AgentPublic/cnil huggingface dataset:
- croisement ou combinaison d'ensembles de données
			Traitements de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes dites vulnérables (élèves, personnes âgées, patients, demandeurs d'asile, etc.)
			- collecte de données sensibles
			- personnes dites vulnérables 
			Instruction des demandes et gestion des logements sociaux
			- collecte de données sensibles
			- évaluation ou notation
			Traitements ayant pour finalité l'accompagnement social ou médico-social des personnes
			- collecte de données sensibles
			- évaluation ou notation
			- personnes dites vulnérables 
			Traitements de données de localisation à large échelle
			- collecte de données sensibles
			- données traitées à grande échelle
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment ses articles 35 et 36 ;
Vu la loi du 6 janvier 1978 modifiée, notamment son article 11 ;
 
Adopte les lignes directrices suivantes sur les analyses d'impact relatives à la protection des données :
Le règlement général sur la protection des données (RGPD) promeut le principe de responsabilisation des organismes, dont la mise en œuvre concrète repose notamment sur la réalisation d'analyses d'impact relatives à la protection des données (AIPD ou Privacy Impact Assessment - PIA) pour les traitements susceptibles d'engendrer un risque élevé pour les droits et les libertés des personnes.
En propos liminaires, la Commission nationale de l'informatique et des libertés rappelle l'importance des AIPD qui, au-delà de leur caractère obligatoire dans certaines hypothèses et des sanctions encourues en cas de méconnaissance de cette obligation, permettent à chaque responsable de traitement concerné d'identifier les garanties nécessaires afin d'assurer et de démontrer la conformité du traitement qu'il envisage de mettre en œuvre au regard des exigences du RGPD. Les AIPD sont avant tout l'occasion de mener une réflexion interne, spécifique à chaque traitement, de nature à garantir de manière opérationnelle le respect des principes relatifs à la protection des données et de pouvoir, le cas échéant, le démontrer.
La commission a donc souhaité accompagner les responsables de traitement dans cette démarche essentielle en leur proposant différents outils tels que des guides méthodologiques ainsi qu'un logiciel d'aide à la rédaction des AIPD, disponibles sur son site.
En complément de celles adoptées le 4 octobre 2017 au niveau européen par le groupe de travail article 29 (G29), et reprises à son compte par le Comité européen à la protection des données (CEPD) le 25 mai 2018, la commission a également estimé utile d'adopter des lignes directrices afin de préciser le périmètre de l'obligation d'effectuer une AIPD, les conditions de réalisation de celle-ci et, enfin, les cas dans lesquels une AIPD doit lui être transmise.
Les responsables de traitement concernés par la réalisation d'une AIPD pourront également se reporter aux référentiels sectoriels que la commission a adoptés afin, d'une part, d'évaluer la nécessité et la proportionnalité des opérations de traitement envisagées ou mises en œuvre et, d'autre part, d'identifier les garanties devant être apportées pour protéger les droits et libertés des personnes dont les données seront traitées. Ces référentiels pourront éclairer utilement les responsables de traitement sur les attentes de la commission.
La commission pourra par ailleurs, dans certains cas, donner à ces référentiels un effet juridique, en exonérant de la réalisation d'AIPD les responsables de traitement qui s'y conformeraient strictement. Chaque référentiel précisera les effets qui lui sont attachés (référentiel servant de simple aide à la rédaction des AIPD ; référentiel permettant d'être exonéré de la réalisation d'une AIPD).
1. Périmètre des traitements soumis, ou non, à la réalisation d'une AIPD
1.1. Traitements soumis à la réalisation d'une AIPD
L'article 35.1 du RGPD prévoit que le responsable doit effectuer une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques .
- Le règlement lui-même donne trois types de traitements susceptibles de présenter un risque élevé :
- l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire ;
- le traitement à grande échelle de données sensibles ou relatives à des condamnations pénales et des infractions ;
- la surveillance systématique à grande échelle d'une zone accessible au public.
- Au-delà de ces trois traitements, le CEPD a identifié neuf critères permettant de caractériser un traitement susceptible d'engendrer un risque élevé :
- données traitées à grande échelle ;
- données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou de santé, données biométriques et données concernant la vie ou l'orientation sexuelle) ou données à caractère hautement personnel (données relatives à des communications électroniques, données de localisation, données financières, etc.) ;
- données concernant des personnes vulnérables (patients, personnes âgées, enfants, etc.) ;
- croisement ou combinaison de données ;
- évaluation/scoring (y compris le profilage) ;
- prise de décision automatisée avec un effet juridique ou similaire ;
- surveillance systématique de personnes ;
- traitement pouvant exclure du bénéfice d'un droit, d'un service ou d'un contrat ;
- utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles.
La commission considère, de manière générale, qu'un traitement qui rencontre au moins deux des critères mentionnés ci-dessus doit faire l'objet d'une AIPD.
Il sera cependant possible de s'écarter de la recommandation ci-dessus dans certains cas de figure. Un responsable qui estime que son traitement, bien que rencontrant deux des critères mentionnés ci-dessus, ne présente en réalité pas de risque élevé , devrait expliquer et documenter sa décision de ne pas procéder à une AIPD en incluant, s'il a été désigné, l'avis du délégué à la protection des données (DPO). A l'inverse, un responsable peut estimer que son traitement présente un risque élevé bien qu'il ne satisfasse qu'à un seul des critères ci-dessus. En conséquence, il réalisera une AIPD.
La commission estime, qu'en cas de doute, une AIPD devrait être effectuée.
- Enfin, le RGPD demande aux autorités de contrôle d'établir une liste de traitements pour lesquels une AIPD est requise (article 35.4).
Cette liste a été établie par la commission dans le cadre de sa délibération n° 2018-327 du 11 octobre 2018 relative aux types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise, après prise en compte de l'avis rendu par le CEPD le 25 septembre 2018 ; cette liste est appelée à être régulièrement revue par la commission selon son appréciation des risques élevés que peuvent présenter certains traitements.
1.2. Traitements non soumis à AIPD
D'une manière générale, ne sont pas soumis à AIPD les traitements qui ne sont pas susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques .
- Le RGPD autorise les autorités nationales de protection des données à adopter une liste d'opérations de traitement qui ne doivent pas être précédées d'une AIPD (article 35.5).
Sur ce fondement, la commission établira une liste des traitements qui, en tout état de cause, ne présentent pas de risque élevé et ne sont donc pas soumis à la réalisation d'une AIPD. Ici aussi, cette liste sera régulièrement revue par la commission.
- Sauf disposition légale contraire, ne sont pas non plus soumis à AIPD les traitements répondant au respect d'une obligation légale à laquelle le responsable de traitement est soumis, ou nécessaires à l'exercice d'une mission de service public confié au responsable de traitement, lorsque ces traitements ont une base juridique dans le droit national ou de l'Union européenne, que ce droit les réglemente, et qu'une AIPD a déjà été menée lors de l'adoption de cette base juridique.
La commission considère que cette possibilité devrait être largement utilisée par les pouvoirs publics, compte tenu de sa portée et de l'aide qu'elle procurera aux responsables de traitement concernés.
- Une AIPD n'est pas non plus requise lorsque la nature, la portée, le contexte et les finalités des traitements envisagés sont très similaires à un traitement pour lequel une AIPD a déjà été menée par le responsable de traitement ou par un tiers (autorités ou organismes publics, regroupement de responsables de traitement, etc.) ; dans ce cas, les résultats de l'AIPD déjà menée peuvent être réutilisés.
Toutefois, dans le cas d'une AIPD effectuée par un tiers, le responsable de traitement concerné doit transposer, pour tout ou partie, les résultats de l'AIPD à sa situation particulière.
La commission rappelle que, pour autant, les traitements non soumis à AIPD doivent respecter les principes de protection des données rappelés à l'article 5 du RGPD et les droits des personnes concernées. La commission a élaboré des référentiels sectoriels permettant d'apporter des garanties de nature à assurer la conformité au RGPD auxquels pourront se référer, le cas échéant, les responsables de traitement concernés.
1.3. Cas particuliers des traitements mis en œuvre avant l'entrée en vigueur du RGPD
La commission considère que les traitements régulièrement mis en œuvre avant le 25 mai 2018 - c'est-à-dire ayant fait l'objet d'une formalité auprès de la CNIL, en ayant été dispensés, ayant été autorisés par un acte réglementaire ou encore ayant été inscrits dans le registre d'un correspondant informatique et libertés (CIL) - n'ont pas à faire l'objet d'une AIPD dans un délai de trois ans à compter du 25 mai 2018, à moins que ceux-ci n'aient fait l'objet d'une modification substantielle depuis leur mise en œuvre.
2. Conditions de réalisation d'une AIPD
Une AIPD doit être menée avant la mise en œuvre d'un traitement présentant un risque élevé pour les droits et libertés des personnes physiques concernées ; elle doit être revue de manière régulière, en tout état de cause tous les trois ans, pour s'assurer que le niveau de risque reste acceptable. Une seule et même AIPD peut porter sur un ensemble d'opérations de traitement similaires en termes de nature, périmètre, contexte, finalité et risques présentés pour les droits et libertés des personnes concernées.
L'article 35.7 du RGPD énonce le contenu minimal d'une AIPD :
- une description systématique des opérations de traitement envisagées et de ses finalités
- une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ;
- une évaluation des risques pour les droits et libertés des personnes concernées, et
- les mesures envisagées pour faire face aux risques.
Quelle que soit la méthode choisie par le responsable de traitement, la commission estime que celle-ci doit permettre de satisfaire aux critères dégagés par le CEPD dans ses lignes directrices du 4 octobre 2017 ( critères d'acceptabilité d'une AIPD ).
Une AIPD doit être menée par le responsable du traitement concerné, ou sous son autorité.
La commission rappelle que la réalisation d'une AIPD doit impliquer l'ensemble des acteurs du traitement considéré. Cela concerne, le cas échéant, et de manière non exhaustive :
- le délégué à la protection des données (DPO) dont le conseil doit être demandé et formalisé dans l'AIPD et le responsable de la sécurité des systèmes d'information (RSSI) ;
- le ou les sous-traitants concernés qui ont une obligation de coopération ;
- les personnes concernées par le traitement ou leurs représentants, dont la consultation peut, dans certains cas, être pertinente pour évaluer les risques ;
- la maîtrise d'ouvrage et la maîtrise d'œuvre en fonction du contexte.
La commission recommande de documenter les apports de chaque acteur sollicité ou, à l'inverse, le choix fait de ne pas recueillir l'avis d'un acteur donné.
Enfin, la commission estime qu'un responsable ayant réalisé une AIPD peut utilement produire un rapport ou un résumé ayant vocation à être publié afin de créer un climat de confiance et de transparence entre les parties concernées par un traitement.
3. Obligations de transmission d'une AIPD à la CNIL
Une AIPD faisant apparaître des risques résiduels élevés malgré les mesures envisagées par le responsable de traitement concerné doit être transmise à la CNIL dans les conditions prévues par l'article 36 du RGPD.
Le responsable de traitement pourra, le cas échéant, s'appuyer sur les référentiels sectoriels édictés par la CNIL : le respect d'un référentiel permettra de considérer qu'il n'y a pas de risques résiduels élevés tandis que les traitements s'en écartant devront conduire le responsable de traitement concerné a, a minima, s'interroger sur le niveau de risque résiduel pouvant nécessiter la consultation obligatoire de la commission.
Enfin, la commission estime qu'une AIPD portant sur un projet de traitement relevant de l'article 54 III de la loi informatique et libertés (traitements de données à caractère personnel dans le domaine de la santé) doit lui être transmise dans le cadre de l'instruction de la demande d'autorisation dont elle est saisie.
En tout état de cause, la commission rappelle que les AIPD pourront, en application des articles 58 du RGPD et 44 de la loi du 6 janvier 1978, être demandées aux responsables de traitement concernés, notamment dans le cadre de l'instruction des plaintes dont elle serait saisie ou dans le cadre du contrôle de la mise en œuvre des traitements.
La présidente
I. Falque-Pierrotin
Décision n° MED 2018-042 du 30 octobre 2018 mettant en demeure la société X
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le Code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2018-022C du 30 mars 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X;
Vu les procès-verbaux de contrôle n° 2018-022/1 du 19 avril 2018 et n° 2018-022/2 du 20 avril 2018 ;
Vu les autres pièces du dossier ;
Constate les faits suivants
La société X (ci-après la société ), sise […] est une société par actions simplifiée spécialisée dans la programmation informatique et notamment l’édition et la vente d’outils informatiques. Elle emploie 56 salariés et a réalisé en 2017, un chiffre d’affaires d’environ 3,2 millions d’euros.
L’activité de la société X est d’afficher des publicités pour le compte de ses clients annonceurs, sur les ordiphones de personnes dont le profil est déterminé à partir de leurs données de géolocalisation. La société a également pour activité de mesurer les visites des mobinautes[1] dans les points de vente de ses clients.
Le 23 mai 2017, la société a effectué auprès de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) un engagement de conformité à la norme simplifiée no 48 du 21 juin 2012 concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects (déclaration n° 2066435).
Elle a, en outre, désigné un délégué à la protection des données le 28 mars 2018.
En application de la décision no 2018-022C du 30 mars 2018 de la Présidente de la Commission, une délégation de la CNIL a procédé les 19 et 20 avril 2018 à des missions de contrôle sur place auprès de la société X. Les missions ont notamment eu pour objet de vérifier la conformité à la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société.
L’objectif de la société X est d’établir le profil des mobinautes à partir de leurs habitudes de déplacements afin de leur proposer de la publicité ciblée.
Dans ce cadre, la société a conclu des contrats avec 5 sociétés partenaires qui éditent 19 applications mobiles largement diffusées (telles que […]). Elle a également déterminé des points d’intérêts (ci-après POIs ) qui correspondent à des coordonnées géographiques de lieux permettant de révéler un profil de consommateur, tels que des points de vente physiques. Par la suite, la société X réalise des campagnes marketing à travers l’achat d’espaces publicitaires pour le compte de sociétés (essentiellement des enseignes de magasin telles que
[…] ou […]), via l’achat aux enchères d’espaces publicitaires en temps réel.
Afin de réaliser ce service, la société a indiqué, lors du contrôle, avoir développé un logiciel SDK [2], intégré par ses partenaires dans leurs applications mobiles et qui permet de collecter les données de géolocalisation ainsi que l’identifiant publicitaire mobile, le nom et la version de l’application mobile et le système d’exploitation utilisé (ANDROID ou IOS). Les données collectées grâce au SDK sont ensuite croisées avec les POIs déterminés avec les clients annonceurs de la société X, ce qui permet de qualifier le profil de l’utilisateur pour le ciblage publicitaire souhaité. Ces données sont conservées par la société au sein de la base de données utilisant l’outil […) .
Dans un premier temps, le SDK est intégré dans le code des applications mobiles de ces sociétés partenaires de la société X, tels que […] ou […] afin de collecter en arrière-plan et transférer à la société des données de fonctionnement des applications installées par les utilisateurs sur leurs ordiphones.
Dans un deuxième temps, les données de géolocalisation collectées grâce au SDK sont croisées avec les POIs déterminés par les partenaires de la société, ce qui permet d’établir le profil de l’utilisateur.
Dans un troisième temps, la société réalise des campagnes marketing à travers l’achat d’espaces publicitaires sur les plateformes de ventes aux enchères de publicités en temps réel, appelées également bid requests .
Le système des bid requests permet à des applications mobiles de trouver un annonceur pour afficher des publicités sur les espaces publicitaires qu’elle comprend. Pour ce faire, les applications font parvenir à des sociétés tierces des données de géolocalisation et l’identifiant publicitaire mobile de l’ordiphone où afficher la publicité.
Ces sociétés tierces (en l’espèce, […] et […]) font parvenir à X (et à plusieurs sociétés similaires) des enchères afin que celle-ci achète l’espace et y diffuse les publicités de ses clients.
Afin que X puisse estimer la valeur de l’espace publicitaire pour ses clients et placer une enchère, les sociétés […] et […] lui transmettent les diverses données qu’elles ont reçues de l’application où s’affichera la publicité. Ces données sont conservées par la société X. Cette relation est régie par des contrats passés entre X et les sociétés […] et […].
Par ailleurs, la société X a également pour activité la mesure des visites des mobinautes dans les points de vente physiques de ses partenaires. Les données collectées via le SDK et les bid requests permettent à la société de vérifier si chaque mobinaute ciblé par des publicités s’est rendu dans un point de vente physique. Cette activité lui permet de mesurer la performance de ses campagnes publicitaires.
Lors du contrôle des 19 et 20 avril 2018, la société a indiqué à la délégation que les données collectées via le SDK et les bid request sont mutualisées au sein d’une même base de données.
La délégation a constaté que la société conserve dans une même base de données 24 688 863 identifiants publicitaires récupérés à travers les bid requests auxquels la société a répondu et 42 934 160 identifiants distincts récupérés à travers les bid requests auxquels la société n’a pas répondu. Ces identifiants sont conservés dans un champ intitulé VUID, sous forme d’un hash[3] tronqué.
En outre, la délégation a constaté qu’étaient présents en base 5 150 201 identifiants publicitaires récupérés via les SDK installés sur les applications mobiles de ses éditeurs partenaires.
Chacun de ces identifiants publicitaires est directement lié à l’ordiphone d’une personne ayant téléchargé une application mobile d’un des partenaires ou une application de laquelle émane une bid request .
Par ailleurs, la délégation a constaté, sur plusieurs applications mobiles contrôlées intégrant le SDK de la société X que, lorsque l’utilisateur d’un ordiphone valide l’autorisation d’accès à ses données de géolocalisation pour le fonctionnement de l’application, ses données sont également transmises à la société X sans qu’il en soit spécifiquement informé et sans que son consentement ne soit recueilli pour cette transmission.
La délégation a constaté que les données de géolocalisation des personnes collectées par le SDK sont conservées pendant douze mois à compter de la date de leur collecte. Il a également été constaté que les données collectées via les bid requests sont conservées douze mois. La société a précisé à la délégation que ces données sont conservées qu’elle ait répondu à l’enchère ou non.
À la suite de demandes formulées par la délégation à l’issue du contrôle, la société a apporté des éléments additionnels, par courriel du 1er juin 2018, concernant notamment l’information des mobinautes dans les conditions générales d’utilisation des applications mobiles et la mise en place d’un outil (Consent Management Platform) visant à collecter la preuve du recueil du consentement des personnes. Elle a, en outre, fourni à la Commission, par courriel, des éléments complémentaires relatifs aux modalités de recueil du consentement des personnes, les derniers éléments ayant été reçus le 26 octobre 2018.
Sur la notion de responsable du traitement et de données à caractère personnel
Sur la qualité de responsable du traitement
Aux termes de l’article 3-I de la loi du 6 janvier 1978 modifiée le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens .