AgentPublic/cnil huggingface dataset:
En second lieu, la société soutient que la décision de la Présidente de la CNIL du 4 janvier 2017 chargeant le secrétaire général  de procéder ou de faire procéder à une mission de vérification auprès de cette société  n’est pas motivée et ne comporte pas la désignation nominative du secrétaire général et de la Présidente.
La société soutient que les procès-verbaux des constations en ligne ne comportent pas d’ordre du secrétaire général donnant instruction aux agents de la CNIL de procéder aux contrôles et que les copies d’écrans figurant sur les procès-verbaux de contrôle en ligne sont floues.
La société soutient enfin qu’aucun élément du dossier ne permet d’établir que le procureur de la République a été préalablement informé du déroulement d’une mission de contrôle de la CNIL dans ses locaux.
La formation restreinte relève qu’aucune disposition légale n’impose qu’une décision de la Présidente de la CNIL de diligenter un contrôle soit motivée et fasse figurer le nom du secrétaire général. En outre, il ressort des pièces du dossier que contrairement à ce qu’indique la société, la décision de la Présidente de la CNIL du 4 janvier 2017 comporte sa signature, sa qualité ainsi que ses nom et prénom.
Il ressort également des pièces du dossier que la CNIL a transmis à la société, par courrier du 18 janvier 2017, l’ordre de mission signé par le secrétaire général chargeant les agents de procéder aux contrôles en ligne.
Enfin, la formation restreinte relève qu’aucun autre motif de nullité ne résulte de l’instruction devant elle.
 
Par conséquent, les moyens tirés de la nullité de la procédure de sanction ne peuvent qu’être écartés.
Sur le manquement à l’obligation d’assurer la sécurité des données au titre de l’article 34 de la loi du 6 janvier 1978 modifiée
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que : Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si la société X a manqué à l’obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel contenues dans son système d’information et, en particulier, celles des utilisateurs des sites […], […], […] et […], afin notamment que ces données ne soient pas accessibles à des tiers non autorisés.
En défense, la société reconnaît l’existence de l’incident de sécurité constaté mais souligne qu’elle n’a tiré aucun avantage du manquement à la loi Informatique et Libertés et qu’elle a mis en place des mesures rapides et efficaces afin d’atténuer le dommage.
La société considère, en outre, que seul un informaticien expérimenté était en capacité d’accéder aux données des utilisateurs des sites en modifiant un élément chiffré d’une URL.
Elle conteste, en outre, la légitimité de l’éditeur du site à l’origine du signalement de saisir la CNIL de cette violation de données.
Tout d’abord, la formation restreinte considère qu’au titre des pouvoirs que la CNIL tient des dispositions de l’article 11 de la loi du 6 janvier 1978 modifiée, une mission de contrôle peut être diligentée par une délégation de la Commission, indépendamment de l’origine du signalement reçu par elle - qui est sans incidence sur les suites des procédures de contrôle et de sanction - les faits et manquements reprochés se fondant sur les seules constatations effectuées légalement par les agents habilités de la CNIL. Elle note, à cet égard, que les constats de la délégation sont corroborés par la société qui ne conteste pas la survenance d’un incident de sécurité sur ses sites internet.
Ensuite, la formation restreinte relève qu’il est avéré que les services de la CNIL ont pu accéder aux données enregistrées par les utilisateurs des sites […], […], […] et […].
La formation restreinte note que la modification d’un numéro présent à la fin des URL permettait à des tiers non autorisés d’accéder aux formulaires contenus dans ces pages. Cette violation de données a ainsi été rendue possible par l’absence de mise en place, par la société, d’un dispositif permettant d’éviter la prévisibilité des URL ainsi que d’une procédure d’identification ou d’authentification des utilisateurs.
Or, il ressort des pièces du dossier que la société, disposait, dès l’origine, du dispositif permettant d’assurer la sécurisation des données à caractère personnel des utilisateurs, mais n’a pas jugé utile d’y recourir. Elle était en effet en possession, avec le cadre applicatif CAKEPHP utilisé pour la création de ses sites internet, du cookie identifiant de session mis en place après l’alerte de la CNIL.
En conséquence, il apparaît que le recours à cette solution de sécurisation ne représentait pas un effort disproportionné et était peu coûteuse dès lors qu’elle était disponible dans l’outil utilisé pour la conception de ses sites internet.
La formation restreinte souligne à cet égard que la rapidité des mesures correctrices mises en œuvre par la société illustre la simplicité avec laquelle il était possible d’empêcher la violation de données constatée par la Commission.
La formation restreinte note, en outre, que la violation de données a été réalisée en faisant un usage normal du site, par simple modification des URL, et ne nécessitait aucune compétence technique particulière.
Elle relève enfin que les mesures élémentaires de sécurité n’ont pas été prises par la société. Il ressort du dossier que la société ne s’est pas assurée de l’absence de vulnérabilité de ses sites internet en amont, en vérifiant, par exemple que leur mise en production avait été précédée d’un protocole complet de test. Il apparaît en outre que la société n’a pas procédé, après le déploiement des sites internet, aux vérifications régulières qui lui incombaient quant aux mesures de sécurité mises en place.
La formation restreinte estime, par conséquent, que la société n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données traitées.
Sur la base de ces éléments, elle considère que le manquement à l’article 34 de la loi du 6 janvier 1978 modifiée est constitué.
III. Sur la sanction et la publicité
Aux termes des alinéas 1er et 2ème l’article 47 de la loi du 6 janvier 1978 modifiée,  Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Commission nationale de l'informatique et des libertés prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d'atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.
Le montant de la sanction ne peut excéder 3 millions d'euros .
La société soutient que le comptage effectué par le rapporteur du nombre de personnes concernées par la violation de données (717 893) résultant de l’addition du nombre de lignes créées pour chaque site est erroné et surévalué. Elle précise que le rapporteur s’est fondé sur le nombre des pistes créées lorsqu’un internaute commence à remplir un formulaire en ligne, alors que dans certaines hypothèses, il ne deviendra pas utilisateur du service car il n’aura pas finalisé la démarche.
La société relève que la majorité des données rendues accessibles n’étaient pas des données sensibles et que si certaines données relatives à la santé ou à l’intimité des personnes ont pu être accessibles sur le site […] le nombre de données demeure limité dans la mesure où les utilisateurs de ce site ne représentent que 6% de la totalité des utilisateurs des cinq sites de la société.
Elle soutient en outre qu’une sanction d’un montant de 200.000 euros proposée par le rapporteur dans son rapport, serait disproportionnée au regard des critères posés par l’article 47 de la loi du 6 janvier 1978 modifiée dès lors qu’elle n’a tiré aucun avantage du manquement à la loi et qu’elle a mis en place des mesures rapides et efficaces afin d’atténuer le dommage. Elle ajoute qu’une sanction d’un tel montant remettrait en cause sa viabilité.
Le rapporteur a, au cours de la séance, ramené sa proposition de sanction pécuniaire à 120.000 euros.
La formation restreinte considère que la gravité de la violation est constituée en raison de la nature des données concernées.
Elle estime qu’il appartenait à la société, dès lors qu’elle mettait en ligne des sites internet permettant d’effectuer des démarches administratives ([…], […], […] et […]) d’être vigilante sur la sécurité des données collectées. Elle considère, en effet, que la société X ne pouvait s’abstenir, en se positionnant en tant qu’intermédiaire entre les administrés et les services de l’Etat, de placer la sécurisation des données à caractère personnel au cœur de ses préoccupations.
La violation a ainsi rendu accessibles des données d’identification des clients telles que, selon les sites, des noms, prénoms, dates de naissance, coordonnées postales, téléphoniques et électroniques, mais également des données d’identification des parents (noms, prénoms et nom de jeune fille de la mère).
Il apparaît en outre, que certaines données concernées par la violation relèvent de l’intimité de la vie privée des personnes dès lors que celles-ci avaient effectué un récit particulièrement détaillé des faits pour lesquels elles souhaitaient déposer une plainte.
La formation restreinte relève que certaines personnes ont fourni, dans les formulaires du site […], des informations considérées comment étant des données sensibles au sens de l’article 8 de la loi Informatique et Libertés (madame S. B., profite de mon état de fragilité physique et psychologique à rapport mon handicap, pour me harceler… , je suis en pleine dépression, je me fais soigner pour une pathologie sévère, j’ai le VIH ) ainsi que des données relatives à des infractions au sens de l’article 9 de la loi précitée. La formation restreinte note que, quand bien même les utilisateurs du site […] ne représenteraient que 6% de la totalité des utilisateurs des sites de la société X, cette proportion représente un nombre important de ses clients.
En outre, la formation restreinte prend acte de ce que la société a communiqué à la délégation de contrôle, au titre du nombre d’utilisateurs présents en base de données, le nombre de pistes créées par les internautes et que dans ces conditions le nombre de 717 893 personnes est incertain. Interrogée en séance sur le nombre réel d’utilisateurs, la société n’a pas été en mesure de renseigner la formation restreinte. Il ressort, cependant, des éléments fournis par la société que les données à caractère personnel d’un nombre important d’utilisateurs, mais aussi de tiers visés dans les formulaires, ont été concernées par l’incident de sécurité.
Par conséquent, la formation restreinte considère que la gravité du manquement commis par la société X est caractérisée.
La formation restreinte note, toutefois, que la société a réagi rapidement après avoir eu connaissance de la violation de données en mettant en place des mesures correctrices trois jours après avoir été alertée par la CNIL. Elle prend également acte de ce que la société a coopéré avec la Commission dans le cadre des échanges entretenus avec ses services à la suite des contrôles en ligne ainsi que lors du contrôle sur place.
La formation restreinte relève enfin que la structure de l’entreprise, composée de seulement quatre salariés, et sa situation financière doivent être prises en compte pour la détermination de la sanction.
Au regard de l’ensemble des éléments précités, une sanction d’un montant de 25.000 (vingt-cinq mille) euros apparaît proportionnée.
La formation restreinte considère qu’au regard du contexte actuel dans lequel se multiplient les incidents de sécurité et de la nécessité de sensibiliser les internautes quant au risque pesant sur la sécurité de leurs données, il y a lieu de rendre publique sa décision.
 
 
 
 
 
 
 
 
 
 
 
 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 25.000 (vingt-cinq mille) euros ;
rendre publique sa décision, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
 
 
 
Jean-François CARREZ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'action et des comptes publics d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 13 septembre 2013 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé PATRIM ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le livre des procédures fiscales, notamment ses articles L. 107 B, L. 135 ZG, R. 107 B1, R. 107 B-2 et R. 135 ZG-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 2741-4° et 30-II ;
Vu la loi n° 2013-907 du 11 octobre 2013 modifiée relative à la transparence de la vie publique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 13 septembre 2013 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé PATRIM ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministère de l'action et des comptes publics d'un projet d'arrêté modificatif de l'arrêté du 13 septembre 2013 relatif au traitement PATRIM , pris après un avis de la commission en date du 28 mars 2013.
Le traitement PATRIM, mis en œuvre par les services de la direction générale des finances publiques (DGFiP), comporte des éléments d'informations relatifs aux mutations à titre onéreux de biens immobiliers. Il a pour finalité, d'une part, de mettre ces informations à disposition des agents habilités de la DGFiP et de la cellule de renseignement financier nationale, dans les conditions prévues par l'arrêté du 13 septembre 2013 modifié, et, d'autre part, de permettre la communication par voie électronique de ces mêmes éléments aux personnes physiques mentionnées à l'article L. 107 B du livre des procédures fiscales (LPF), dans les conditions prévues aux articles R. 107 B1 et R. 107 B2 du même livre.
Il comporte notamment un téléservice de l'administration électronique au sens des dispositions de l'article 27-11 (4°) de la loi du 6 janvier 1978 modifiée. En application de ces dispositions et de celles prévues à l'article 30-II de la même loi, les modifications apportées à l'arrêté en portant création doivent dès lors être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.
Le présent projet d'arrêté vise en premier lieu à autoriser l'accès des agents de la Haute Autorité pour la transparence de la vie publique (HATVP) aux données enregistrées dans le traitement PATRIM.
La HATVP est une autorité administrative indépendante dont les missions sont prévues à l' article 20 de la loi n° 2013-907 du 11 octobre 2013 susvisée. En particulier, elle est chargée de recevoir des principaux responsables publics relevant de sa compétence leurs déclarations de situation patrimoniale et leurs déclarations d'intérêts et d'en assurer la vérification et le contrôle.
Afin de permettre aux agents de cette autorité de contrôler, de manière efficace et rapide, l'évaluation et l'évolution du patrimoine des personnes concernées, les dispositions de l'article L. 135 GZ du livre des procédures fiscales (LPF) prévoient expressément une dérogation au secret professionnel en matière fiscale et leur permettent d'accéder notamment au traitement PATRIM. Pour les besoins de l'accomplissement de leurs missions, les agents de la HATVP, individuellement désignés et dûment habilités selon les modalités prévues à l'article R. 135 ZG-1 du LPF, disposent ainsi d'un droit d'accès audit traitement.
Dans ces conditions, les modifications prévues de l'arrêté du 13 septembre 2013 précité relatives aux finalités du traitement, afin de mentionner la mise à disposition des données enregistrées dans PATRIM à ces agents au titre de ces finalités, et à la liste des destinataires de ces données, afin d'y ajouter les agents habilités de la HATVP, n'appellent pas d'observation de la part de la commission.
S'agissant des modalités de ces nouveaux accès, la commission prend acte que les agents habilités de la HATVP, tenus au secret professionnel, auront accès, en seule consultation, à l'ensemble des données enregistrées dans le traitement sur le plan national, y compris aux dossiers sensibles, et aux fonctions de recherche offertes par l'application.
Il est prévu que cet accès Web au traitement PATRIM intervienne par connexion au portail ADER, accessible via le Réseau interministériel interne, au moyen d'un identifiant personnalisé et d'un mot de passe. Le ministère n'a toutefois pas précisé les règles de gestion de ces mots de passe. La commission rappelle dès lors que l'authentification de ces agents, et plus généralement de l'ensemble des agents s'authentifiant via ce portail en vue d'accéder à des traitements de données à caractère personnel, doit être conforme à l'état de l'art, tel que précisé dans les recommandations de la commission en la matière.
Conformément aux dispositions de l'article R. 135 GZ-1 du LPF, les habilitations individuelles des agents de la HATVP sont délivrées par le président de cette autorité et communiquées à la DGFiP, de même que toute modification relative à ces habilitations. La commission prend acte que ces habilitations seront revues tous les six mois et que ces échanges auront lieu par l'intermédiaire d'une plateforme d'échanges sécurisée. Elle rappelle toutefois que les échanges des clés de chiffrement devront être réalisés par un autre moyen de communication que celui utilisé pour transmettre les accès à la plateforme.
Les consultations du traitement PATRIM par les agents de la HATVP feront l'objet des mêmes mesures de journalisation que les autres utilisateurs du traitement et il est prévu que l'exploitation de ces traces soit de la responsabilité exclusive de la HATVP. A cet égard, la commission prend acte que la HATVP s'est engagée à appliquer les mêmes règles et analyses de contrôle de ces traces que celles auxquelles sont soumis ces autres utilisateurs et que les agents en charge de ce contrôle ont été dûment informés de ces processus par la DGFiP.
Le projet d'arrêté vise en second lieu à ajouter à la liste des informations ou catégories d'informations traitées par l'application PATRIM, qui figure à l'article 3 de l'arrêté du 13 septembre 2013 modifié, les images des actes relatifs aux mutations à titre onéreux de biens immobiliers.
Ces actes seront consultables, au format PDF, par l'ensemble des destinataires du traitement, afin de mieux fiabiliser les données structurées restituées par l'application, notamment en cas de contentieux sur l'évaluation des biens immeubles. La commission estime que ces données sont pertinentes, adéquates et non excessives au regard des finalités du traitement PATRIM, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Les autres conditions de mise en œuvre du traitement PATRIM ne font pas l'objet de modifications.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par la société OpenHealth Company d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel, comprenant notamment des données de santé, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les articles L. 1461-1 et suivants du code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son chapitre IX et ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société OpenHealth Company (ci-après OHC ) d’une demande d’autorisation relative à la constitution d’un entrepôt de données comprenant notamment des données de santé à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
OHC est spécialisée dans le recueil, le traitement et l’analyse de données de santé, ainsi que dans la mise en œuvre de systèmes d’informations de santé. La société a obtenu, le 4 août dernier, l’agrément pour héberger des données de santé. 
La Commission relève qu’OHC met en œuvre, à la date du dépôt de la demande d’autorisation, un traitement ne comportant pas de données à caractère personnel, qui concerne la totalité des ventes des produits commercialisés par plusieurs milliers de pharmacies d’officines.
Ces données, selon OHC, ne contiendraient que des noms de produits, des quantités et des prix. Ces données anonymes de ventes permettraient la réalisation d’études, y compris pharmaco-épidémiologiques, sur la base d’un nombre de dispensations et non d’un nombre de patients.
Cet entrepôt est constitué à partir des données issues des pharmacies d’officine, réparties sur l’ensemble du territoire national, ayant un lien contractuel avec OHC. Cet entrepôt est alimenté, soit directement soit indirectement par l’intermédiaire d’un tiers, par les données des pharmacies d’officines par l’intermédiaire des logiciels de gestion d’officine (LGO) de celles-ci. Selon OHC, aucune rémunération n’est versée aux pharmacies ; celles-ci peuvent disposer gratuitement, en retour, d’informations relatives aux volumes de vente de groupements de pharmacie.
Aujourd’hui, la société OHC souhaite compléter ces informations par des données à caractère personnel permettant de chaîner celles-ci afin de constituer un entrepôt de données à caractère personnel dans le but de mener des recherches, des études ou évaluations dans le domaine de la santé.
Afin de mettre en œuvre ce traitement, OHC a déposé auprès de la Commission une demande d’autorisation fondée sur les articles 8-IV et 25-I-1° de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ou loi ) relatifs aux traitements de données à caractère personnel dites sensibles justifiés par l’intérêt public.
Sur la finalité du traitement et son caractère d’intérêt public