AgentPublic/cnil huggingface dataset:
Une telle modification est présentée comme devant permettre une amélioration du suivi des personnes ayant fait la démonstration de leur adhésion à des idées ou à des actes de nature terroriste, et présentant un danger pour les institutions ainsi que les services publics.
Sans se prononcer sur la nature des délits dont il est question qui, antérieurement réprimés par la loi du 29 juillet 1881 qui encadre la liberté d’expression, ont été intégrés dans le code pénal par la loi n° 2014-1353 du 13 novembre 2014 susvisée, la Commission relève qu’une telle évolution semble principalement justifiée par la volonté de permettre aux administrations et services de l’Etat visés à l’article
706-25-9-3° du CPP d’obtenir des renseignements relatifs à un individu lorsqu’ils ne figurent pas au bulletin n°2 du casier judiciaire (dans le cadre de l’accès prévu à l’article 776, 1° du CPP), notamment s’agissant de personnes (y compris mineures) mises en examen ou dont la condamnation ne figurerait plus au casier judiciaire mais serait toujours inscrite au FIJAIT. Elle rappelle, de manière générale, que l’extension souhaitée du périmètre du FIJAIT en y intégrant de nouvelles infractions liées au terrorisme, ne doit pas, au regard des conséquences que peut avoir sur les personnes concernées la consultation du FIJAIT, être guidée par un simple souci de commodité mais par la nécessité de disposer de ces informations supplémentaires pour atteindre les objectifs poursuivis.
Au regard des objectifs poursuivis par le FIJAIT, l’inscription de personnes ayant fait la démonstration de leur adhésion à des idées de nature terroriste et considérées comme présentant un danger pour les institutions et les services publics apparaît légitime.
En second lieu, la Commission relève que l’article 3 du projet de loi introduit un régime différencié dans le traitement des personnes inscrites au FIJAIT. Il est ainsi prévu que les personnes condamnées ou mises en cause pour des infractions visées aux articles L. 224-1 et L. 225-7 du CSI ne soient plus astreintes aux obligations de déclaration et de justification d’adresse et de présentation prévues à l’article 706-25-7 du CPP, de même que celles dont l’inscription au FIJAIT résulterait de la commission d’infractions prévues à l’article 421-2-5 du CP (délits d’apologie et de provocation aux actes de terrorisme). Elle prend acte que sont également concernés les auteurs d’infractions mentionnées à l’article 421-2-5-1 du même code.
Si la Commission prend acte que la modification envisagée vise à restreindre aux seules infractions les plus graves, qui sont visées aux articles 421-1 et suivants du CP (actes de terrorisme), les obligations qui s’imposent en application de l’article
706-25-7 du CPP (à l’exclusion par conséquent des articles 421-2-5 et 421-2-5-1 du CP et des articles L. 224-1 ou L. 225-7 du CSI), elle rappelle que comme l’a relevé le Conseil d’Etat dans son avis du 7 avril 2015 sur le FIJAIT, les finalités poursuivies par ce traitement témoignaient notamment de la volonté du Gouvernement de créer un dispositif de sûreté constitué par l’obligation faite aux auteurs de ces infractions de signaler leur adresse, leurs déplacements entre la France et l’étranger, et de se présenter à cette occasion personnellement, selon les cas, au commissariat de police, à la brigade de gendarmerie ou au consulat de France (…) . Au regard des évolutions envisagées, la Commission s’interroge sur la cohérence de telles modifications avec les finalités actuellement prévues par le FIJAIT. L’instauration d’un régime à ce point différencié dans les conséquences de l’inscription au FIJAIT revient, aux yeux de la Commission, à lui adjoindre, pour les personnes inscrites et non assujetties à ces obligations, une nouvelle finalité, dont il conviendrait que la loi la définisse plus précisément. Cette finalité n’est plus d’assurer le suivi de ces personnes, mais de parvenir à une meilleure efficacité des enquêtes administratives mentionnées à l’article 706-25-9 du CPP, afin de prévenir la commission d’actes terroristes.
La Commission relève enfin que l’article 3 du projet de loi semble tirer les conséquences d’un tel régime différencié s’agissant des durées de conservation des données figurant au FIJAIT. Cet article prévoit en effet que les données relatives aux infractions mentionnées aux articles 421-2-5 et 421-2-5-1 du CP sont conservées pour une durée identique à celles relatives aux infractions mentionnées aux articles
L. 224-1 ou L. 225-7 du CSI, à savoir cinq ans s'il s'agit d'un majeur et trois ans s'il s'agit d'un mineur.
 
Sur les modifications des conditions d’inscription dans le FIJAIT 
L’article 3 du projet de loi vise également à modifier l’article
706-25-4 du CPP relatif aux modalités d’inscription au sien du FIJAIT.
La Commission rappelle que le législateur a, dès l’origine, prévu un certain nombre de garanties dans le cadre de la mise en œuvre du FIJAIT en particulier s’agissant des conditions de l’inscription au sein de ce traitement. En l’état actuel du droit, l’inscription des personnes au FIJAIT est ainsi subordonnée au prononcé de décisions judiciaires limitativement énumérées à l’article 706-25-4 du CPP précité et intervient sur décision expresse du procureur de la République, de la juridiction spécialisée de jugement ou des juridictions de droit commun en fonction de la nature des infractions concernées.
La Commission relève qu’il est désormais prévu que les décisions mentionnées aux 1° et 5° de l’article 706-25-4 du CPP relatives à une condamnation, même non encore définitive, y compris d'une condamnation par défaut ou d'une déclaration de culpabilité assortie d'une dispense ou d'un ajournement de la peine ou à une mise en examen soient enregistrées de plein droit dans le fichier de plein droit et ce, sauf décision contraire et spécialement motivée de la juridiction compétente. Il en est de même pour les décisions relatives à une décision d’irresponsabilité pénale pour cause de trouble mental (article 706-25-4-3° du CPP) et celles mentionnées au 4° de ce même article (décisions spécifiques prononcées par des autorités étrangères) et ce, sauf décision contraire et spécialement motivée du procureur de la République.
La Commission prend acte que ce renversement des modalités d’inscription au FIJAIT vise à optimiser, notamment pour des raisons opérationnelles, le dispositif dans son ensemble pour des infractions considérées comme d’une particulière gravité.
Dans ce contexte, elle observe que si le caractère automatique d’une telle inscription a déjà été jugé conforme à la jurisprudence constitutionnelle et européenne dans le cadre du dispositif relatif au fichier judiciaire national automatisé des auteurs d’infractions sexuelles ou violentes (FIJAIS) et dont les conditions de mise en œuvre sont proches de celles du FIJAIT, il importe que des garanties appropriées soient prévues en droit interne.
A cet égard, elle relève également que, conformément aux exigences constitutionnelles en matière de droit pénal des mineurs, les évolutions souhaitées en matière d’inscription au FIJAIT ne concerneront pas les mineurs de plus de treize ans (l’inscription des mineurs de moins de treize ans demeurant en tout état de cause exclue de ce fichier), ce qui constitue une garantie fondamentale à préserver.
La Commission regrette toutefois de ne pas s’être vu communiquer davantage d’informations s’agissant des modalités pratiques de cette inscription de plein droit. Elle s’interroge par ailleurs, en l’absence de dispositions transitoires spécifiques, sur la manière dont ces modifications s’appliqueront aux personnes déjà condamnées et mises en cause et estime que le projet d’article pourrait utilement être complété sur ce point. La Commission s’interroge également sur l’articulation de ce système d’inscription avec le contrôle du magistrat dirigeant le service du casier judiciaire national qui est notamment chargé, comme elle l’avait relevé dans son avis du 3 décembre 2015 susvisé, de vérifier la validité de cette même inscription et dont le contrôle demeure fondamental.
De la même manière, elle observe qu’il semblerait qu’une telle modification conduirait à ce que des condamnations non encore définitives puissent être inscrites de plein droit dans le traitement de même que des mises en examen ayant finalement débouché sur un non-lieu, conformément à l’article 706-25-4-1° et 5° du CPP. La Commission rappelle à cet égard la grande vigilance dont il conviendra de faire preuve afin de s’assurer que les données à caractère personnel relatives aux personnes ayant bénéficié de suites favorables soient mises à jour, que les décisions et les condamnations non encore définitives soient indiquées aux différents destinataires des données du FIJAIT, et que le respect des droits des personnes soit assuré afin de garantir la proportionnalité du FIJAIT.
Sur les autres dispositions du projet de loi 
Indépendamment de la présente saisine, la Commission souligne que la lecture dans son ensemble du projet de loi fait apparaître d’autres dispositions de nature à avoir un impact sur la réglementation relative à la protection des données à caractère personnel et pour lesquelles sa saisine apparaissait, selon les cas, justifiée ou opportune.
Si elle prend acte du retrait de l’article 20 relatif à l’attribution d’un identifiant national permettant aux autorités académiques de s’assurer qu’aucun enfant n’est privé de son droit à l’instruction , la Commission observe qu’il faudra, le cas échéant, tirer toutes les conséquences des modifications envisagées aux articles 14 (qui modifie le code de l’entrée et du séjour des étrangers et du droit d’asile s’agissant de la délivrance des titres de séjour), 18 et 19 (qui modifient les conditions d’instruction), 25 (qui crée un nouveau délit de mise en danger de la vie d’autrui par diffusion d’informations relatives à la vie privée, familiale ou professionnelle d’une personne), 26 (qui vise à instituer une procédure à même d’assurer l’effectivité d’une décision de justice exécutoire constatant l’illicéité d’un site Internet et ordonnant son blocage ou son déréférencement), 27 (qui habilite le Gouvernement à procéder par voie d’ordonnance afin de renforcer la prise en compte des objectifs de mixité sociale dans les attributions de logements sociaux), 38 (qui crée un régime déclaratif des avantages et ressources qu’une association cultuelle recevrait directement ou indirectement de la part d’une personne morale étrangère ou d’une personne physique non résidente, dont le montant ou la valorisation dépasse 10 000 euros, avec pouvoir d’opposition de l’autorité administrative) et 48 (qui élargit la portée du droit d’opposition du service à compétence nationale TRACFIN), s’agissant
des éventuels traitements de données à caractère personnel qui seraient créés ou modifiés.
La Présidente
M.-L. DENIS
Par une décision du 22 juillet 2022, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction de 3 000 euros à 2 500 euros en considération de l’absence d’obligation de notifier à la CNIL la violation de données eu égard à l’information dont disposait déjà la CNIL et qui lui avait permis d’engager un contrôle. Consulter la décision n° 449694.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Dominique CASTERA, Anne DEBET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2019-152C du 20 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements notamment accessibles à partir de l’adresse IP portant le numéro [...] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 27 juillet 2020 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à Monsieur [...] le 23 septembre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 3 décembre 2020 :
Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentant de Monsieur [...] :
[...] ;
Le conseil de Monsieur [...] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I.Faits et procédure
M. [...] exerce une activité libérale [...] à Paris [...].
Le […], le site web […], a signalé l’accès libre à des serveurs informatiques d’imagerie médicale situés […] permettant la consultation et le téléchargement […] d’images médicales (IRM, radios, scanners, etc…) suivies notamment des nom, prénoms, date de naissance et date de consultation des patients.
En application de la décision n° 2019-152C du 20 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission), les services de la CNIL ont procédé à un contrôle en ligne, les 20 et 24 septembre 2019, qui a confirmé le caractère librement accessible de ces données, exploitables par l’intermédiaire d’un simple logiciel de consultation d’images médicales. Le contrôle a également permis d’établir la liste des adresses IP de ces serveurs qui sont localisées en France.
Ce contrôle avait notamment pour objet de vérifier le respect, par les attributaires de ces adresses IP, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ) et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi informatique et libertés ).
Après avoir demandé aux différents fournisseurs d’accès à Internet de leur communiquer l’identité et les coordonnées des responsables de traitement utilisant ces adresses IP françaises, les services de la CNIL ont été informés que l’une de ces adresses, portant le numéro [...], avait pour attributaire M. [...].
Par un courrier électronique du 8 octobre 2019, la délégation de contrôle a notifié le contrôle en ligne à M. [...], après l’avoir informé du caractère librement accessible des images médicales de ses patients à partir de l’adresse IP de son serveur.
Par un courrier électronique du 9 octobre, M. [...] a répondu avoir pris les mesures nécessaires pour mettre fin à la violation.
Le 6 décembre 2019, M. [...] a été auditionné par la délégation de contrôle dans les locaux de la CNIL. Il a indiqué que pour pouvoir accéder à distance aux images médicales hébergées dans le disque dur de l’ordinateur fixe de son domicile, il a ouvert les ports de la LiveBox utilisée à son domicile en activant le mode DMZ de cette dernière, dans l’objectif de faire fonctionner le VPN  .
Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 27 juillet 2020, sur le fondement de l’article 22 de la loi informatique et libertés .
À l’issue de son instruction, le rapporteur a fait remettre en main propre à M. [...], le 23 septembre 2020, un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Le même jour, les services de la CNIL lui ont notifié une convocation à la séance de la formation restreinte du 3 décembre 2020.
Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de M. [...] au titre de manquements aux articles 32 et 33 du Règlement.
Le 20 novembre 2020, M. [...] a sollicité, par l’intermédiaire de son conseil, le report de la séance de la formation restreinte. Cette demande a été rejetée le 26 novembre 2020 par le président de la formation restreinte.
Le conseil de M. [...] et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
II.Motifs de la décision
A.Sur le manquement à l’obligation d’assurer la sécurité des données traitées
14. Aux termes de l’article 32, paragraphe 1, du RGPD, le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque .
15. Les a) et b) de ce même paragraphe 1 prévoient qu’en fonction notamment de la portée, du contexte et des finalités du traitement ainsi que des risques pour les personnes concernées, le responsable de traitement met en œuvre le chiffrement des données à caractère personnel et des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement .
16. Le rapporteur fait valoir que la vulnérabilité du dispositif d’imagerie médicale à l’origine de la violation de données est imputable à M. [...] qui n’a pas mis en œuvre les mesures techniques appropriées pour garantir la sécurité du traitement.
17. Le conseil de M. [...] répond que son client n’avait aucune volonté de laisser un libre accès à ces images médicales et que la violation n’est que la conséquence malheureuse du raccordement à sa box Internet du disque dur externe branché à l’ordinateur de son domicile.
18. La formation restreinte relève qu’en application de l’article 32 du RGPD, il incombait à M. [...], en tant que responsable de traitement, de veiller à la sécurité des données qu’il traitait dans le cadre de son activité professionnelle.
19. Tout d’abord, la formation restreinte souligne qu’il n’est pas contesté que la violation de données a pour cause l’ouverture des ports réseaux de la box Internet utilisée au domicile de M. [...] couplée au paramétrage de la fonction serveur du logiciel d’imagerie [...] .
20. Elle relève que dans son courrier électronique du 9 décembre 2019, M. [...] a indiqué : il se trouve que ce logiciel [le logiciel d’imagerie [...] ] comprend une fonction serveur, que le mac est derrière une LiveBox connectée à Internet et que (…) je pense que le port de 11112 de la LiveBox est ouvert à tous vents . Par ailleurs, dans le cadre de son audition du 6 décembre 2019, ce dernier a précisé n’avoir pas eu recours à un prestataire pour l’installation et le paramétrage du logiciel [...] et avoir lui-même ouvert les ports de la LiveBox utilisée à son domicile (…) dans l’objectif de faire fonctionner le VPN  .
21. Il ressort donc de ces éléments que M. [...] n’avait pas pris soin de limiter les fonctions réseaux à celles qui étaient strictement nécessaires au fonctionnement du traitement.
22. Or, la formation restreinte souligne que la protection du réseau informatique interne et le chiffrement des données à caractère personnel font partie des exigences élémentaires en matière de sécurité informatique, qui incombent à tout responsable de traitement.
23. A cet égard, dans le guide  La sécurité des données personnelles , qui offre un éclairage utile aux responsables de traitement quant aux mesures à mettre en œuvre afin de garantir la sécurité de leur traitement, la Commission recommande d’ autoriser uniquement les fonctions réseau nécessaires aux traitements mis en place . De même, le Guide pratique pour les médecins , publié par la CNIL en concertation avec le Conseil national de l’ordre des médecins, invite les médecins à limiter le plus possible la connexion d’appareils non professionnels sur le réseau au sein duquel sont traitées les données des patients, ainsi qu’à recourir à des moyens d’authentification forte pour accéder à ce réseau.
24. Ensuite, la formation restreinte souligne qu’il ressort également de l’audition du 6 décembre 2019 que M. [...] n’avait pas non plus pris soin de chiffrer les données contenues dans ses trois ordinateurs portables et dans son ordinateur fixe.
25. Or, en l’absence de chiffrement, les données médicales contenues dans le disque dur de ces ordinateurs étaient lisibles en clair par toute personne prenant possession de ces appareils (par exemple, à la suite de leur perte ou de leur vol) ou par toute personne s’introduisant de manière indue sur le réseau auquel ces appareils étaient raccordés.
26. A cet égard, dans son guide  La sécurité des données personnelles , la CNIL recommande de prévoir des moyens de chiffrement des postes nomades et supports de stockage mobiles (ordinateur portable, clés USB, disque dur externes, CD-R, DVD-RW, etc.), par exemple via le chiffrement du disque dur dans sa totalité lorsque le système d’exploitation le propose, le chiffrement fichier par fichier ou la création de conteneurs (fichier susceptible de contenir plusieurs fichiers) chiffrés. De même, le Guide pratique pour les médecins invite les médecins à procéder au chiffrement des données de leurs patients avec un logiciel adapté.
27. Enfin, la formation restreinte relève que le traitement en cause concerne des données médicales, qui constituent des catégories particulières de données à caractère personnel, au sens de l’article 9 du Règlement. La nature de ces informations appelait donc une vigilance toute particulière afin d’éviter une violation de données.
28. La formation restreinte rappelle ainsi que parmi les données concernées par la violation, figuraient, outre les images médicales, les nom, prénoms et date de naissance du patient, la date de réalisation de l’examen, le nom du praticien référent et du praticien ayant réalisé l’examen et le nom de l’établissement dans lequel celui-ci avait eu lieu.
29. Elle souligne qu’il ressort des propres déclarations de M. [...] dans le cadre de son audition du 6 décembre 2019 que plus de cinq mille trois cents séries d’images médicales sont concernées.
30. Enfin, elle relève qu’il ressort du dossier que ces données ont été exposées environ quatre mois.
31. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’un manquement à l’article 32 du RGPD est constitué.
B.Sur le manquement à l’obligation de notifier la violation de données à la CNIL
32. Aux termes de l’article 33, paragraphe 1, du RGPD, en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance .
33. Le rapporteur fait valoir que M. [...] n’a pas déclaré la violation de données auprès des services compétents de la Commission.
34. M. [...] répond que la nécessité de notifier la violation de données à la Commission ne lui a jamais été indiquée. Il invoque, par ailleurs, le caractère artificiel d’une telle obligation dès lors qu’il a eu connaissance du libre accès de son serveur d’imagerie médicale par la délégation de contrôle de la CNIL.