.
La messagerie interne [...] contient une fonctionnalité dossiers publics, qui permet à des équipes de travail ou des groupes d'utilisateurs de partager des informations sur un sujet commun à l'intérieur de la même organisation, notamment en stockant dans un même dossier public des courriers électroniques, des rendez-vous, des contacts, des tâches, des entrées de journal, des notes, des formulaires, des fichiers et des publications. En l'espèce, des dossiers publics ont pu être utilisés à des fins aussi variées que l'envoi de listes mensuelles des opérations d'achat et de vente d'or, la création de listes de clients avec leurs anciennes et nouvelles coordonnées bancaires à l'occasion de la migration informatique du groupe, des ordres de vente de titres par un client à un gestionnaire de comptes, des courriels échangés entre dirigeants des banques du groupe dans le cadre de réunions de la Fédération Bancaire Française ou de projets de communication institutionnelle, des confirmations d'opérations de paiement internationaux, etc.
Or, il s'avère que toute personne utilisant la messagerie du groupe Y disposait automatiquement du rôle d'auteur sur ces dossiers publics, dès leur création par les services compétents de la société, faute de restriction d'accès spécifiquement mise en œuvre par leurs propriétaires. De ce fait, le contenu de tout dossier public s'est trouvé librement accessible à l'intégralité des titulaires de compte de messagerie [...] au sein du groupe. Ainsi, pendant près de deux ans, de nombreux documents et données confidentiels sont demeurés accessibles à l'ensemble des salariés du groupe, quel que soit la nature de leur activité (journalistique ou bancaire), soit 84 895 personnes au jour du contrôle. 
- La société, qui ne conteste ni les faits ni sa qualité de responsable de traitement au sens de la loi du 6 janvier 1978 modifiée, se défend toutefois d'avoir commis la moindre faute quant à l'obligation de sécurité lui incombant en application de cette même loi.
- Elle soutient ainsi, en premier lieu, qu'elle a été victime d'un acte de malveillance interne qui la dédouane de toute responsabilité quant à la faille de sécurité relevée. Selon elle, seule une démarche active et complexe permettait aux utilisateurs de la messagerie du groupe d'avoir accès aux documents litigieux. En effet, les postes de travail n'étaient pas configurés pour avoir en lecture directe les dossiers publics de la messagerie ; selon elle, cette fonction étant par ailleurs peu utilisée, voire inconnue de la majorité des salariés du groupe. De ce fait, ce serait par malveillance et en faisant preuve de déloyauté et de mauvaise foi que des salariés de la société aurait accédé aux données, puis en aurait pris copie et les aurait divulguées aux journalistes du Canard Enchaîné, au lieu de se contenter de signaler cet accès à leur hiérarchie pour que celui-ci soit suspendu. 
La formation restreinte ne peut donner droit à cet argument. Le fait qu'une éventuelle infraction pénale puisse être imputable à l'auteur des divulgations reprochées est sans incidence sur le fait de savoir si la société a, ou non, respecté l'obligation de sécurité des données qui lui incombait en propre, en sa qualité de responsable de traitement au sens de l'article 2 de la loi du 6 janvier 1978 modifiée.
Or, il est établi que l'origine de l'accès litigieux, depuis l'année 2010, qui a permis à potentiellement 84 895 personnes d'avoir accès à des données confidentielles, dont une grande partie était couverte par le secret bancaire, est imputable à la seule déficience de la société dans la configuration des dossiers publics de la messagerie. 
En outre, la société ne saurait soutenir que l'accès aux dossiers publics nécessitait une démarche active et complexe, dès lors qu'il ressort des pièces du dossier que ceux-ci étaient visibles à gauche de l'écran de la messagerie dans le volet de navigation. Les noms des dossiers (par exemple [...]) étaient ainsi visibles à l'écran de tous les collaborateurs du groupe, y compris de journalistes. La démarche requise pour avoir accès aux données ne revêtait donc aucun caractère de complexité, contrairement à ce que soutient la société.
- En deuxième lieu, la société soutient que, contrairement à ce qui lui est reproché, le degré de sensibilité des données auxquelles il a été possible d'accéder était très variable. Selon elle, il ne s'agissait que de données techniques issues de retraitements de données, correspondant à des traitements d'exception portant sur des situations particulières et ayant donné lieu à des échanges sur la messagerie ; seul un tiers des répertoires ainsi accessibles (soit 16 186 répertoires sur 51 214) contenaient des informations pouvant être qualifiées de sensibles, car contenant des informations sur des personnes protégées par le secret bancaire, ou à caractère technique ou général sur le groupe ; par ailleurs, l'ancienneté des documents leur aurait fait perdre leur pertinence et donc de leur sensibilité compte tenu de leur obsolescence, de même que certaines informations étaient inintelligibles pour des personnes extérieures au groupe compte tenu de leur caractère technique.
Sur ce, la formation restreinte relève, ce que la société ne conteste pas, qu'une très grande majorité des nombreux documents accessibles (soit 1 269 583 documents sur 1 686 489 au total) comportaient des éléments financiers relatifs aux clients des activités bancaires du groupe, dont la plupart relevaient du secret bancaire (revenus, patrimoine, situation fiscale, relevés d'identité bancaire (RIB), numéros de cartes bancaires, notamment). Si les données auxquelles il a été donné accès ont pu subir une certaine obsolescence au bout de la période de deux ans durant laquelle elles ont été accessibles, ce facteur n'en diminue pas pour autant leur sensibilité initiale, laquelle a pu, au demeurant, perdurer dans le temps. 
Dans de telles circonstances, la société n'est pas recevable à minimiser l'importance du manquement reproché, le nombre et la sensibilité des informations ainsi rendues accessibles étant tous deux incontestables.   - En troisième lieu, la société soutient que seule lui incombe une obligation de moyens quant à la sécurité du traitement des données dont elle est responsable, et que cette responsabilité ne saurait être engagée qu'à la condition de pouvoir démontrer qu'elle a commis une faute en ne mettant pas en œuvre les moyens nécessaires au respect de son obligation. Or, selon elle, elle a mis en place des procédures et des mesures de sécurité suffisantes pour répondre à son obligation de moyens.
A ce titre, elle soutient que la sécurité informatique en son sein étant soumis aux exigences du Règlement CRBF 97-02 et de la loi du 6 janvier 1978 modifiée, que sa politique de sécurité s'appuie sur la norme ISO 27001 et 27002, que ces différents dispositifs de sécurité sont mis aux normes, maintenus et testés régulièrement, que le paramétrage par défaut de la messagerie incombe à l'éditeur et non à elle-même, qu'elle a adopté une politique générale de sécurité, une charte utilisateurs et un recueil de déontologie qui rappelle qu' il est interdit à tout utilisateur de (...) consulter, de divulguer et/ou de détourner de leur finalité des informations contenues et/ou provenant des fichiers informatiques constitués pour les besoins de l'entreprise , si bien qu'il ne pourrait lui être reproché tout au plus qu'une erreur organisationnelle non intentionnelle. 
La formation restreinte ne saurait donner droit à cet argument. Aux termes de l'article 34 de la loi du 6 janvier 1978 modifiée, la société était tenue de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher (...) que des tiers non autorisés y aient accès .
D'une part, il est établi en l'espèce que des tiers non-autorisés ont eu accès à des informations des clients de la société auxquelles ils n'avaient pas vocation à avoir accès, en particulier en ce qui concerne des données de nature bancaire, couverte par le secret professionnel applicable aux établissements de crédit. S'il est impossible de déterminer avec précision le nombre de personnes susceptibles d'avoir eu accès à ces informations, ni le nombre de clients aux données desquelles il a été accédé de manière illicite, cet accès a été effectif, alors qu'il n'aurait pourtant jamais dû se produire. 
Dans ces conditions, il est vain pour la société de chercher à se dégager de sa responsabilité en invoquant de supposées procédures préventives en la matière. D'une part, celles-ci ne portaient pas sur les mesures qu'il incombait aux administrateurs informatiques de la société de prendre pour configurer les dossiers publics litigieux ; d'autre part, il est établi qu'elles n'ont produit aucun des résultats escomptés. 
Il est tout aussi vain de vouloir imputer à l'éditeur de logiciel [...] ses critères de paramétrage par défaut, alors qu'il appartenait précisément à la société, en sa qualité de responsable de traitement, d'adapter les conditions d'usage de ce logiciel à sa propre population.
A l'évidence, la situation litigieuse résulte du fait délibéré d'avoir fait partager le même système d'information par deux populations distinctes, sans veiller à la parfaite étanchéité des systèmes, alors qu'il est juridiquement impossible aux deux branches d'activité professionnelle du groupe Y d'avoir accès aux mêmes informations. 
Il apparaît, en effet, que seules des considérations techniques ont dicté le choix d'un active directory commun, sans égard pour la conformité bancaire qui aurait dû guider les opérations d'intégration du Système d'Information Groupe, notamment en assurant que des mesures de sécurisation soient systématiquement prises pour identifier les populations pouvant accéder à des données bancaires et celles qui n'y sont pas habilitées, et en diffusant une procédure écrite à destination des administrateurs afin que ceux-ci retirent d'office les droits par défaut des utilisateurs sur les dossiers publics, ce qui n'a pas été fait. 
Dans ces conditions, la formation restreinte considère que a société n'a pas mis en place des mesures de sécurité suffisantes pour répondre à l'obligation qui lui incombait en application de l'article 34 de la loi du 6 janvier 1978 modifiée.
- En quatrième lieu, la société soutient que les dirigeants de la société n'avaient pris connaissance de la situation litigieuse qu'à la parution de l'article susmentionné du Canard Enchaîné, ce qui explique qu'ils n'aient pas pu prendre les mesures correctives requises antérieurement. En effet, s'il est établi qu'à tout le moins un journaliste du groupe avait alerté dès l'année 2010 sur l'existence de ces accès litigieux, cette alerte n'a pas été enregistrée dans une application dédiée, dénommée SARA. Il ne pourrait donc être reproché aux dirigeants de la société et du groupe de ne pas avoir agi alors qu'ils étaient dans l'ignorance de ces alertes. 
La formation restreinte n'accueille pas davantage cet argument. Le fait que l'alerte ainsi faite ne soit pas remontée au niveau de la direction ne saurait conditionner la responsabilité de la société en sa qualité de responsable de traitement. 
- Enfin, la société soutient qu'elle a pris des mesures correctrices immédiatement, dans la nuit du 26 au 27 décembre ayant suivi la parution de l'article du Canard Enchaîné ayant révélé l'existence de cette faille.
De fait, elle a aussitôt bloqué tous les accès aux dossiers publics en supprimant les droits d'accès globaux, publié une procédure interne concernant la gestion de ces dossiers, effectué des contrôles afin de s'assurer que les utilisateurs sans droit spécifique n'y avaient plus accès dans leur environnement [...], et mis en place un traitement de surveillance mensuel des habilitations attribuées aux utilisateurs sur les dossiers publics. Elle a également procédé à l'information immédiate de la Commission, constitué un comité de crise interne, et déposé plainte contre personne non dénommée auprès du Procureur de la République près le tribunal de grande instance de STRASBOURG le 4 janvier 2012. 
La formation restreinte prend acte de l'ensemble des mesures correctives prises par la société pour prévenir le renouvellement des faits litigieux. 
Toutefois, elle relève que les engagements pris par la société pour le futur ne font pas disparaître les manquements passés, au titre desquels elle demeure libre de prononcer un avertissement afin de prévenir leur renouvellement. 
3. Sur les manquements constatés et la publicité de la décision
Dans ces conditions, la formation restreinte considère que la société X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée, ce qui justifie que soit prononcé à son encontre un avertissement.
En outre, compte tenu de la gravité des faits jugés, de l'importance d'informer le public des suites données à cette affaire ayant connu un important retentissement médiatique et les acteurs économiques concernés des obligations qui leur incombent en application de la loi du 6 janvier 1978 modifiée, et eu égard au fait que sa décision expose de manière objective tant les manquements retenus que les mesures correctrices prises ultérieurement par la société, la formation restreinte décide de rendre publique sa décision. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer un avertissement à l'encontre de la SOCIETE X ; 
- De rendre publique sa décision. 
La Présidente Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministère du travail, de l'emploi et de la santé d'une demande d'avis relative à un projet d'arrêté portant création d'un téléservice de l'administration ayant pour finalité la dématérialisation de la gestion du contrat unique d'insertion ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail et, notamment, son article L.5134-19-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le projet d'arrêté portant création d'un téléservice de l'administration dénommé  système de libre accès des employeurs  ayant pour finalité la dématérialisation de la gestion du contrat unique d'insertion  ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, rapporteur, et après avoir entendu les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement.
Émet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi et de la santé d'un projet d'arrêté portant création, par l'Agence de services et de paiement (ASP), d'un téléservice de l'administration ayant pour finalité la dématérialisation de la gestion du Contrat Unique d'Insertion (CUI). 
A titre liminaire, à la lecture de l'article L.5134-19-3 du Code du travail, la Commission observe qu'un CUI prend la forme d'un contrat d'accompagnement dans l'emploi (CAE) lorsqu'il est conclu avec un employeur du secteur non marchand, d'une part, ou d'un contrat initiative-emploi (CIE) lorsqu'il est conclu avec un employeur du secteur marchand, d'autre part.
Sur la finalité du traitement 
Le projet d'arrêté étudié par la Commission prévoit de mettre à la disposition des usagers de l'administration un téléservice, via une application créée par l'ASP, dénommé  système de libre accès des employeurs  (SYLaé).
L'article 1er du projet d'arrêté prévoit que le téléservice  SYLaé  est créé pour permettre de gérer, contrôler et suivre les conventions individuelles de CUI, d'une part, ainsi que calculer et payer l'aide qui doit être allouée à l'employeur, d'autre part.
Les employeurs concernés pourront télédéclarer les états de présence des salariés bénéficiant d'un CUI. Par ailleurs, ils utiliseront l'application  SYLaé  pour informer l'ASP de la suspension ou de la rupture anticipée d'un CAE ou d'un CIE. Enfin, les employeurs pourront également saisir ou corriger leurs coordonnées bancaires afin de percevoir de l'administration l'aide qui doit leur être versée.
La Commission prend acte que les objectifs poursuivis par ce téléservice consistent à réduire les délais de traitement, accroître la fiabilité des données et permettre un pilotage plus efficace du dispositif CUI.
La Commission considère que la finalité de l'application  SYLaé  est déterminée, explicite et légitime.
Sur les données à caractère personnel traitées
La Commission relève que l'article 1er du projet d'arrêté liste les données à caractère personnel collectées et traitées grâce à l'application SYLAE. 
Plus précisément, il s'agit de :- données d'identification relatives aux salariés bénéficiant d'un CUI (nom, prénom, numéro d'enregistrement des conventions individuelles de CUI) ;- données relatives à la vie professionnelle (date de début du contrat, date de fin prévue du contrat, date de fin réelle du contrat, nombre d'absences, motif de rupture, mois de suspension et motif de la suspension du contrat) ;- données d'ordre économique et financier (salaire des bénéficiaires d'un CUI, coordonnées bancaires des employeurs) ;
La Commission observe, par ailleurs, que les données de connexion des employeurs au téléservice seront également collectées (login, mot de passe, informations d'horodatage). 
La Commission considère que le recueil et le traitement de l'ensemble de ces données sont légitimes, pertinents et non excessifs au regard des finalités poursuivies.
Sur les destinataires 
L'article 1er du projet d'arrêté indique les destinataires des données à caractère personnel traitées par l'intermédiaire du téléservice  SYLaé .
Plus précisément, il s'agit des seuls agents de l'ASP habilités pour vérifier les informations transmises par les employeurs.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice dénommé  SYLaé .
Sur les durées de conservation des données
L'article 2 du projet d'arrêté précise que les données à caractère personnel sont conservées pendant le temps durant lequel court la responsabilité du comptable public et, au plus tard, pendant 5 ans après la date d'achèvement de la convention individuelle de CUI.
La Commission relève également, en cas de contentieux relatif à une convention individuelle de CUI, que les données nécessaires à l'instruction de ce type de contentieux peuvent être conservées jusqu'au prononcé d'une décision de justice devenue définitive.
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.