AgentPublic/cnil huggingface dataset:
26.La société argue que les manquements qui lui sont reprochés auraient pu être corrigés dans le cadre d’une mise en demeure. Elle estime donc que l’engagement immédiat d’une procédure de sanction, sans mise en demeure préalable, l’a privée de la possibilité de se mettre en conformité.
27.La formation restreinte relève qu’il résulte de la lettre même des dispositions du III de l’article 45 de la loi du 6 janvier 1978 modifiée, issues de la loi n° 2018-493 du 20 juin 2018 visant à mettre en conformité les dispositions législatives nationales avec celles du RGPD, que le prononcé d’une sanction n’est pas subordonné à l’adoption préalable d’une mise en demeure. La décision de désigner un rapporteur et de saisir la formation restreinte est un pouvoir appartenant au Président de la CNIL, qui dispose de l’opportunité des poursuites et peut donc 
déterminer
, en fonction des circonstances de l’espèce, les suites à apporter à des investigations en clôturant 
par exemple 
un dossier, en prononçant une mise en demeure ou en saisissant la formation restreinte en vue du prononcé d’une ou plusieurs mesures correctrices.
4. Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données à caractère personnel
 
a.Sur la caractérisation du manquement
28.L’article 32 (1) du Règlement dispose que :  Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris :
la pseudonymisation et le chiffrement des données à caractère personnel ;
des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ; 
une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
29.L’article 32 (2) prévoit que :  Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite. 
Il appartient à la formation restreinte de déterminer si la société X a manqué à son obligation d’assurer la sécurité des données personnelles traitées et si, en particulier, la société a mis en œuvre des moyens permettant de garantir leur confidentialité, afin d’empêcher qu’elles soient accessibles à des tiers non autorisés, conformément à l’article 32 (1) ii précité.
31.La formation restreinte note tout d’abord que l’existence d’un défaut de sécurité sur le site www.[...].com n’est pas contestée par la société. Elle constate que ce défaut de sécurité a rendu possible la violation de données à caractère personnel dans la mesure où il a permis à des tiers non autorisés d’accéder à ces données.
32.La formation restreinte rappelle que lorsqu’une requête visant à accéder à une ressource est adressée à un serveur, celui-ci doit préalablement s’assurer que l’émetteur de cette requête est autorisé à accéder aux informations demandées. En l’espèce, tant le plaignant que la délégation de contrôle ont pu librement consulter les documents transmis à la société par un grand nombre de candidats à la location, sans qu’une mesure ne restreigne cette possibilité.
33.Cet accès aux documents conservés par la société traduit une conception défectueuse du site, caractérisée en l’espèce par l’absence de mise en place d’une procédure d’authentification des utilisateurs. La violation de données résultant de ce défaut de sécurité aurait pu être évitée si, par exemple, la société avait mis en œuvre un moyen d’authentification permettant de s’assurer que les personnes accédant aux documents étaient bien celles à l’origine de leur téléchargement sur le répertoire en question, et que seules celles-ci pouvaient y accéder. La mise en place d’une telle fonctionnalité constitue une précaution d’usage essentielle, qui aurait permis de garantir la confidentialité des données personnelles traitées, conformément à l’article 32 (1) ii, et de réduire significativement le risque de survenance de cette violation de données.
La formation restreinte rappelle que l’exposition de données à caractère personnel sans contrôle d’accès préalable est identifiée comme faisant partie des vulnérabilités les plus répandues et qu’elle a déjà prononcé de nombreuses sanctions pécuniaires publiques pour des faits similaires.
35.Au regard de ces éléments, la formation restreinte considère que la société n’a pas mis en œuvre les mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données personnelles traitées, conformément à l’article 32 du Règlement.
b. 
Sur la portée du manquement
36.La société souligne que l’exploitation de la vulnérabilité nécessitait des compétences particulières, comme le prouve l’utilisation d’un script par la délégation de contrôle, et qu’elle n’était possible qu’en ayant connaissance de l’adresse URL  
https://www.crm.[...].com/documents/upload/eresa/X.pdf . La société relève par ailleurs que l’ensemble des documents contenus au sein du répertoire n’auraient pas pu être téléchargés par la délégation de contrôle. Elle fait également valoir qu’aucun utilisateur du site ne lui a rapporté que ses données personnelles avaient fait l’objet d’une utilisation malveillante.
37.La société souligne ensuite que chacun des documents fournis par les candidats à la location est nécessaire pour la constitution du dossier, notamment pour évaluer leur solvabilité, et qu’elle ne demande aux candidats aucune autre pièce que celles visées par le décret n° 2015-1437 du 5 novembre 2015 fixant la liste des pièces justificatives pouvant être demandées au candidat à la location et à sa caution.
38.Elle rappelle en outre qu’elle n’a pas la maîtrise des pièces spontanément téléchargées par les candidats alors qu’elles ne figurent pas dans le décret précité. De la même façon, la société estime qu’elle ne peut être tenue pour responsable du fait que certains candidats téléchargent leur carte Vitale en tant que justificatif d’identité ou que le numéro d’inscription au répertoire (NIR) figure sur des documents émis par des organismes sociaux que transmettent les personnes.
39.Enfin, la société explique qu’à la suite de la violation de données, elle a planifié la correction de la vulnérabilité sur plusieurs mois, ce qui a abouti à la mise en production le 17 septembre 2018 d’un correctif permettant de mettre définitivement un terme à la vulnérabilité. La société précise que ces délais s’expliquent par la forte demande de locations en période estivale et par la difficulté de suspendre ses activités durant cette période.
40.En premier lieu, la formation restreinte observe que l’exploitation de la vulnérabilité ne requérait pas de maîtrise technique particulière en matière informatique. En effet, la simple modification de la valeur de X dans l’adresse URL https://www.crm.[...].com/documents/upload/eresa/X.pdf permettait à toute personne ayant connaissance de l’URL précitée de télécharger les documents en question, sans que la création préalable d’un compte sur le site soit nécessaire, et sans que cela requière une manipulation plus compliquée que la simple modification de la valeur X , qui correspond à un nombre. Par ailleurs, la formation restreinte considère que l’utilisation d’un script ne nécessite aucunement de posséder des compétences avancées pour exploiter cette vulnérabilité. L’utilisation d’un script par la délégation de contrôle avait pour unique objectif d’automatiser un processus manuel consistant à modifier la valeur de X à la fin de l’adresse URL en question, pour télécharger les documents les uns après les autres de manière plus rapide.
41.En deuxième lieu, s’agissant du nombre de fichiers concernés par le défaut de sécurité, la formation restreinte observe que c’est la délégation de la CNIL qui a, de sa propre initiative, interrompu l'exécution du script afin de ne pas surcharger le serveur hébergeant le site web. Il ressort ensuite des informations transmises par la société à la délégation au cours du contrôle du 13 septembre 2018, et des constatations effectuées, que l’intégralité des documents contenus dans le répertoire en question, soit 290 870 fichiers, ont été rendus accessibles par ce défaut de sécurité. Les fichiers qui d’après la société n’auraient pu être téléchargés correspondaient à des numérotations auxquelles n’étaient pas rattachés de dossiers comme la société en a convenu à l’audience. La formation relève que, dans ses observations, la société a en outre indiqué que le nombre de personnes concernées était de 29 440.
42.En 
troisième
lieu, la formation restreinte estime que le manquement à l’obligation de sécurité est aggravé au regard de la nature des données à caractère personnel rendues accessibles. En effet, comme exposé précédemment, les documents transmis par les candidats à la location sont de nature très diverse et figuraient notamment, parmi les documents en question, des actes de mariage, des jugements de divorce, des contrats de travail, des documents relatifs à des prestations sociales ou encore des avis d’imposition. Ces documents contiennent à la fois des données d’identification, telles que le nom, le prénom et les coordonnées, mais également une grande quantité d’informations susceptibles de révéler certains aspects parmi les plus intimes de la vie des personnes, comme les jugements de divorce.
43.La formation restreinte ne remet pas en cause la nécessité pour la société X de disposer de la plupart de ces documents. Elle rappelle néanmoins que l’article 32 du Règlement impose au responsable de traitement de mettre en œuvre des mesures de sécurité adaptées aux risques induits par le traitement pour les droits et libertés des personnes, risques résultant notamment de l’accès non autorisé aux données personnelles traitées. En outre, dans la mesure où la société X traite des documents contenant des informations très précises sur certains aspects de la vie privée des personnes, la nécessité de mettre en place des mesures de sécurité proportionnées, permettant de garantir leur confidentialité, était d’autant plus importante. La formation restreinte rappelle sur ce point que le considérant 83 du Règlement prévoit que  […] Ces mesures devraient assurer un niveau de sécurité approprié, y compris la confidentialité, compte tenu de l'état des connaissances et des coûts de mise en œuvre par rapport aux risques et à la nature des données à caractère personnel à protéger.
44.En dernier lieu, la formation restreinte note que l’existence de la vulnérabilité sur le site www.[...].com a été portée à la connaissance de la société dès le 8 mars 2018 et n’a été résolue qu’en septembre 2018. Les données personnelles des utilisateurs ont donc été accessibles durant au moins six mois alors même que la société X en avait connaissance. Si la formation restreinte admet que la correction de la vulnérabilité pouvait nécessiter des phases d’analyse et de développements techniques, elle estime que des mesures d’urgence n’ayant pas pour objectif de corriger la vulnérabilité mais de réduire l’ampleur de la violation de données étaient techniquement simples à mettre en place et auraient pu être rapidement déployées. Par exemple, les fichiers contenus dans le répertoire rendu accessible par la vulnérabilité auraient pu être déplacés vers un répertoire temporaire ou bien une meure de filtrage des URL aurait pu être mise en œuvre pour empêcher l’accès aux documents. De surcroît, il apparaît que la société, consciente de l’augmentation de ses activités à partir du mois de mai, en raison de la forte demande de locations, a fait le choix de privilégier la stabilité de son système d’information durant cette période à la correction de la vulnérabilité des données personnelles qu’il comportait. Par conséquent, dans la mesure où le défaut de sécurité a été porté à sa connaissance dès le 8 mars 2018, et où la société savait qu’un pic d’activités interviendrait à partir du
mois de mai, il lui revenait d’anticiper cette difficulté et de prendre a minima toutes les mesures nécessaires dès la connaissance de cette vulnérabilité.
5. Sur le manquement à l’obligation de conserver les données pour une durée proportionnée
45.L’article 5-1-e) du Règlement dispose que :
 1. Les données à caractère personnel doivent être :
[…]
e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent Règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) .
46.Le rapporteur reproche à la société X de conserver les documents transmis par les candidats n’ayant pas accédé à la location au-delà de la durée nécessaire à l’atteinte de la finalité pour laquelle les données personnelles ont été collectées et traitées – à savoir la location d’un bien immobilier - et ce sans que cette conservation ne soit encadrée par des garanties appropriées.
47.En défense, la société rappelle tout d’abord que ces personnes sont susceptibles de saisir le Défenseur des droits en alléguant d’une discrimination et, qu’à ce titre, le Défenseur des droits peut exiger de la société la transmission de l’ensemble du dossier déposé par le candidat. La société précise que le délai de prescription applicable à des faits de discrimination étant de six ans, les documents sont conservés pour cette durée. Elle ajoute que la délégation de contrôle n’a pas constaté la présence dans le répertoire affecté par la vulnérabilité de document antérieur à 2012. La société souligne dans ses écritures qu’aucune pièce du dossier ne prouve l’absence d’archivage intermédiaire des données et d’une gestion des habilitations d’accès aux documents.
48.La formation restreinte rappelle que la durée de conservation des données personnelles doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsque cette finalité est atteinte, les données doivent soit être supprimées, soit faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Ces données doivent alors être placées en archivage intermédiaire, pour une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont conservées, conformément aux dispositions en vigueur. Ainsi, après avoir opéré un tri des données pertinentes à archiver, le responsable de traitement doit prévoir, à cet effet, une base de données d’archives dédiée ou une séparation logique dans la base de données active. Cette séparation logique est assurée par la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions, comme par exemple les personnes du service juridique, puissent y accéder. Au-delà de ces durées de conservation des données versées en archives intermédiaires, les données personnelles doivent être supprimées.
49.En l’espèce
, la formation restreinte rappelle que la collecte par la société X des données personnelles des candidats a pour finalité l’attribution de logements. Dès lors que cette finalité est atteinte, les données personnelles des candidats n’ayant pas accédé à la location ne peuvent plus être conservées au-delà de trois mois, au sein de la base de données active et au-delà faire l’objet d’une séparation logique voire d’un archivage intermédiaire.
50.Or, la formation restreinte observe que la société a indiqué à la délégation de la CNIL lors de la mission de contrôle du 13 septembre 2018 que les documents transmis par les candidats n’ayant pas accédé à la location, c’est-à-dire ceux pour lesquels la poursuite du traitement n’était plus justifiée, n’étaient pas supprimés et qu’aucune purge n’était mise en œuvre en base de données. Elle note encore que, dans ses observations en défense, la société a produit un document dont il ressort que sa politique en matière de conservation des données des clients et prospects n’a été formalisée qu’en novembre 2018. Enfin, au cours de la séance du 11 avril 2019, la société a indiqué que la mise en place d’une solution d’archivage des documents en question était en cours de réalisation.
51.Il ressort de ces différents éléments que la société X conservait en base active les données à caractère personnel des candidats n’ayant pas accédé à la location pour une durée excédant dans des proportions importantes celle nécessaire à la réalisation de la finalité du traitement, à savoir l’attribution de logements, sans qu’aucune solution d’archivage intermédiaire n’ait été mise en place.
52.Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’un manquement à l’obligation de conservation des données, telle que prévue par l’article 5 du Règlement, est caractérisé.
III.Sur la sanction et la publicité
L’article 45-III 7° de la loi du 6 janvier 1978 dispose :  Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes:[…] : 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.  L’article 83 du RGPD prévoit que
Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi; b) le fait que la violation a été commise délibérément ou par négligence ; c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées; d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32; e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant; f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les
éventuels effets négatifs; g) les catégories de données à caractère personnel concernées par la violation; h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation; i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures; j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42; et k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
54.La société considère qu’une amende administrative de 900 000 euros est disproportionnée compte tenu des critères fixés par l’article 83 du Règlement, de ses capacités financières et des sanctions précédemment prononcées par la formation restreinte. Elle rappelle ensuite que ni le RGPD, ni la loi Informatique et Libertés ne prévoient de règles s’agissant du montant maximum de l’amende pouvant être infligée par l’autorité de contrôle lorsque les manquements retenus sont punis pour l’un, d’une amende pouvant s’élever jusqu’à 10 millions d’euros ou 2% du chiffres d’affaires annuel mondial et, pour l’autre, d’une amende pouvant s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.
55.Tout d’abord, la formation restreinte estime que dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants.
56.D’une part, elle rappelle que face aux risques représentés par les violations de données à caractère personnel, le législateur européen a entendu renforcer les obligations des responsables de traitement en matière de sécurité des traitements. Ainsi, selon le considérant 83 du RGPD,  Afin de garantir la sécurité et de prévenir tout traitement effectué en violation du présent Règlement, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement. Ces mesures devraient assurer un niveau de sécurité approprié, y compris la confidentialité, compte tenu de l'état des connaissances et des coûts de mise en œuvre par rapport aux risques et à la nature des données à caractère personnel à protéger. Dans le cadre de l'évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte ou l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière ou l'accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles d'entraîner des dommages physiques, matériels ou un préjudice moral . Or, la formation restreinte observe que le défaut de sécurité qui a rendu possible la violation de données trouve son origine dans une conception défectueuse
de son site par la société X. La mise en œuvre d’une procédure d’authentification sur le site était une mesure élémentaire à prendre, qui aurait permis d’éviter la violation de données personnelles.