AgentPublic/cnil huggingface dataset:
À l’issue de son instruction, le rapporteur a fait notifier à la société, par porteur, le 13 janvier 2017, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 50.000 euros, rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 23 février 2017 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 13 février 2017, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 23 février 2017.
Motifs de la décision
A. Un manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement
L’article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
La société a été mise en demeure de définir une durée de conservation des données présentes en base, en fonction des finalités pour lesquelles ces données sont collectées et traitées et, en particulier, veiller à ce que les données relatives au cryptogramme ne soient pas conservées au-delà du temps nécessaire à la réalisation de la transaction. Il a également été enjoint à la société de procéder à la purge des données des clients ayant demandé la suppression de leurs comptes.
Il appartient à la formation restreinte de décider si la société s’est conformée aux termes de la mise en demeure ou a manqué à l’obligation lui incombant de définir et de respecter une durée de conservation proportionnée à la finalité du traitement.
En défense, si la société ne conteste pas les faits qui lui sont reprochés, elle fait principalement valoir qu’elle a porté une attention particulière aux demandes formulées par la CNIL et qu’elle s’est montré diligente tout au long de la procédure en se mettant en conformité avec un grand nombre des manquements qui étaient relevés. La société précise, en tout état de cause, que sa difficulté à se conformer aux injonctions formulées à son encontre, dans le délai initialement imparti, était due aux faibles moyens financiers et humains dont elle disposait.
En premier lieu, s’agissant de la purge automatique des données relatives à des comptes inactifs depuis quinze mois ou plus, elle précise ainsi avoir, dès l’été 2016, engagé des travaux de mise en conformité et avoir rencontré de nombreux problèmes techniques. La société indique que des correctifs ont été mis en œuvre, dont la finalisation est intervenue la dernière semaine de novembre 2016.
Elle relève également que si, au jour du second contrôle, la délégation a effectivement constaté que des données relatives à des comptes inactifs étaient encore présentes dans son système d’information, seuls dix comptes d’utilisateurs étaient concernés sur l’ensemble des clients de la société […].
La société précise en outre avoir mené un travail d’investigation pour comprendre les raisons de ce dysfonctionnement et avoir travaillé durant tout le mois de décembre 2016 à la réécriture de la procédure de purge, celle-ci étant pleinement effective depuis la fin du mois de janvier [2017] .
En second lieu, en ce qui concerne la suppression des cryptogrammes visuels, la société a indiqué que cette conservation se justifiait initialement par les exigences techniques imposées par son prestataire de paiement. Elle précise avoir pris la décision de changer de prestataire de paiement, ce changement n’ayant pu intervenir qu’au mois d’octobre 2016 avant qu’un problème majeur ne l’oblige à revenir à son ancien prestataire.
La société indique que la modification de l’interface de paiement a ainsi été opérée à la fin du mois de janvier 2017 et qu’il n’y a plus, au jour de l’audience, aucun cryptogramme visuel stocké en base. Elle produit à cet égard un constat d’huissier.
La formation restreinte relève tout d’abord que malgré l’échéance du délai imparti par la mise en demeure, plusieurs échanges ont eu lieu avec la société afin de l’accompagner dans une démarche de mise en conformité. À cet égard, le second contrôle est intervenu près de deux mois après le courrier en réponse de la société du 14 septembre 2016 annonçant l’effectivité des mesures de conformité entreprises.
La formation restreinte considère également qu’il n’y a pas lieu de minimiser le nombre de comptes non purgés ou de cryptogrammes conservés à la date du 12 décembre 2016 dès lors que le délai de mise en conformité était largement expiré et qu’aucun cryptogramme n’aurait dû être stocké par la société à cette date.
En tout état de cause, la formation restreinte relève qu’aucun élément permettant effectivement d’attester des dysfonctionnements dont se prévaut la société n’a été porté à sa connaissance dans le cadre de la présente procédure ni à celle des services de la CNIL tout au long de l’instruction.
Le manquement aux obligations découlant de l'article 6-5° de la loi du 6 janvier 1978 modifiée est, dès lors, caractérisé.
B. Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si la société […] a manqué à l'obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel contenues dans son système d'information.
En défense, si la société n’entend pas contester les constatations effectuées par les services de la CNIL, elle fait en premier lieu valoir que l’article 34 de la loi du 6 janvier 1978 modifiée n’apporte aucune précision quant à la robustesse susceptible d’être imposée pour la création et l’utilisation des mots de passe des utilisateurs, considérant ainsi que le grief relatif à l’obligation d’assurer la sécurité et la confidentialité des données lui est inopposable.
Elle considère également qu’au regard des exigences qui lui étaient imposées, la Présidente a manifestement anticipé sur le fruit des travaux menés par la CNIL dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La société précise enfin qu’en tout état de cause, avant même le premier contrôle de la CNIL, les mots de passe devaient comprendre huit caractères. Comme annoncé dans son courrier du 28 avril 2016, elle indique avoir travaillé à la mise en œuvre d’une politique de gestion des mots de passe, laquelle a fait l’objet d’un dysfonctionnement technique révélé lors du second contrôle de la CNIL.
En deuxième lieu, s’agissant de la transmission en clair de l’identifiant et du mot de passe dans le courrier électronique de confirmation de création de compte, la société indique avoir remédié au dysfonctionnement constaté. Elle produit à cet égard un constat d’huissier.
En troisième lieu, en ce qui concerne la méthode de stockage du sel, la société précise que le sel stocké sur l’objet utilisateur avec le mot de passe encrypté est unique pour chaque utilisateur et changé à chaque fois qu’il modifie son mot de passe . Elle estime ainsi que cette modalité de stockage du sel dans un fichier distinct
de celui où figure le mot de passe hashé et encrypté
ne semble pas faire peser un quelconque risque pour la sécurité des données des utilisateurs .
La formation restreinte rappelle tout d’abord que le dispositif de la mise en demeure adressée à la société était sans ambiguïté et que cette dernière ne saurait désormais arguer du caractère imprécis de l’article 34 de la loi du 6 janvier 1978 modifiée. Elle relève à cet égard que dans le cadre des courriers adressés à la CNIL les 28 avril et 14 septembre 2016, la société a indiqué être en train d’opérer une modification invitant ses clients à choisir un mot de passe composé d’au moins huit caractères avec trois critères de complexité et accompagné d’un dispositif leur indiquant le degré de force et de sécurité du mot de passe choisi.
Elle rappelle également qu’en l’espèce, il ne s’agissait pas d’imposer de manière anticipée à la société les dispositions de la recommandation du 19 janvier 2017 précitée mais bien celles de l’article 34 de la loi du 6 janvier 1978 modifiée. En tout état de cause, la formation restreinte relève que s’il avait été fait application de ladite recommandation, ce n’est pas huit mais douze caractères qui auraient été demandés dans le cadre de la composition des mots de passe.
Elle relève par ailleurs qu’il n’est pas contesté qu’à la date du 12 décembre 2016, des mots de passe composés d’un seul caractère étaient acceptés par le système d’information de la société. De la même manière, la formation restreinte observe que, contrairement aux réponses fournies par la société dans son courrier du 28 avril 2016, l’identifiant et le mot de passe des utilisateurs étaient toujours transmis en clair à l’utilisateur à la date du second contrôle. 
La formation rappelle enfin que le stockage du sel dans un espace distinct de celui où sont stockés les mots de passe (et non dans un même fichier) constitue une précaution élémentaire de nature à assurer la sécurité et la confidentialité des données.
Sur la base de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l'article 34 de la loi du 6 janvier 1978 modifié est constitué.
Sur la sanction et la publicité
La formation restreinte considère que les manquements aux articles 6-5° et 34 de la loi du 6 janvier 1978 modifiée ont persisté bien au-delà de l’échéance du délai imparti par la mise en demeure de la Présidente de la Commission.
Prenant en considération le fait, établi par constat d’huissier, que la société s’était mise en conformité au 13 février 2017, la formation restreinte estime justifié le prononcé, à son encontre, d’une sanction d’un montant de 15 000 euros.
Compte tenu de la persistance dans le temps de plusieurs manquements formulés à l’encontre de la société, malgré les nombreuses diligences effectuées à son égard par les services de la CNIL, la formation restreinte décide de rendre publique sa décision. Elle estime nécessaire de sensibiliser les personnes et les responsables de traitement aux droits et obligations issus de la loi Informatique et Libertés , en particulier, à l’importance de répondre aux demandes de la Présidente et de mettre effectivement en œuvre les mesures annoncées.
La Commission nationale de l'informatique et des libertés,
Saisie par le Commissariat général à l'égalité des territoires d'une demande d'avis portant sur un projet de décret autorisant la création d'un traitement de données à caractère personnel dénommé SYNERGIE pour la gestion des fonds européens 2014-2020 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 1301/2013 du Parlement européen et du Conseil du 17 décembre 2013 portant dispositions communes relatives au Fonds européen de développement régional, au Fonds social européen, au Fonds de cohésion, au Fonds européen agricole pour le développement rural et au Fonds européen pour les affaires maritimes et la pêche, portant dispositions générales applicables au Fonds européen de développement régional, au Fonds social européen, au Fonds de cohésion et au Fonds européen pour les affaires maritimes et la pêche, et abrogeant le règlement n° 1083/2006 du Conseil ;
Vu le règlement (UE) n° 1304/2013 du Parlement européen et du Conseil du 17 décembre 2013 relatif au Fonds social européen et abrogeant le règlement (CE) n° 1083/2006 du Conseil ;
Vu le règlement (UE) n° 480/2014 de la Commission du 3 mars 2014 complétant le règlement n° 1303/2013 du Parlement européen et du Conseil portant dispositions communes relatives au Fonds européen de développement régional, au Fonds social européen, au Fonds de cohésion, au Fonds européen agricole pour le développement durable et au Fonds européen pour les affaires maritimes et la pêche ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu la loi n° 2014-58 du 27 janvier 2014 de modernisation de l'action publique territoriale et d'affirmation des métropoles ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10, et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2014-580 du 3 juin 2014 relatif à la gestion de tout ou partie des fonds européens pour la période 2014-2020 ;
Vu le décret n° 2016-126 du 8 février 2016 relatif à la mise en œuvre des programmes cofinancés par les fonds européens structurels et d'investissement pour la période 2014-2020 ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le Commissariat général à l'égalité des territoires (CGET) d'une demande d'avis sur un projet de décret autorisant la création d'un traitement automatisé de données à caractère personnel dénommé système d'information SYNERGIE pour la gestion des fonds européens 2014-2020.
Cette saisine intervient suite à l'adoption en 2010 de la stratégie décennale de l'Union européenne appelée stratégie Europe 2020 qui vise une croissance intelligente, durable et inclusive et qui détermine plusieurs objectifs en matière de recherche et développement, d'emploi, de lutte contre la pauvreté, d'énergie et de climat.
Pour atteindre ces objectifs, plusieurs politiques doivent être mises en œuvre par les Etats membres, grâce à des projets financés par différents fonds européens.
Pour la période 2014-2020, la Commission européenne a défini de nouvelles exigences pour la gestion des différents fonds. En effet, elle souhaite renforcer les systèmes de suivi et d'évaluation de l'allocation des fonds en imposant aux Etats membres la mise en œuvre d'un système dématérialisé pour traiter l'instruction des demandes portées par les bénéficiaires.
Elle impose également un suivi continu de la réalisation des objectifs de l'Union par les projets mis en œuvre grâce aux fonds.
Elle impose enfin aux autorités de gestion des fonds de mettre en place des mesures de lutte contre la fraude.
Pour répondre à ces exigences, la France crée un système d'information dénommé SYNERGIE permettant la gestion administrative, financière et opérationnelle des programmes européens 2014-2020 du Fonds européen de développement régional (FEDER), du Fonds social européen (FSE), du Fonds asile migration et intégration (FAMI), du Fonds de sécurité intérieure (FSI), du Fonds européen d'aide aux plus démunis (FEAD) et de l'Instrument d'aide à la pré-adhésion (IPA).
Ce système d'information devra permettre aux porteurs de projet de déposer leur demande d'attribution de fonds et aux autorités de gestion de les instruire. Il permettra également aux autorités d'audit et de certification d'exercer leurs missions en disposant des informations nécessaires.
Une application du système permettra la réalisation en continu d'analyses nécessaires au suivi.
Enfin, le système d'information comportera un module permettant le dépôt des pièces justificatives nécessaires à l'instruction des dossiers de demande et au suivi des objectifs.
Le traitement projeté met à disposition des usagers, via un mécanisme unique d'authentification, un téléservice de l'administration électronique. Dans la mesure où il comporte un identifiant des personnes physiques, il relève de l'article 27-11 (4°) de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
Le système d'information SYNERGIE est l'outil de gestion des fonds européens pour la période 2014-2020.
L'article 1er du projet de décret énumère les finalités qu'il poursuit, à savoir :
- permettre le dépôt dématérialisé de demande d'aide au titre des fonds européens visés au VI de l'article 1er du projet de décret ;
- simplifier la gestion, le traitement, la prise en charge et le versement des aides par les services gestionnaires des fonds européens ;
- améliorer la qualité du service rendu aux bénéficiaires, après la décision de l'octroi de l'aide ;
- faciliter les contrôles croisés entre les fonds européens et les audits conformément à la réglementation européenne susvisée ;
- satisfaire aux obligations de l'Union européenne d'établir un système d'enregistrement et de stockage sous forme informatisée des données relatives à chaque opération pour chaque autorité de gestion.
La commission relève que l'amélioration de la qualité de service rendu aux bénéficiaires correspond à l'exigence de l'Union européenne de traiter les demandes de manière dématérialisée.
Elle considère que ces finalités sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les personnes concernées par le traitement projeté sont essentiellement les porteurs de projet. S'il s'agit majoritairement de personnes morales, les données collectées pourront cependant être relatives à des personnes physiques dans les cas où l'organisme bénéficiaire n'emploierait qu'une personne.
L'article 2 du projet de décret énumère les catégories de données collectées relatives aux porteurs de projet qui sont définies au regard de la liste des données à enregistrer et à stocker sous forme électronique dans le système de suivi, prévues à l'annexe III du règlement délégué 480/2014 de la Commission du 3 mars 2014 précité.
Concernant cette catégorie de personnes, la commission relève qu'un identifiant technique du porteur de projet est collecté. Interrogé sur ce point, le CGET a indiqué que cet identifiant est un numéro unique séquentiel attribué par le système à la création du compte du bénéficiaire, ce qui n'appelle pas d'observations de la commission.
Elle relève également que les dates et lieux de naissance des porteurs de projet sont collectés.
Interrogé sur ce point, le CGET a indiqué que la présence de ces données se justifie par la nécessité de répondre aux indicateurs relatifs aux bénéficiaires, qui imposent de recueillir leur nom et leurs coordonnées. Par ailleurs, il a indiqué que des critères d'éligibilité liés à l'âge peuvent être appliqués.
Enfin, il a précisé que la collecte de ces données permettait d'anticiper des modifications du règlement (UE) n° 1303/2013 du 17 décembre 2013 qui autorisera prochainement les personnes physiques à être directement bénéficiaires des fonds, sous conditions d'âge.
La commission relève néanmoins que les critères d'éligibilité liés à l'âge ne sont applicables actuellement que pour les demandes d'aides relatives au Fonds européen agricole pour le développement (FEADER) et au Fonds européen pour les affaires maritimes et la pêche (FEAMP), lesquels ne sont pas concernés par le traitement projeté.
Elle rappelle que seules les données pertinentes au regard de la finalité du traitement peuvent être collectées. Aussi considère-t-elle qu'à l'heure actuelle la collecte des informations liées à la date et au lieu de naissance du porteur de projet n'apparaît pas justifiée.
La commission relève que des données à caractère personnel concernant les participants finaux seront traitées uniquement dans le cadre du FSE afin de répondre aux exigences européennes qui imposent le contrôle de l'attribution des fonds.
La commission en prend acte et recommande que le projet de décret fasse expressément état de cette précision, préalablement à l'énumération des données collectées relatives aux participants.
Elle relève par ailleurs que ces données seront collectées à l'aide d'un questionnaire fourni aux participants à leur entrée dans une action cofinancée par le Fonds social européen sur lequel la commission s'est prononcée par une délibération en date du 13 novembre 2014.
S'agissant des données de connexion, la commission précise qu'il s'agit d'une erreur matérielle et que ces données ne concernent en réalité que les porteurs de projet visés à l'article 2 la du projet de texte.
Aux termes de l'article 3 du règlement n° 1304/2013 relatif au FSE, celui-ci intervient en faveur des personnes, notamment les personnes défavorisées telles que les chômeurs de longue durée, les personnes handicapées, les migrants, les minorités ethniques, les communautés marginalisées et les personnes de toutes les catégories d'âge victimes de la pauvreté et de l'exclusion sociale , et notamment les Roms (considérant n° 16).
La commission relève qu'il n'existe pas de définition statistique des personnes d'origine étrangère, ni de définition nationale des minorités ethniques, et que la collecte de cette dernière catégorie de données a de plus été jugée contraire au droit français.
Cet indicateur sera renseigné par la mention de la commune de naissance, qui correspondra au code 99999 en cas de naissance à l'étranger, et la réponse éventuelle à la question fermée concernant l' indication d'un parent né à l'étranger , la première permettant de caractériser les migrants, la seconde les participants d'origine étrangère.
La commission prend acte de ce que le formulaire de collecte prévoit la possibilité de ne pas répondre aux deux questions Etes-vous sans domicile fixe ou confronté à l'exclusion de votre logement ? et Un de vos deux parents est-il né à l'étranger ? en cochant la case ne souhaite pas répondre / ne sait pas .
Concernant les données relatives aux personnes handicapées et à une situation de handicap , la commission relève que ces deux catégories de données se rapportent à une unique question fermée sous la forme oui/non dans le formulaire de collecte ( Avez-vous une reconnaissance officielle d'un handicap ? ).
La commission s'interroge donc sur la distinction entre ces deux catégories de données.
Elle constate néanmoins, à la lecture du formulaire, qu'aucune information supplémentaire relative à la nature du handicap ne sera collectée.
La commission prend acte que la collecte des données relatives aux participants via le formulaire précité n'entraînera donc pas la collecte de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée. Ce dispositif permet néanmoins de répondre aux critères définis par les indicateurs européens précités.
La commission relève également que des données relatives à la résidence en zone urbaine sensible seront collectées. Elle prend acte des précisions apportées par le CGET selon lesquelles, en complément des indicateurs communs définis par la Commission européenne, certains indicateurs spécifiques nationaux ont été définis pour permettre le suivi des engagements nationaux inscrits dans l'Accord de partenariat. Dans ce cadre, l'un des objectifs à tenir par la France est de s'assurer que 10 % du total des fonds FEDER et FSE du programme opérationnel de l'Etat et des programmes régionaux sont destinés aux quartiers prioritaires de la politique de la ville.
L'information relative à la résidence en zone urbaine sensible sera ainsi déduite de l'adresse du participant mais ne figurera pas en tant que telle dans le formulaire de collecte des données relatives aux participants.
Des données relatives au bénéfice d'un contrat aidé sont également collectées.
Le CGET a justifié la présence de cette donnée pour répondre à l'indicateur commun FSE participant exerçant un emploi y compris à titre indépendant .