AgentPublic/cnil huggingface dataset:
Elle appelle à cet égard l'attention du ministère sur les modalités de conservation et d'accès aux enregistrements des données qui ont été considérées, au moment de la transcription, sans rapport avec l'enquête en cours, ainsi que des données captées sur un système d'information n'appartenant pas à la personne mise en cause. La Commission estime que, dans ces hypothèses, des mesures particulières devront être mises en œuvre afin de garantir leur confidentialité. Elle rappelle également qu'un contrôle strict doit être exercé sur leur accès.
L'article 6 du projet de décret prévoit que toute opération de collecte, de modification, de consultation, de transfert et de suppression des données à caractère personnel et informations fait l'objet d'un enregistrement comprenant l'identification de l'auteur, la date, l'heure et la nature de l'opération. Ces informations sont conservées pendant une durée de six ans , ce qui n'appelle pas d'observation particulière de la Commission.
Sur les destinataires
L'article 4 du projet de décret prévoit que les agents des services fiscaux habilités à effectuer des enquêtes judiciaires en application de l'article 28-2 du code de procédure pénale peuvent accéder aux données enregistrées dans le traitement.
La Commission relève que ces agents sont habilités à effectuer des enquêtes sur réquisition du procureur de la République ou sur commission rogatoire du juge d'instruction, leur conférant dès lors des prérogatives de police judiciaire s'agissant d'infractions entrant dans le champ du dispositif projeté.
Compte tenu de ces éléments, elle considère que ces agents sont légitimes à accéder aux données enregistrées dans les traitements mis en œuvre, dans le respect du principe du besoin d'en connaître et pour les besoins exclusifs de la procédure dans le cadre de laquelle l'opération de captation a été autorisée.
L'article 4 précité prévoit qu'ont également accès aux informations mentionnées à l'article 6, les personnalités qualifiées chargées du contrôle des travaux de conception et des opérations de mise en œuvre des dispositifs techniques .
La Commission relève que l'article 7 de l'arrêté du 9 mai 2018 portant création du service technique national de captation judiciaire prévoit que les travaux de conception et les opérations de mise en œuvre des outils de captation judiciaire mentionnés à l'article 2 sont placés sous le contrôle de deux personnalités qualifiées, respectivement désignées par le ministre de l'intérieur et le ministre de la justice, pour une durée de cinq ans renouvelable . Il précise également que ces personnes peuvent solliciter la communication par le service de toute information nécessaire à l'exercice de leur mission de contrôle .
La Commission prend acte que seules les données de traçabilité leur seront accessibles aux fins d'exercice de leur mission de contrôle .
Sans remettre en cause la nécessité pour ces personnalités d'avoir communication des données de traçabilité enregistrées dans les traitements mis en œuvre, elle relève que l'arrêté du 9 mai 2018 précité semble prévoir une communication ponctuelle, à leur demande, de ces données. Dans ce contexte et en l'état des informations portées à sa connaissance, la Commission recommande que ces personnalités soient uniquement rendues destinataires de cette catégorie de données. Elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens ainsi que l'AIPD transmise.
Sur les droits des personnes concernées
L'article 7 du projet de décret prévoit que le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 susvisées ne s'applique pas au présent traitement . L'article précité précise également que conformément aux articles 104 à 106 de la même loi, les droits d'information, d'accès, de rectification et d'effacement des données mentionnées à l'article 2 s'exercent directement auprès du ministère de l'intérieur .
La Commission prend acte que les personnes seront informées via la publication de l'acte réglementaire ainsi que par le biais du site internet du ministère de l'intérieur. Elle relève par ailleurs que l'exercice de l'ensemble de ces droits peut faire l'objet de restrictions, afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires, ou de protéger la sécurité publique et la sécurité nationale, en application des 2° et 3° du II et III de l'article 107 de la loi du 6 janvier 1978 modifiée. Compte tenu de la finalité du traitement, la limitation de ces droits, qui s'exercent dans une telle hypothèse auprès de la Commission dans les conditions prévues à l'article 108 de cette même loi, n'appelle pas d'observation particulière.
Sur les mesures de sécurité
Le système de traitement de données captées se matérialise par l'insertion de manière discrète d'une charge logique sur l'équipement de l'individu visé. Une fois activé, le logiciel permet la remontée aux forces de l'ordre de l'ensemble des données présentes sur le support ciblé.
La Commission relève que les données devant être collectées sont enrichies par une signature et par un journal d'évènement. Elle prend acte qu'ensuite, avant transfert, les données collectées, accompagnées de leurs journaux d'évènement, sont chiffrées, à l'aide d'un algorithme public réputé fort, ce qui n'appelle pas d'observations.
Elle prend acte qu'afin de consulter les données, le personnel habilité doit se connecter à l'espace de conservation des données via une connexion chiffrée de type VPN. De plus, le personnel habilité doit s'authentifier de manière forte, à l'aide d'un dongle et d'un mot de passe devant comporter dix (10) caractères minimum dont un caractère spécial, soumis à une règle de blocage du compte après trois tentatives infructueuses et ayant une durée de validité égale au temps d'investigation. Les administrateurs, en charge de réaliser l'administration des droits et le support de niveau 2, doivent quant à eux accéder à la plateforme au moyen d'une connexion SSH soumise à mot de passe puis s'authentifier à l'aide d'une carte à puce. Ces éléments n'appellent pas d'observations.
La Commission prend acte que les administrateurs précités sont les seuls habilités à délivrer les mots de passe et à déclarer les ayants droit autorisés à accéder aux espaces de stockage (conteneurs de données), les utilisateurs finaux disposant d'un mot de passe par affaire. A cet égard, elle encourage le ministère à mettre en œuvre une organisation forte de gestion des mots de passe délivrés par les administrateurs.
Enfin, elle relève que le ministère indique qu'actuellement, aucune protection contre les sources de risques non humaines (catastrophes naturelles par exemple), n'existe, le second site permettant la sauvegarde des données n'étant pas choisi à l'heure actuelle. Elle prend acte que le ministère envisage d'utiliser un site de secours pour les sauvegardes d'ici 2020.
La Commission estime que les mesures de sécurité sont conformes à l'exigence de sécurité prévue par l'article 99 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, elle rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l'analyse d'impact.
Pour la présidente :
La vice-présidente déléguée,
S. Lambremon
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Christine MAUGÜE et Sylvie LEMMET, membres ;
Vu la convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2019-010 du 21 novembre 2019 prononçant une sanction à l’encontre de la société x ;
Vu les éléments transmis par la société X le 20 décembre 2019 et le 15 janvier 2020 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération no 2019-010 du 21 novembre 2019 a enjoint à la société X de prendre les mesures permettant d’empêcher de manière effective que des commentaires excessifs ne soient enregistrés dans le logiciel PROGIBOS, de procéder à l’information des personnes, de mettre en œuvre une procédure permettant d’assurer l’effectivité des droits d’opposition exprimés par les personnes prospectées et d’encadrer les relations entre la société et ses sous-traitants procédant aux campagnes de prospection téléphonique par des actes juridiques répondant aux critères posés par les articles 44 à 49 du Règlement 2016/679.
Cette injonction était assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 20 décembre 2019, dans le délai fixé par la délibération, la société X a adressé au président de la formation restreinte des éléments en vue de justifier de sa mise en conformité à l’injonction prononcée à son encontre.
Elle a ainsi transmis un procès-verbal d’huissier du 17 décembre 2019, des courriers à destination des onze sous-traitants avec lesquels elle était en relation et un devis de la société La Poste. Ces documents avaient pour objet de justifier du déploiement d’un système automatisé de gestion des oppositions exprimées, de l’arrêt des relations contractuelles avec des centres d’appel et de la mise en place d’un démarchage par courrier postal.
Le 6 janvier 2020, le président de la formation restreinte a fait parvenir à la société X une demande de complément portant, d’une part, sur l’information communiquée aux personnes dont les données n’ont pas été directement collectées par la société et, d’autre part, sur l’effectivité du mécanisme d’opposition.
Le 15 janvier 2020, la société a adressé au président de la formation restreinte de nouveaux éléments en réponse. Elle a notamment produit un procès-verbal du 13 janvier 2020 visant à démontrer l’effectivité du mécanisme d’opposition mis en place.
II.Motifs de la décision
La formation restreinte relève que les procès-verbaux d’huissier de justice du 17 décembre 2019 et du 13 janvier 2020 démontrent que l’information communiquée aux personnes est désormais conforme aux exigences des articles 12, 13 et 14 du Règlement 2016/679.
La formation restreinte retient que les personnes démarchées ont la possibilité de s’opposer de manière satisfaisante à la prospection et qu’un mécanisme automatisé et efficace empêche effectivement toute démarche de prospection ultérieure.
Il ressort des constatations effectuées par l’officier ministériel que le logiciel PROGIBOS ne permet plus de renseigner des commentaires libres.
Enfin, les courriers adressés aux centres d’appels démontrent que la société ne fait plus appel à ces sous-traitants hors de l’Union européenne.
Par conséquent, la formation restreinte considère que la société X a satisfait à l’injonction dans le délai imparti et s’est mise en conformité avec les dispositions des articles 5, 12, 13, 14, 21 et 44 du règlement (UE) no 2016/679 du 27 avril 2016 relatif à la protection des données.
Cette décision sera rendue publique comme l’avait été la délibération no 2019-010 du 21 novembre 2019.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2019-024C du 20 décembre 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu le procès-verbal de contrôle n° 2019-024/1 du 21 février 2019 et n° 2019-024/2 du 14 mai 2019 ;
Vu les autres pièces du dossier ;
Les faits constatés
La société anonyme X (ci-après X ) a pour activité la fourniture d’électricité et de gaz. Elle emploie ‎160 000 personnes et, en 2018, a réalisé un chiffre d’affaires d’environ 61 milliards d’euros. Son siège social est situé[...].
En application de la décision n° 2019-024C du 20 décembre 2018 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ), une délégation de la CNIL a procédé à deux missions de contrôle sur place le 21 février 2019 et le 14 mai 2019.
Cette mission a eu pour objet de procéder à la vérification de la conformité des traitements de données à caractère personnel mis en œuvre par la société aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ( RGPD ).
Sur les compteurs communicants LINKY
Le compteur communicant LINKY permet de relever à distance des données de consommation d’électricité plus fines que les compteurs traditionnels, telles que les consommations quotidiennes et à la demi-heure.
Les compteurs LINKY sont actuellement en cours de déploiement par ENEDIS, le gestionnaire du réseau de distribution. ENEDIS prévoit d’installer 35 millions de compteurs communicants d’ici 2021.
Sur la collecte des données de consommation issues des compteurs communicants LINKY
Lors du contrôle effectué le 21 février 2019, la délégation a été informée et a constaté que la société X recueille le consentement des usagers à la collecte de leurs données de consommation fines par le biais d’une case à cocher.
Plus précisément, l’usager se voit proposer d’activer la collecte de ses données quotidiennes et à la demi-heure via une seule case à cocher autoriser , rédigée ainsi : Afin d’avoir accès au suivi de consommation détaillée, j’autorise le distributeur d’électricité à collecter et à transmettre à X les informations de mesure de consommation détaillées, notamment la courbe de charge, passées et à venir du point de livraison .
En complément, en cliquant sur un lien en savoir plus sur les données collectées , il est précisé Quelles sont les données collectées ? À quoi servent-elles ?
Votre consommation et vos index quotidiens en kWh nous permettent d’afficher votre consommation quotidienne en kWh et en euros
La puissance maximale quotidienne nous permettra de vous apporter des conseils tarifaires sur la puissance souscrite
La courbe de charge nous permettra de vous présenter une répartition par usage personnalisé .
La délégation a été informée que la société X recueille ce consentement en vue d’afficher dans l’espace client les consommations quotidiennes et à la demi-heure.
Sur les durées de conservation
La délégation a été informée, qu’à l’issue de la résiliation du contrat, la société X conserve en base active les coordonnées du client (nom, prénom, adresse), ainsi que les données nécessaires à l’exécution du contrat (pièces comptables, factures, les consommations mensuelles, contrat).
La délégation a été informée que ces données sont conservées pendant trois ans en base active puis sont archivées pendant huit ans en archivage intermédiaire.
Les manquements au regard des dispositions du RGPD
Un manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre
Selon la granularité de la donnée (données journalières ou données de consommation fines à l’heure ou à la demi-heure) et le rôle du responsable de traitement dans la chaîne énergétique (gestionnaire du réseau de distribution ou fournisseur), la collecte des données de consommation peut nécessiter de recueillir le consentement du client.
Ainsi, le gestionnaire du réseau de distribution (ENEDIS) collecte par défaut les consommations journalières pour permettre à l’usager de consulter gratuitement l’historique de ses consommations, conformément au code de l’énergie. En revanche, il ne collecte pas les données de consommation fines (horaires et/ou à la demi-heure) de manière automatique. En effet, ces données ne peuvent être collectées par le gestionnaire du réseau de distribution qu’avec l’accord de l’usager ou, de manière ponctuelle, lorsqu’elles sont nécessaires à l’accomplissement des missions de service public assignées au gestionnaire du réseau par le code de l’énergie (par exemple, pour l’entretien et la maintenance du réseau ou l’intégration des énergies renouvelables).
En ce qui concerne les fournisseurs d’énergie tels que la société X, ces derniers ne peuvent collecter les consommations quotidiennes et horaires et/ou à la demi-heure qu’avec le consentement de l’abonné.
Pour être valable, le consentement doit être libre, spécifique, éclairé et univoque , en application de l’article 4, paragraphe 11, du RGPD. Lorsqu’un de ces critères fait défaut, le consentement ne peut être retenu comme base légale du traitement au sens de l’article 6, paragraphe 1, a) du RGPD.
S’agissant du caractère spécifique du consentement, il résulte du RGPD que la personne concernée doit être en mesure de donner son consentement de façon indépendante et distincte pour chaque finalité poursuivie. Ainsi, le considérant 43 prévoit que le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel bien que cela soit approprié dans le cas d’espèce (…) .
De même, les lignes directrices sur le consentement, adoptées par le G29, le 28 novembre 2017, précisent que (…) les personnes concernées devraient être libres de choisir quelles finalités elles acceptent, plutôt que de devoir consentir à un ensemble de finalités de traitement. En vertu du RGPD, plusieurs consentements pourraient être nécessaires avant de pouvoir fournir un service dans un cas donné. Le considérant 43 précise que le consentement est présumé ne pas avoir été donné librement si le processus / la procédure d’obtention du consentement ne permet pas aux personnes concernées de donner un consentement distinct à différentes opérations de traitement des données à caractère personnel (par ex. uniquement pour certaines opérations de traitement et pas pour d’autres) bien que cela soit approprié dans le cas d’espèce. […] Afin de se conformer aux conditions d’obtention d’un consentement valable lorsque le traitement des données est effectué pour différentes finalités, il convient de détailler le consentement, c’est-à-dire de différencier ses différentes finalités et d’obtenir un consentement pour chacune d’entre elles (p. 11).
S’agissant du caractère éclairé du consentement, il ressort des lignes directrices du G 29 sur le consentement que pour que le consentement soit éclairé, il est nécessaire d’informer la personne concernée de certains éléments cruciaux pour opérer un choix, [tels que] (…) (ii) la finalité de chacune des opérations de traitement pour lesquelles le consentement est sollicité, (iii) les (types de) données collectées et utilisées (p. 15).
En l’espèce, la délégation a été informée et a constaté que la société X recueille le consentement des usagers à la collecte de leurs données de consommation quotidiennes et à la demi-heure par le biais d’une seule case à cocher, et ce pour deux opérations de traitement distinctes, à savoir l’affichage dans l’espace client des consommations quotidiennes et l’affichage dans l’espace client des consommations à la demi-heure.
Ainsi, le consentement pour le traitement des données quotidiennes emporte automatiquement consentement pour le traitement des données à la demi-heure. Pourtant, les opérations de traitement évoquées ci-dessus sont distinctes et indépendantes les unes des autres : ainsi, un usager peut souhaiter consulter l’historique de ses consommations journalières, sans nécessairement souhaiter accéder à ses données à la demi-heure.
En conséquence, le traitement des données à des fins d’affichage des index journaliers et celui plus complet et détaillé des données à la demi-heure constituent des opérations de traitement distinctes, de sorte que l’usager devrait pouvoir donner un consentement pour chacune d’entre elles et activer la collecte des index journaliers, sans nécessairement devoir accepter d’activer de manière corrélée celle de la courbe de charge.
Il résulte de l’ensemble de ces éléments que le consentement des utilisateurs n’est ni spécifique ni suffisamment éclairé, de sorte que les modalités de son recueil ne sont pas conformes aux dispositions de l’article 4, paragraphe 11 du RGPD, ce qui entraîne un manquement aux dispositions de l’article 6, paragraphe 1, a) du RGPD.
Un manquement à l’obligation de définir une durée de conservation proportionnée à la finalité du traitement
En application de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées .
En l’espèce, la société X a informé la délégation, qu’à l’issue de la résiliation du contrat, elle conserve en base active les coordonnées du client (nom, prénom, adresse), ainsi que les données nécessaires à l’exécution du contrat (pièces comptables, factures, les consommations mensuelles, contrat). Ces données sont conservées pendant trois ans en base active puis sont placées pendant huit ans en archivage intermédiaire.
Or, si les coordonnées du client peuvent être conservées en base active pendant trois ans à l’issue de la résiliation du contrat à des fins de prospection commerciale, les données de consommation mensuelles ne sont pas nécessaires à cette finalité, de sorte que leur conservation est excessive.
Par ailleurs, la conservation des données de consommation mensuelles à l’issue de la résiliation du contrat n’est pas non plus justifiée par la mise à disposition de ces données dans l’espace client de l’usager dans la mesure où cette mise à disposition n’est effective que pour une durée d’un an à l’issue de la résiliation du contrat.
Dès lors, la conservation en base active des consommations mensuelles pendant trois ans à l’issue de la résiliation du contrat est excessive au sens de l’article 5, paragraphe 1, e) du RGPD.
En conséquence, la société X, sise x, est mise en demeure sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :