AgentPublic/cnil huggingface dataset:
En revanche, elle relève que l'arrêté du 14 août 2014 exclut le droit d'opposition, comme le permet le dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée. A cet égard, elle appelle l'attention du ministère sur le fait que cette disposition ne doit pas empêcher tout agent qui aurait communiqué volontairement son numéro de téléphone mobile personnel de revenir sur sa position et de demander la suppression de son numéro.
S'agissant des mesures de sécurité, la commission prend acte que la collecte des numéros de téléphone s'effectue au moyen d'un site intranet développé à cet effet, conforme au standard https, et qu'une procédure d'homologation du système de collecte est à l'étude. Par ailleurs, elle relève que les données recueillies sont hébergées sur un data center du ministère de l'intérieur.
Au regard de ces éléments, la commission estime que les mesures de sécurité décrites sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, de M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, M. Philippe GOSSELIN, Mme Marie-Hélène MITJAVILE et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2016-111C du 8 avril 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu la décision de la Présidente de la Commission n° 2016-068 du 3 octobre 2016 mettant en demeure la société X ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 15 février 2017 ;
Vu le rapport de Madame Marie-France MAZARS, commissaire rapporteur, notifié par porteur à la société X le 17 mars 2017 ;
Vu les observations écrites à en-tête de la société X reçues le 21 avril 2017, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 27 avril 2017 :
Mme Marie-France MAZARS, Commissaire, en son rapport ;
M. Y, gérant de la société X ;
Mme Nacima BELKACEM, Commissaire du Gouvernement, n’ayant pas formulé d’observations ;
M. Y, gérant de la société X, ayant pris la parole en dernier ;
A adopté la décision suivante :
I. Faits et procédure
La société X, société à responsabilité limitée (ci-après la société ) sise xxx, a pour activité la réalisation de travaux d’étanchéification. Elle emploie trois salariés.
Le 11 mars 2015, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie d’une plainte d’une salariée de la société dénonçant l’installation à son insu d’un système de vidéosurveillance au-dessus de son poste de travail.
Par courrier du 3 juin 2015, les services de la Commission ont demandé à la société ses observations sur le dossier en lui précisant qu’elle devait veiller, en sa qualité de responsable de traitement au sens de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ), à la conformité de ce dispositif de vidéosurveillance et/ou vidéoprotection à la législation. Ils lui ont, par ailleurs, demandé d’apporter des précisions, dans un délai d’un mois, sur les dispositifs mis en œuvre et de joindre les pièces justificatives.
En l’absence de réponse, les services de la CNIL ont réitéré leur demande à deux reprises par courriers recommandés avec avis de réception des 22 juillet et 21 septembre 2015. Ils ont, par ailleurs, rappelé à la société les termes de l’article 21 de la loi Informatique et Libertés qui dispose que les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la Commission ou de ses membres et doivent prendre toutes mesures utiles pour faciliter sa tâche .
Ces courriers sont restés sans réponse.
En application de la décision de la Présidente de la CNIL n° 2016-111C du 8 avril 2016, une délégation de la Commission a procédé à une mission de contrôle sur place le 14 avril 2016 auprès de la société X. Le procès-verbal n° 2016-111 dressé le même jour a été notifié à la société le 18 avril 2016.
Au vu des manquements constatés, la Présidente de la CNIL a mis en demeure la société X, par décision n° 2016-068 du 3 octobre 2016, de se mettre en conformité avec la loi Informatique et Libertés. Elle lui a ainsi enjoint, dans un délai d’un mois, de :
procéder à une déclaration normale auprès de la CNIL du dispositif de vidéosurveillance installé dans les locaux de la société ;
collecter et ne conserver que les données non excessives et pertinentes en prenant les mesures nécessaires afin que la mise en œuvre du système de vidéosurveillance ne conduise pas à placer les personnes travaillant pour la société sous une surveillance permanente et constante, par exemple en cantonnant la surveillance vidéo aux horaires de fermeture du local durant lesquels le dispositif est susceptible de sécuriser les lieux sans attenter à la vie privée des personnes ;
prendre toute mesure nécessaire pour garantir la sécurité et la confidentialité des données à caractère personnel traitées, notamment en veillant à définir une politique de mots de passe robuste (huit caractères minimum dont au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial) et un renouvellement régulier (par exemple tous les six mois).
Cette décision a été notifiée à la société le 6 octobre 2016 par courrier recommandé avec avis de réception.
Le 3 novembre 2016, la société a effectué une déclaration normale à la CNIL relative à la caméra de surveillance installée dans le bureau . Elle n’a toutefois apporté aucune réponse à la mise en demeure.
Un courrier de relance lui a donc été adressé le 8 décembre 2016. Elle l’a réceptionné une semaine plus tard mais n’y a pas répondu.
En l’absence de réponse et de preuve de mesures correctives sur les autres manquements, la Présidente de la Commission a désigné Mme Marie-France MAZARS en qualité de rapporteur, le 15 février 2017, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a notifié à la société, par porteur, le 17 mars 2016, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 27 avril 2017 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 21 avril 2017, des observations écrites sur le rapport ont été adressées à la CNIL par courrier simple à en-tête de la société.
M. Y, gérant de la société X, a par ailleurs formulé des observations orales lors de la séance de la formation restreinte du 27 avril 2017.
II. Motifs de la décision
1. Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
L’article 6-3° de la loi du 6 janvier 1978 modifiée dispose qu’un traitement de données à caractère personnel ne peut porter que sur des données qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
La société X a été mise en demeure de ne collecter et ne conserver que les données non excessives et pertinentes en prenant les mesures nécessaires afin que la mise en œuvre du système de vidéosurveillance ne conduise pas à placer les personnes travaillant pour la société sous une surveillance permanente et constante, par exemple en cantonnant la surveillance vidéo aux horaires de fermeture du local durant lesquels le dispositif est susceptible de sécuriser les lieux sans attenter à la vie privée des personnes.
En défense, la société a fait valoir, dans ses observations écrites, que le système de vidéosurveillance n’était pas activé pendant les heures de travail et qu’il avait été programmé pour enregistrer uniquement les images de 18h à 8h, ainsi que le week-end sauf en période de vacances scolaires. Elle a joint à l’appui de ses observations plusieurs copies d’écran du dispositif dont l’une montrant une femme assise à son poste de travail le 18 avril 2017 à 14h33 ainsi qu’une copie d’écran des paramétrages d’enregistrement du système.
La société a, par ailleurs, affirmé qu’il avait été constaté lors du contrôle que le gérant de la société n’avait pas accès aux images du dispositif, que ce soit sur son ordinateur ou sur son téléphone.
Lors de la séance, le gérant de la société a contesté être à l’origine des observations écrites adressées à la CNIL et a soutenu que la caméra ne fonctionnait pas.
La formation restreinte relève qu’il ressort des pièces transmises par la société à la suite du rapport de sanction que si le dispositif de vidéosurveillance n’est en effet paramétré pour enregistrer les images qu’en dehors des horaires de travail, il est néanmoins activé pendant la journée en mode visualisation. Il place donc toujours l’assistante administrative de la société sous une surveillance permanente et constante. Elle rappelle de surcroît qu’il avait été constaté lors du contrôle que le gérant de la société pouvait accéder en temps réel aux images depuis son téléphone portable et donc exercer cette surveillance à distance.
Sur la base de ces éléments, la formation restreinte considère que la société ne s’est pas conformée à la décision n° 2016-068 du 3 octobre 2016 précitée et que le manquement à l’article 6-3° de la loi janvier du 6 janvier 1978 modifié est constitué.
2.Sur le manquement à l’obligation d’assurer la sécurité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Lors du contrôle effectué dans les locaux de la société, les services de la Commission avaient constaté que l’accès au logiciel de visualisation des images s’effectuait sur deux postes de travail par la saisie de l’identifiant admin et d’un mot de passe composé de six caractères. La société avait en conséquence été mise en demeure de définir une politique de mots de passe robuste c’est-à-dire d’imposer, d’une part, des mots de passe de huit caractères composés d’au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial et, d’autre part, un renouvellement régulier de celui-ci.
En défense, la société n’a apporté aucune réponse sur ce point. Le gérant de la société a néanmoins précisé, lors de la séance, que les mots de passe n’avaient pas été changés.
La formation restreinte relève, en conséquence, que les images du dispositif de vidéosurveillance sont toujours accessibles de manière non sécurisée et pourraient ainsi être consultées par des tiers non autorisés.
Elle considère, ainsi, que la société ne s’est pas conformée à la décision n° n° 2016-068 du 3 octobre 2016 précitée et que le manquement à l’article 34 de la loi du 6 janvier 1978 modifié est constitué.
 
3. Sur le manquement à l’obligation de répondre aux demandes de la CNIL
L’article 21 de la loi du 6 janvier 1978 modifiée dispose que
Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
 
Le rapporteur relevait que la société X n’avait apporté de réponse ni aux trois courriers des 3 juin, 22 juillet et 21 septembre 2015 qui lui ont été adressés dans le cadre de l’instruction de la plainte, ni aux deux courriers des 18 avril et 27 mai 2016 faisant suite au contrôle du 14 avril 2016, ni à la mise en demeure de la Présidente de la CNIL du 3 octobre 2016 et au courrier de relance du 8 décembre suivant.
 
La société ne conteste pas cette absence de réponse et n’apporte aucune justification à ce silence.
La formation restreinte relève ainsi que durant un an et demi, la société n’a répondu à aucun des sept courriers qui lui ont été adressés par les services de la Commission et par sa Présidente que ce soit dans le cadre de l’instruction de la plainte, à la suite du contrôle sur place ou au stade de la mise en demeure. Ce n’est qu’à la suite de la notification du rapport de sanction que la société a apporté certains éléments de réponse relatifs aux manquements relevés par le rapporteur.
La formation restreinte considère que ce comportement démontre un défaut manifeste de prise en compte des questions Informatique et Libertés liées au traitement des données à caractère personnel.
La formation restreinte estime, dès lors, que le manquement à l’article 21 de la loi du 6 janvier 1978 modifié est constitué.
III. Sur la sanction et la publicité
Au regard des éléments ci-dessus développés, les faits constatés constituent un manquement aux dispositions de la loi du 6 janvier 1978 modifiée, notamment à ses articles 6-3°, 34 et 21.
Compte tenu des circonstances de l’espèce, une sanction d’un montant de 1.000 euros apparaît justifiée à l’encontre de la société X.
Par ailleurs, au regard de la persistance des manquements formulés à l’encontre de la société durant plus d’un an et malgré les nombreuses diligences effectuées à son égard par les services de la CNIL, la formation restreinte décide de rendre publique sa décision. Elle estime nécessaire de sensibiliser les personnes et les responsables de traitement aux droits et obligations issus de la loi Informatique et Libertés , en particulier, à l’importance de répondre aux demandes de la Présidente et de mettre effectivement en œuvre les mesures requises.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 1.000 € ;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
 
 
Le Président
 
 
 
Jean-François CARREZ
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des douanes ;
Vu le code de procédure pénale ;
Vu le code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2014-1566 du 22 décembre 2014 portant création d'un service à compétence nationale dénommé Unité Information Passagers (UIP) ;
Vu le décret n° 2017-588 du 20 avril 2017 portant création d'un service à compétence nationale dénommé Commandement spécialisé pour la sécurité nucléaire ;
Vu le décret n° 2017-668 du 27 avril 2017 portant création d'un service à compétence nationale dénommé service national des enquêtes administratives de sécurité ;
Vu l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés géré par le ministère de l'intérieur et le ministère de la défense ;
Vu l'arrêté du 17 mars 2014 modifié portant autorisation à titre expérimental d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS) ;
Vu la délibération n° 2013-357 du 14 novembre 2013 portant avis sur un projet d'arrêté portant autorisation, à titre expérimental, d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS) ;
Vu la délibération n° 2015-042 du 29 janvier 2015 portant avis sur un projet d'arrêté modifiant l'arrêté du 17 mars 2014 portant autorisation à titre expérimental d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS) ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS).
Fichier commun aux services de police et de gendarmerie, le FOVeS leur permet de disposer d'une base unique et homogène des signalements relatifs aux véhicules et aux objets volés, placés sous surveillance ou perdus. Dans la mesure où il intéresse la sécurité publique et a également pour objet la recherche et la constatation des infractions pénales, le traitement FOVeS relève des dispositions de l'article 26-I de la loi du 6 janvier 1978 modifiée et doit être autorisé par arrêté pris après avis motivé et publié de la commission.
Le traitement FOVeS a dans un premier temps été mis en œuvre à titre expérimental, l'arrêté du 17 mars 2014, pris après avis de la commission en date du 14 novembre 2013, ayant autorisé une expérimentation pour une durée de deux ans à compter de la publication dudit arrêté. Conformément audit arrêté, il a été procédé à une évaluation de cette expérimentation, donnant lieu à un rapport transmis à la commission et qui comporte les éléments qu'elle avait souhaité voir figurer.
La commission se félicite de cette approche expérimentale, qui a permis au ministère de l'intérieur d'améliorer progressivement l'efficacité et le caractère opérationnel du traitement FOVeS tout en permettant de mieux prendre en compte, notamment par l'intermédiaire des avis de la commission sur les actes réglementaires relatifs audit traitement, les règles en matière de protection des données à caractère personnel. La commission rappelle néanmoins que cette démarche ne doit en aucun cas avoir pour effet la mise en œuvre de ce traitement sans base légale.
Dans ce contexte, le présent projet d'arrêté vise, d'une part, à pérenniser le traitement FOVeS et, d'autre part, à apporter des modifications substantielles aux conditions de sa mise en œuvre à titre expérimental.
Sur les finalités :
L'article 1er du projet d'arrêté énumère les finalités assignées au traitement FOVeS. Si des ajustements rédactionnels ont été apportés aux dispositions concernées, la commission relève que les trois finalités assignées au FOVeS sont similaires à celles qui lui étaient assignées dans le cadre de l'expérimentation :
- la découverte et la restitution des véhiculés volés ;
- la découverte et la restitution des objets perdus ou volés ;
- la surveillance des véhicules et objets signalés.
La commission considère que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Une modification substantielle est néanmoins apportée aux finalités du traitement FOVeS, qui vise également à permettre la consultation du FOVeS dans le cadre d'enquêtes administratives prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du code de la sécurité intérieure (CSI).
La nécessité de ces modifications résulte, d'une part, de l'adoption de nouveaux dispositifs législatifs imposant la réalisation d'enquêtes administratives conditionnant l'accès à certains emplois ou sites sensibles et, d'autre part, de l'évolution des modalités de réalisation des contrôles réalisés à l'occasion de ces enquêtes. Les enquêtes prévues à l'article L. 211-11-1 du CSI, issu de l'article 53 de la loi n° 2016-731 du 3 juin 2016 susvisée et relatif à la sécurité des grands événements, ainsi que celles imposées par l'article L. 114-2 du même code, dans sa rédaction issue de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique et qui concerne la sécurité des transports publics et le transport de marchandises dangereuses, s'ajoutent en effet aux possibilités d'enquêtes administratives déjà prévues par l'article L. 114-1 du CSI.
La commission relève en outre qu'est envisagé, dans le cadre des enquêtes prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI, un renforcement des contrôles effectués avec la consultation de multiples traitements de données à caractère personnel relevant de l'article 26 de la loi du 6 janvier 1978 modifiée. La commission s'est prononcée sur ce criblage de fichiers, s'agissant du dispositif relatif aux grands événements, dans sa délibération du 9 mars 2017 susvisée.
Elle relève également qu'est prévue la mise en œuvre d'un outil spécifique, le traitement de données à caractère personnel ACCRED, dont la création est prévue par un acte réglementaire examiné ce même jour par la commission, et qui doit permettre une consultation automatique et simultanée d'une partie des fichiers concernés, parmi lesquels figure le FOVeS.
Ce dispositif de criblage sera mis en œuvre par deux nouveaux services à compétence nationale : le Service national des enquêtes administratives de sécurité (SNEAS), créé par le décret n° 2017-668 du 27 avril 2017 susvisé et rattaché à la direction générale de la police nationale, et le Commandement spécialisé pour la sécurité nucléaire (CoSSeN), créé par le décret n° 2017-588 du 20 avril 2017 susvisé et rattaché à la direction générale de la gendarmerie nationale.
C'est dans ce contexte que le projet d'arrêté soumis à la commission prévoit de compléter les dispositions relatives aux finalités du traitement FOVeS et d'ajouter à ses destinataires les agents du SNEAS et du CoSSeN, en charge de la réalisation des enquêtes administratives concernées.
Dans la mesure où la consultation du FOVeS, dans le cadre de la réalisation des enquêtes administratives mentionnées aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI, ne portera que, d'une part, sur les titres d'identité, afin de vérifier qu'ils ne sont pas déclarés volés, usurpés, invalidés ou ne font pas l'objet d'une surveillance particulière, et, d'autre part, sur les véhicules, dans la stricte mesure où la personne qui fait l'objet de l'enquête doit, dans le cadre de l'autorisation sollicitée, utiliser un véhicule pour accéder à des établissements ou des installations jugés sensibles, ces modifications apparaissent justifiées à la commission.
Sur le cadre de la collecte et la nature des données traitées :