AgentPublic/cnil huggingface dataset:
Un tel dispositif permet ainsi de recueillir et traiter de nombreuses données, notamment de temps et de lieu, qui sont excessives au regard des finalités pour lesquelles elles sont collectées et traitées. La formation restreinte relève à ce titre que la mise en demeure adressée à la société, à laquelle cette dernière n'a cependant donné aucune suite, n'avait pas pour objet d'interdire la mise en œuvre du traitement mais seulement de limiter la collecte des données de géolocalisation aux situations de non restitution ou de vol des véhicules. 
Aussi la formation restreinte estime t'elle, à supposer même que la finalité de ce dispositif soit de lutter contre la non restitution ou le vol des véhicules de la société, que la permanence de la géolocalisation est excessive dans les circonstances de l'espèce. En effet, eu égard en particulier à son caractère intrusif et au droit d'un individu à la protection de ses données personnelles et de sa vie privée, l'activation du dispositif n'apparait strictement nécessaire que dans une situation de non-restitution du véhicule ou de déclaration de vol de la part d'un client. 
La formation restreinte considère donc en l'espèce qu'en ne limitant pas la collecte des données de géolocalisation aux situations de non restitution ou de vol des véhicules, la société a manqué aux exigences de la mise en demeure sur point. 
3. Sur le manquement à l'obligation d'informer les personnes
Le I de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose que La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : / 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; / 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; / 3° Du caractère obligatoire ou facultatif des réponses ; / 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; / 5° Des destinataires ou catégories de destinataires des données ; / 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; / 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne. / Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6° . 
En l'espèce, il ressort du rapport de sanction et de la mise en demeure que la société, selon les indications qu'elle a porté à la connaissance de la délégation de contrôle, informerait oralement ses clients, lors de la remise des clés du véhicule, qu'un dispositif de géolocalisation de celui-ci est mis en œuvre.
La formation restreinte relève toutefois qu'il ne ressort d'aucune pièce du dossier, qu'une telle information est effectivement délivrée aux clients de ladite société. 
La formation restreinte considère donc que la société n'établit pas ses allégations quant à la satisfaction à son obligation d'information. Elle relève également qu'il n'est pas établi que cette information est délivrée aux clients par la transmission et/ou la signature d'un quelconque document écrit. Si des mentions Informatique et Libertés sont certes présentes à l'article 27 des Conditions générales de location longue durée [...], celles-ci sont néanmoins rédigées en des termes généraux qui, en tout état de cause, ne font à aucun moment référence à la mise en œuvre d'un dispositif de géolocalisation concernant le véhicule loué par le client. Elle relève, par ailleurs, que les conditions générales de location de véhicule sans chauffeur sont dépourvues de toute référence à la loi Informatique et Libertés et à la mise en œuvre du dispositif de géolocalisation.
Aussi, dans ces conditions, la formation restreinte considère que la société n'apporte pas la preuve qui lui incombe de ce que les clients qui louent ses véhicules sont dûment informés, préalablement à la remise des clés, de la mise en œuvre du traitement de géolocalisation. Elle relève également, s'agissant du traitement des données nominatives des clients qui seraient contenues dans les dossiers informatisés, que la société n'établit pas davantage satisfaire à son obligation d'information préalable. 
En conséquence, la formation restreinte considère que la société a manqué à son obligation d'information préalable, en ne se conformant pas aux exigences de la mise en demeure sur ce point. 
4. Sur le manquement à l'obligation d'assurer la sécurité des données
L'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose notamment que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Il résulte des circonstances de fait de l'espèce que la délégation de contrôle de la CNIL a pu accéder au logiciel de géolocalisation par un accès web à partir d'un poste de travail situé à l'accueil de la société. Il est également constant que l'accès à ce logiciel nécessite une authentification individuelle constituée d'un identifiant et d'un mot de passe composé de 12 caractères alphanumériques, non renouvelé depuis sa mise en place il y a plus de deux ans. 
La formation restreinte relève que la sécurité du dispositif d'authentification mis en place par la société n'est pas en conformité avec les exigences de la Commission relatives à la politique qui doit être adoptée et mise en œuvre par les responsables de traitement concernant la gestion des mots de passe. En effet, si le mot de passe utilisé pour l'accès au logiciel de géolocalisation comporte un nombre satisfaisant de caractères alphanumériques, il n'a cependant jamais été changé en plus de deux ans alors qu'il doit être renouvelé régulièrement et n'a, par ailleurs, pas été conçu avec une complexité suffisante, c'est-à-dire en comportant au moins trois des quatre caractères suivants : alphabétiques majuscules, minuscules, numériques et spéciaux.
Au regard des risques d'atteinte à la sécurité et à la confidentialité des données résultant de l'utilisation d'un mot de passe tel que constitué en l'espèce, la formation restreinte considère que la société n'a pas respecté la mise en demeure et a manqué à son obligation d'assurer la sécurité des données prévue par l'article 34 de loi du 6 janvier 1978 modifiée. 
5. Sur le manquement à l'obligation de coopérer avec la CNIL
L'article 21 de la loi du 6 janvier 1978 modifiée dispose notamment que Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.
La formation restreinte relève en l'espèce que la société n'a jamais répondu aux nombreux courriers qui lui ont été adressés par la CNIL, notamment ceux adressés par voie de lettres recommandées avec demande d'avis de réception.
En effet, d'une part, les courriers de relance en date des 17 janvier et 8 mars 2013, rappelant d'ailleurs les termes de l'article 21 de la loi du 6 janvier 1978 modifiée, ont été notifiés respectivement les 22 janvier et 11 mars 2013 à la société, mais n'ont suscité aucune réaction de sa part. D'autre part, la mise en demeure du 14 octobre 2013, notifiée le 16 octobre suivant à la société, est demeurée sans réponse de sa part. 
La formation restreinte considère donc que la société, sciemment ou par négligence, en ne donnant pas suite aux nombreuses correspondances qu'a pris soin de lui adresser la Commission pour lui demander en particulier de mettre fin aux manquements constatés mais également pour lui rappeler ses obligations en sa qualité de responsable de traitement, a fait peu de cas de l'action de la Commission. 
Elle n'a par ailleurs donné aucune suite à la mise en demeure qui lui a été adressée. La formation restreinte constate, dès lors, que la société n'a pas respecté les termes de la mise en demeure s'agissant de l'obligation de coopération avec la CNIL.   
6. Sur la sanction et la publicité
La formation restreinte relève que les cinq manquements constatés, à l'origine de la mise en demeure et de l'introduction de la procédure de sanction, sont tous constitués en l'espèce.
Elle relève en particulier la gravité, constituée par l'atteinte aux droits et libertés des clients garantis par la loi du 6 janvier 1978 modifiée et la Constitution, de la mise en œuvre d'un dispositif de géolocalisation sans formalité et information préalables, de manière permanente c'est-à-dire de manière excessive par rapport au but en vue duquel le traitement est mis en œuvre. Elle relève en outre que la société n'a pas collaboré pleinement et utilement avec la CNIL dans le cadre de l'instruction par ses services mais également dans le délai qui lui était imparti par la mise en demeure pour mettre fin aux manquements constatés. 
Par conséquent, compte tenu de ces nombreux et divers manquements ainsi que de la gravité de ceux-ci au regard de l'atteinte portée aux droits et libertés des clients, la formation restreinte décide de prononcer une sanction pécuniaire de 5 000 € à l'encontre de la société et de rendre publique sa décision. 
PAR CES MOTIFS 
La formation restreinte de la CNIL, après en avoir délibéré, décide : - De prononcer une sanction pécuniaire d'un montant de 5 000 € à l'encontre de la société X ;- De rendre publique sa décision sur le site Internet de la CNIL et sur le site Légifrance. 
Le Président 
Jean-François CARREZ 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Jean-François CARREZ ;
Et
Composée de M. LINDEN, Vice-président, M. Sébastien HUYGUE et M. Maurice RONAI, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la saisine n° 11016307 du 22 juin 2011 ; 
Vu la décision n° 2012-190C du 5 juin 2012 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la Fédération X ; 
Vu les procès-verbaux de contrôle sur place n° 2012-212/1 et n° 2012-212/2, respectivement des 20 et 21 juin 2012, tous deux signés contradictoirement par la Fédération X ;
Vu la décision n° 2012-044 du 19 décembre 2012 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la Fédération X ; 
Vu la décision de la Présidente de la Commission portant désignation d'un rapporteur, en date du 24 février 2014 ; 
Vu le rapport de M. Eric PERES, commissaire rapporteur, notifié à la Fédération X adressé par porteur contre reçu le 5 mars 2014 ; 
Vu les observations écrites versées par la Fédération X le 7 avril 2014, ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors de la séance de la formation restreinte du 10 avril 2014 : - M. Eric PERES, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint, en ses observations ;- M. X de la Fédération X ;- Mme Y de la Fédération X ;- M. Z de la Fédération X ;- Me XX, Avocat, conseil de la Fédération X, en leur défense ; Les représentants de la Fédération X ayant pris la parole en dernier ; 
A adopté la décision suivante : 
I. FAITS ET PROCEDURE
La Fédération X, (ci-après X, ou la Fédération), est une association reconnue d'utilité publique et régie par la loi de 1901 qui a pour objet d'organiser, développer et contrôler la pratique de [...]. Elle regroupe environ 240.000 licenciés actifs, répartis sur 2.000 clubs affiliés.
En application de la décision la présidente de la Commission nationale de l'informatique et des libertés (ci-après la Commission ou la CNIL), une mission de contrôle a été diligentée dans les locaux de X, les 20 et 21 juin 2012 dans le cadre du programme annuel des contrôles en matière de sport. Le contrôle a permis en outre d'aborder une saisine du 22 juin 2011, en cours d'instruction auprès de la CNIL. La plaignante souhaitait obtenir la suppression des résultats sportifs, sur le site web de X, de son enfant mineur licencié auprès de la Fédération. 
La délégation de contrôle s'est notamment attachée à contrôler les traitements de données à caractère personnel relatifs à la gestion des licenciés et des participants à des compétitions sportives. 
En raison des manquements relevés, la Présidente de la CNIL a notifié le 14 février 2013 une mise en demeure à X de se conformer aux dispositions de la loi du 6 janvier 1978 modifiée, dans un délai de deux mois. 
Par courrier réceptionné le 15 avril 2013, la Fédération a répondu à cette mise en demeure et sollicitait une réunion avec la CNIL, laquelle lui a été accordée le 14 juin 2013 en raison de la complexité du dossier. 
Faisant suite à cette réunion, par courrier du 18 juillet 2013, la Présidente de la CNIL a adressé un courrier de demande de compléments d'information à la Fédération auquel cette dernière a répondu par courrier reçu le 19 septembre 2013.
En l'absence de conformité complète à l'issue du délai prorogé et considérant que les réponses de la Fédération n'étaient pas satisfaisantes, la Présidente de la Commission a décidé d'initier une procédure de sanction à l'encontre de la Fédération. A cet effet, elle a désigné M. Eric PERES en qualité de rapporteur, le 24 février 2014, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée. 
A l'issue de son instruction, considérant que la Fédération avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a notifié, par porteur, à la Fédération le 5 mars 2014, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de X une sanction pécuniaire d'un montant de 5.000 €, dont il sollicitait par ailleurs qu'elle soit rendue publique. 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 10 avril 2014 indiquant à la Fédération qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. La Fédération a produit par courrier daté du 3 avril 2014, des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 10 avril 2014. 
II. MOTIFS DE LA DECISION
1. Sur le manquement à l'obligation d'informer les personnes
L'article 32-I de la loi n° 78-17 du 6 janvier 1978 modifiée impose l'obligation pour le responsable du traitement de fournir à la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations notamment sur l'identité du responsable du traitement, la finalité de ce traitement, les destinataires, leurs droits d'accès, de rectification et, le cas échéant, d'opposition aux données les concernant. 
Le contrôle a permis d'établir que les sportifs participant à des compétitions [...] n'étaient pas informés de la publication de leurs résultats sur le site web de la Fédération, ce qui, dès lors, ne leur permettait pas de s'opposer à une telle publication. 
En réponse à la mise en demeure de la Présidente de la CNIL, s'agissant des licenciés, la Fédération a fait valoir qu'elle avait procédé à leur information par courriel à l'occasion de l'envoi annuel de la licence dématérialisée. S'agissant des non-licenciés, qui représentent selon elle environ 3 millions de personnes, elle soutenait qu'il lui était matériellement impossible de les informer du traitement relatif à la publication de leurs résultats sur le site web de X, et des droits qu'ils détiennent en application de l'article 32 de la loi du 6 janvier 1978 modifiée. Elle s'est toutefois engagée à faire ses meilleurs efforts pour que les organisateurs des compétitions procèdent eux-mêmes à l'information des personnes.
Dans l'optique d'informer les non-licenciés, la Fédération a expliqué qu'elle distinguait trois types d'organisateurs afin de déterminer les modalités d'information envisageables. 
Afin que les organisateurs labellisés par X, qui s'engagent à respecter le cahier des charges de la Fédération, soient contraints d'informer les sportifs de la publication de leurs résultats sur le site web de X, cette dernière a introduit une mention les y astreignant dans le cahier des charges.
S'agissant des organisateurs affiliés mais non labellisés, tels que les clubs, la Fédération a précisé qu'elle modifierait ses règlements généraux afin d'y indiquer que tout adhérent accepte la publication de ses données relatives aux compétitions et qu'il a la possibilité de s'y opposer pour des motifs légitimes. Toutefois, il est constant que les non-licenciés ne prennent pas systématiquement connaissance des règlements généraux qui sont principalement destinés aux licenciés et qu'en tout état de cause la mention d'information proposée était incomplète.
Au jour de l'audience, la Fédération a finalement informé la formation restreinte qu'elle avait pu réunir son assemblée générale aux fins de délibération sur la modification de ses règlements généraux. Elle a ainsi affirmé que désormais ces règlements contraignaient les clubs affiliés à informer les sportifs participants aux compétitions du traitement de publication de leurs résultats.
La formation restreinte prend acte de ces correctifs, bien qu'ils interviennent tardivement, et relève que ces derniers ne constituent pas un effort disproportionné au sens de l'article32-III de la loi du 6 janvier 1978 modifiée. 
S'agissant enfin des organisateurs ni affiliés, ni labellisés, tels que les organismes privés ou les comités des fêtes, la Fédération après avoir indiqué qu'il était possible de délivrer l'information aux sportifs au moment de l'inscription des compétitions au calendrier de X, est revenue sur ses propos en soulignant qu'il était matériellement et financièrement impossible d'imposer à ces organisateurs d'informer les sportifs. Par ailleurs, X a indiqué à l'audience qu'elle diffuserait prochainement une charte Informatique et Libertés sur son site web et qu'elle génèrerait automatiquement, au sein de la rubrique calendrier, une fenêtre d'information relative à l'obligation d'informer les sportifs quant au traitement de publication de leurs données.
Si la formation restreinte en prend acte, elle relève néanmoins que le manquement persistait à l'expiration du délai de la mise en demeure, ainsi d'ailleurs qu'au jour de l'audience.
En outre, au regard de la nature des mesures correctives annoncées par X, la formation restreinte observe, conformément aux dispositions de l'article 32-III de la loi du 6 janvier 1978 modifiée, que le fait d'imposer aux organisateurs de procéder à cette information ne se révélait pas impossible et considère que cela ne constitue pas un effort disproportionné par rapport à l'intérêt de la démarche, en particulier pour que les personnes concernées sachent que des données les concernant sont diffusées sur internet. 
La formation restreinte estime qu'en l'absence d'une information délivrée aux sportifs licenciés et non licenciés, ces derniers ne sont pas en mesure d'exercer leurs droits et notamment le droit de s'opposer au traitement relatif à la publication de leurs résultats sportifs sur le site web de X. Elle considère en effet qu'il est primordial de garantir l'exercice du droit d'opposition et qu'une telle garantie ne peut être apportée que par la délivrance d'une information en amont, d'autant que la diffusion de données sur internet est considérée comme plus intrusive que tout autre moyen hors ligne du fait notamment que l'accessibilité en tout lieu et à tout moment par n'importe quel utilisateur est facilitée et que divers traitements ultérieurs des données sont possibles.
Enfin, la formation restreinte relève que la Fédération ne s'est pas mise en mesure de respecter les termes de la mise en demeure de la Présidente de la CNIL à l'expiration du délai qui lui était imparti. Elle retient en outre que si des actions correctives ont été mises en œuvre par X, il n'en reste pas moins que ces correctifs aux fins de conformité ne sont intervenus qu'un an plus tard et ne peuvent être imputés qu'à la procédure de sanction initiée à son encontre. 
La formation restreinte considère que la Fédération X n'a pas respecté les dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, et qu'en conséquence le manquement est constitué. 
2. Sur le manquement à l'obligation d'assurer la sécurité et la confidentialité des données
L'article 34 de la loi du 6 janvier 1978 modifiée dispose que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Il appartient à la formation restreinte de décider si la Fédération X a manqué à l'obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données des personnes contenues dans son système d'information et, en particulier de ses licenciés, notamment afin que ces données ne soient pas accessibles à des tiers non autorisés.
Sur la base des constatations effectuées à l'occasion du contrôle, la mise en demeure relève de nombreux manquements à l'article 34 de la loi du 6 janvier 1978 modifiée. Il a été notamment établi, sans que cela soit contesté, que la sécurité du système d'information de X, qui comprend environ 1 million de personnes, et de l'espace personnel de l'athlète sur le site web X était insuffisante et que l'envoi des données des licenciés à des prestataires s'effectuait de manière non sécurisée. En réponse à cette mise en demeure, la Fédération a fait valoir qu'elle avait adopté un certain nombre de mesures visant à corriger ces défaillances. Si à l'expiration du délai initial de la mise en demeure, il est constant que la Fédération s'est mise en conformité concernant la majorité des manquements relevés à l'article 34 de la loi du 6 janvier 1978 modifiée, il n'est pas contestable que la pleine conformité n'était pas obtenue, en particulier s'agissant de la robustesse des mots de passe permettant d'accéder au système d'information de X.
La Fédération se défend en considérant que les manquements les plus importants relevant de l'article 34 de la loi susmentionnée ont été régularisés. Elle a indiqué à la Commission par courrier reçu le 19 septembre 2013 [qu'elle étudiera] la possibilité de rendre les mots de passe plus robustes concernant la longueur ; cependant ce point ne constitue pas une priorité pour X. Elle a ajouté qu'eu égard à la lourdeur des modifications techniques nécessaires, X estime qu'un délai d'un an au maximum semble opportun. 
Pourtant, au jour de l'audience, X a indiqué être en pleine conformité à l'article 34 de la loi susmentionnée et n'a pas invoqué avoir rencontré des difficultés particulières pour justifier l'absence de mesures prises dans le délai imparti par la mise en demeure. En outre, force est de constater que cette mise en conformité ne découle que de l'initiation d'une procédure de sanction.