AgentPublic/cnil huggingface dataset:
sont sécurisés par la transmission par courriel de pièces jointes préalablement chiffrées.La commission précise que le dossier présenté n'apporte pas d'éléments relatifs aux mesures qui seront mises en œuvre pour assurer la confidentialité des données renseignées par les participants en remplissant les auto-questionnaires directement sur internet. Elle rappelle à cet égard ces échanges doivent être sécurisés et que le protocole SSL dans sa version 3 n'est plus fiable. ll conviendra donc d'utiliser le protocole TLS dans sa dernière version.Le projet de décret prévoit que certaines données sont conservées chiffrées. Il s'agit :
- des adresses électroniques, conservées par l'InVS ;- des NIR, nom patronymique, nom d'usage, prénoms, sexe, date et lieu de naissance des personnes tirées au sort, conservées par les régimes d'assurance maladie.
Ces mesures sont satisfaisantes. Toutefois, la commission rappelle qu'une procédure doit être documentée et mise en œuvre afin de s'assurer que seules les personnes habilitées pourront avoir connaissance des clés de chiffrement, notamment en cas de départ d'une personne qui disposait des habilitations d'accès à ces clés, et qu'il convient de vérifier régulièrement les vulnérabilités des algorithmes de chiffrement utilisés.Enfin, chacun des partenaires s'engage à supprimer définitivement les données à l'aide d'un logiciel disposant d'une certification de premier niveau de l'Agence nationale de sécurité des systèmes d'Information si une procédure n'existe pas déjà dans ces organismes, ou au moyen de la procédure déjà en place.Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.Les autres points du projet de décret n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autres observations de la part de la commission.
 
La présidente,
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, Mme Dominique CASTERA, M. Maurice RONAI et M. Philippe GOSSELIN, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la plainte n° 14019869 du 8 juillet 2014 ;
Vu la décision n° 2014-160C du 16 juillet 2014 de la Présidente de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès de la société X ;
Vu le procès-verbal de contrôle sur place n° 2014-160/1 du 22 juillet 2014 ;
Vu la décision n° 2014-062 du 9 décembre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de mettre en demeure la société X ;
Vu le procès-verbal de contrôle sur place n° 2014-160/2 du 23 février 2015 ;
Vu le procès-verbal d’audition sur convocation n° 2014-160/3 du 3 juin 2015 ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 25 juin 2015 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, remis à la société X contre reçu le 24 août 2015 ;
Vu les observations écrites versées par la société X le 29 septembre 2015, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier.
Ayant entendu, lors de la séance de la formation restreinte du 6 octobre 2015 :
Monsieur François PELLEGRINI, commissaire, en son rapport ;
Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation ;
Monsieur A de la société X ;
Madame B de la société X ;
Maître C, avocat de la société X.
 
La société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) a pour activité la distribution de produits optiques via un réseau d’environ 400 magasins et un site internet ([…], qui redirige l’internaute vers l’URL […] et qui compte environ 170.000 comptes utilisateurs). Elle emploie environ 1.000 salariés et présentait en 2014 un chiffre d’affaires d’environ 170 millions d’euros.
Le 8 juillet 2014, la CNIL a été saisie par une plaignante qui dénonçait la communication par téléphone de son mot de passe par la société, laissant ainsi supposer que les mots de passe des comptes clients étaient stockés en clair dans la base de données.
Le 22 juillet 2014, en application de la décision n° 2014-160C du 16 juillet 2014 de la Présidente de la CNIL, il a été procédé à une mission de contrôle auprès de la société au cours de laquelle des manquements à la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ) ont été constatés.
Par décision n° 2014-062 du 9 décembre 2014 de la Présidente de la CNIL, la société a fait l’objet d’une procédure de mise en demeure lui enjoignant, dans le délai d’un mois, d’adopter des mesures correctives destinées à définir et mettre en œuvre une durée de conservation des données, à informer les personnes concernées des traitements de données opérés et à assurer la sécurité et la confidentialité des données collectées par la société et celles gérées par ses prestataires, et de répercuter ces mesures sur l’ensemble de ses magasins.
La société ayant apporté des éléments attestant d’une mise en conformité partielle, la CNIL a procédé à une nouvelle mission de contrôle, le 23 février 2015. Compte tenu des difficultés rencontrées pour obtenir des informations quant à l’étendue de la mise en conformité, la société a été convoquée, le 3 juin 2015, pour une audition devant la CNIL.
En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 25 juin 2015, sur le fondement de l’article 46 de la loi du 6 janvier 1978.
A l’issue de son instruction, le rapporteur a notifié à la société, le 24 août 2015, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire dont il sollicitait par ailleurs qu’elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 6 octobre 2015 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 29 septembre 2015, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 6 octobre 2015.
Motifs de la décision
1.
Sur l’existence d’un manquement à l’obligation de définir et mettre en œuvre une durée de conservation des données
L’article 6-5° de la loi du 6 janvier 1978 modifiée prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
La société a été mise en demeure de respecter les durées de conservation prévues par les normes simplifiées n° 48 et 54.
Au vu des éléments matériels du dossier, la formation restreinte considère que l’existence d’un manquement à l’article 6-5° de la loi du 6 janvier 1978 modifiée n’est pas caractérisée.
2.
Sur l’existence d’un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
 
La mise en demeure du 9 décembre 2014 a enjoint à la société de mettre en œuvre un chiffrement du canal de communication et une authentification du site distant lors de l’accès au site web. Or, lors du contrôle du 23 février 2015 et de l’audition du 3 juin 2015, il a été constaté une absence de sécurisation de la page d’accueil permettant à l’utilisateur de se connecter à son compte et de la page lui permettant de modifier son mot de passe.
En outre, la société a été mise en demeure d’améliorer la robustesse des mots de passe de ses clients et salariés. Or, lors du contrôle du 23 février 2015, il a été constaté une absence de complexité suffisante des mots de passe des clients ayant déjà créé un compte. Lors de l’audition du 3 juin 2015, la CNIL a également été informée que la responsable du site web procédait elle-même au changement des mots de passe permettant aux salariés habilités d’accéder au back office et qu’aucun mécanisme de renouvellement automatique n’avait été prévu pour faire face à son absence prolongée. La société n’avait pas non plus défini de politique de gestion des mots de passe pour l’accès aux postes informatiques des salariés.
Enfin, lors de l’audition du 3 juin 2015, la société a précisé que l’accès depuis Internet au back office s’effectuait au moyen d’un couple identifiant et mot de passe, alors même que la mise en demeure imposait une mesure d’authentification forte impliquant de prévoir un second facteur d’authentification de l’utilisateur. De même, alors que la société a été mise en demeure de procéder au verrouillage automatique des postes informatiques des salariés en cas d’inactivité prolongée, seuls 11 postes faisaient l’objet d’un verrouillage automatique.
En défense, si la société ne conteste pas que la page permettant aux utilisateurs de modifier leur mot de passe n’était pas sécurisée, elle soutient que conformément à la mise en demeure, X avait sécurisé toutes les pages contenant des données personnelles .
La société soulève également qu’il lui était impossible de vérifier la modification des mots de passe des clients ayant déjà un compte, ceux-ci étant chiffrés en base. Elle précise que les mots de passe des salariés ayant accès au back office sont dorénavant connus d’eux seuls et que, en l’absence de la responsable du site web, leur renouvellement se fait auprès du prestataire sur demande du directeur commercial de la société. La société ajoute encore avoir mis en place une politique conforme de gestion des mots de passe pour les postes informatiques des salariés. 
Enfin, la société soutient que le recours à une mesure d’authentification forte pour accéder au back office du site lui était apparue excessive dans la mesure où les mots de passe des salariés concernés sont dorénavant complexes, et connus d’eux seuls, et que le protocole HTTPS a été mis en place pour la connexion des administrateurs au back office. Elle indique également que le verrouillage automatique de tous les postes informatiques des salariés n’est pas nécessaire dans la mesure où ces derniers disposent de bureaux personnels non accessibles au public.
Au regard de ce qui précède, la formation restreinte relève que le manquement relatif à la sécurisation du site était caractérisé au jour de l’expiration du délai de mise en conformité imparti et persistait au jour du second contrôle. Le fait que le protocole HTTPS est dorénavant en place sur l’ensemble du site est sans incidence sur la caractérisation de ce manquement.
En outre, la formation restreinte considère qu’il suffisait à la société d’imposer à tous ses clients le renouvellement de leur mot de passe pour se mettre en conformité, sans avoir besoin d’y accéder en base pour vérifier leur modification, ce qui aurait été contraire aux prescriptions de la Commission en la matière. S’agissant des mots de passe pour l’accès au back office, la formation restreinte relève que les salariés doivent pouvoir procéder directement à leur renouvellement. Concernant les mots de passe pour les postes informatiques des salariés, elle considère que la sécurisation globale du système d’information ne peut reposer uniquement sur la sécurité physique des locaux, en particulier dans les circonstances de l’espèce où le verrouillage automatique de l’ensemble des postes informatiques des salariés n’était pas assuré. Si la société s’est finalement conformée à la mise en demeure sur la politique de gestion des mots de passe des salariés, le manquement était caractérisé à l’expiration du délai de mise en conformité.
[...].
Le manquement à l’article 34 de la loi du 6 janvier 1978 modifiée est ainsi caractérisé.
3.
Sur l’existence d’un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant
L’article 35 de la loi n° 78-17 du 6 janvier 1978 dispose, en ses alinéas 3 et 4, que : Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement .
Lors du contrôle du 22 juillet 2014, il a été constaté que le contrat conclu entre la société et son sous-traitant Y ne comportait aucune clause relative à la sécurité et à la confidentialité des données. Il a été enjoint à la société de prévoir une clause définissant les obligations de son prestataire en la matière et précisant que ce prestataire ne pouvait agir que sur son instruction.
En défense, la société a indiqué que l’article 19 du contrat conclu avec la société Y était dédié à la sécurité et la confidentialité des données.
La formation restreinte relève que cet article a uniquement trait aux conditions d’accès et de rectification par la société aux données qui la concernent. Il ne comporte aucune indication des obligations incombant au prestataire en matière de protection de la sécurité et de la confidentialité des données des clients de la société.
Enfin, la formation restreinte relève que, contrairement à ce qui lui était demandé, la société n’a pas répercuté les exigences de la mise en demeure sur l’ensemble de ses magasins.
 Le manquement à l’article 35 de la loi du 6 janvier 1978 modifiée est ainsi caractérisé.
 
Sur la sanction et la publicité
Les manquements aux articles 34 et 35 de la loi du 6 janvier 1978 modifiée, qui ont persisté au-delà du délai imparti par la mise en demeure de la Présidente de la Commission, justifient le prononcé d’une sanction, notamment en raison du nombre de personnes concernées par les traitements en cause et la sensibilité des données à caractère personnel.
Compte tenu du nombre et de la gravité des manquements de la société, portant sur la sécurité et la confidentialité de données à caractère personnel, la formation restreinte décide de prononcer une sanction pécuniaire de 50 000 euros et de rendre publique sa délibération.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
De prononcer une sanction pécuniaire d’un montant de 50.000 euros à l’encontre de la société X ;
De rendre publique sa délibération sur le site de la CNIL et sur le site de Légifrance.
Le Président,
 
 
Jean-François CARREZ
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 101 et 103 ;Sur la proposition de Mme Marie-Hélène Mitjavile, commissaire, et après avoir entendu les observations de M. Jean-Alexandre Silvy, commissaire du Gouvernement,
Formule les observations suivantes :En vertu de l'article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l'Union européenne ni de l'Espace économique européen et qui par conséquent n'ont pas transposé dans leur législation les dispositions de la directive n° 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, sont interdits.Néanmoins, il peut être fait exception à cette interdiction par application de l'article 69 de la loi précitée, notamment par décision de la Commission nationale de l'informatique et des libertés lorsqu'un niveau de protection suffisant est apporté aux données transférées par l'intermédiaire de règles internes (règles contraignantes d'entreprise ou  binding corporate rules  (BCR) constituant un code de conduite interne s'imposant à toutes les entités d'un groupe).Au terme d'une procédure de coopération européenne, la Commission nationale de l'informatique et des libertés et les autorités de protection des données compétentes ont reconnu la conformité de ces BCR  responsable de traitement  aux exigences posées par les documents de référence adoptés par le groupe de travail de l'article 29.A ce titre, les BCR  responsable de traitement  du groupe American Express sont réputées apporter un niveau de protection suffisant aux données personnelles
transférées au sein du groupe American Express.Par conséquent, les organismes mentionnés à l'article 1er ci-dessous, qui souhaiteront se référer à la présente autorisation unique n° BCR-017 et adresseront à cette fin à la commission un engagement de conformité pour leurs transferts qui répondent strictement aux conditions définies dans la présente décision d'autorisation unique, seront autorisés à mettre en œuvre ces transferts.Tout transfert ne peut être autorisé que dans la mesure où :(i) Lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l'informatique et des libertés, et(ii) Le transfert est réalisé dans le strict respect du cadre défini par ladite formalité.Par ailleurs, tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique doit faire l'objet d'une décision d'autorisation spécifique. Article 1
Sur les responsables de traitement/champ d'application.Peuvent seules adresser un engagement de conformité à la présente autorisation unique les entités du groupe American Express, agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR  responsable de traitement  du groupe American Express et ayant mis en œuvre les engagements pris au titre des BCR. Article 2
Sur les finalités des transferts.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe American Express et à leurs annexes, sont autorisés les seuls transferts de données à caractère personnel ayant pour finalités :Finalités relatives aux transferts des données personnelles des employés :
- gestion des ressources humaines :- administration des employés (nominations et licenciements, paye, discipline, prestations sociales, assurance, retraite, gestion des arrêts maladie, programmes d'évolution de carrière, voyages, pensions de retraite, gestion du travail) ;- contrôle de la conformité ;- contact des tierces parties en cas d'urgence ;- gestion des dossiers des employés ;- sûreté et sécurité (incluant la gestion des informations) ;- gestion des informations et bases de données (maintenance des informations ou bases de données comme outil de référence ou ressource générale) ;- évaluation et perception des impôts et autres recettes (évaluation et perception des impôts, droits, prélèvements et autres recettes) ;- comptabilité et audit (fourniture de comptabilité et services afférents ainsi que la fourniture d'un audit lorsqu'un tel audit est requis) ;- externalisation d'activités administratives (paye, services médicaux, assurances, prestations sociales, retraites) ;- dispositif de contrôle de lutte contre la corruption (contrôle des justificatifs des dépenses).
Finalités relatives aux transferts des données personnelles des clients :
- émission de cartes :- émission de la carte ;- administration des clients ;- publicité, marketing et relations publiques ;- services liés aux frais ;- programmes de fidélité ;- adhésions à des programmes de fidélité ;- comptes et documents enregistrés ;- lutte contre le blanchiment d'argent et le financement du terrorisme ;- gestion des agents, des intermédiaires et des vendeurs ;- gestion des réseaux d'acceptation de carte et services aux commerçants :- utilisation de la carte ;- analytique ;- gestion des agents, des intermédiaires et des vendeurs ;- services relatifs aux frais ;- programmes de fidélité ;- adhésions à des programmes de fidélité ;- comptes et documents enregistrés ;- lutte contre le blanchiment d'argent et le financement du terrorisme ;- services liés aux voyages :- suivi du voyage ;- réservation des voyages ;- personne à contacter en cas d'urgence ;- réservations, émission de la réservation et du ticket ;- gestion des agents, des intermédiaires et des vendeurs ;- services liés aux frais ;- programmes de fidélité ;- adhésions à des programmes de fidélité ;- comptes et documents enregistrés ;- lutte contre le blanchiment d'argent et le financement du terrorisme. Article 3
Sur les catégories de données personnelles transférées.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe American Express et à leurs annexes, peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :Pour les transferts relatifs aux employés :
- état civil/identité/données d'identification ;- vie personnelle ;- informations d'ordre économique et financier.
Pour les transferts relatifs aux clients :
- état civil/identité/données d'identification ;- vie professionnelle ;- vie personnelle ;- informations d'ordre économique et financier. Article 4
Sur les catégories de personnes concernées par les transferts.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe American Express et à leurs annexes, peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes :