AgentPublic/cnil huggingface dataset:
De ce fait, la formation restreinte constate que la société est fondée à conserver les données sur une durée supérieure à treize mois, la disposition susmentionnée du Code monétaire et financier lui étant manifestement inapplicable. 
Par ailleurs, elle relève que la société est en cours de migration de son dispositif de paiement par carte bancaire vers un prestataire spécialisé, de sorte qu'elle ne sera plus amenée à conserver elle-même les données de paiement de ses clients pour les paiements réalisés. 
Elle relève également, à cet égard, que la société s'est engagée à tronquer les données bancaires conservées dans cette base au-delà de 24 mois, et à mener une étude d'impact sur la purge définitive de ces données. 
Pour autant, elle constate que la société, en défense sur ce point, n'a pas indiqué respecter une durée de conservation précise, en se contentant de contester l'applicabilité à sa situation d'un délai de treize mois. 
De ce fait, la formation restreinte constate qu'aucune règle précise n'a été jusqu'alors appliquée aux informations bancaires enregistrées à la base Commandes. Ainsi, sans préjuger de la conformité à ces dispositions des mesures prises pour l'avenir par la société sur ce point, elle ne peut qu'en déduire que la société n'a pas respecté les dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. 
- Sur les cryptogrammes visuels enregistrés dans la base de gestion des commandes
Il a été établi lors du contrôle précité que la société conservait dans sa base de données plus de 780 000 cryptogrammes visuels de cartes bancaires en cours de validité, utilisées par ses clients lors de transactions antérieures, et concernant ainsi, pour la plupart, des transactions révolues. 
La société se défend sur ce point en indiquant qu'à court terme, elle ne stockera plus aucun cryptogramme visuel dès lors que son système de paiement sera intégralement confié à un prestataire spécialisé. 
Par ailleurs, en ce qui concerne la configuration dans laquelle elle opère actuellement, elle explique devoir conserver les cryptogrammes des cartes de ses clients par le fait que le paiement ne s'effectue pas immédiatement au moment de la saisie des coordonnées bancaires sur le site, si bien que ces données doivent être conservées jusqu'à l'obtention de l'autorisation de paiement par la banque du titulaire de la carte. Le stockage provisoire du cryptogramme est ainsi justifié par le temps requis des services de back office de la société pour procéder informatiquement à la demande d'autorisation de paiement, par le fait que la demande d'autorisation peut être différée en raison de problèmes de connexion, ou encore par le fait que la société peut être amenée à représenter la demande d'autorisation du fait que l'autorisation n'a pas été accordée immédiatement par la banque.
De fait, la conservation du cryptogramme visuel doit être considéré comme légitime dans le laps de temps ainsi défini. 
Toutefois, le nombre de cryptogrammes dont le stockage provisoire est ainsi justifié, que la société chiffre elle-même à 3000 ou 4000, est sans aucune mesure avec les 780 000 cryptogrammes que la délégation de contrôle de la Commission a pu relever dans la base. 
Si elle prend acte du fait que la société indique avoir remédié au dysfonctionnement ayant affecté la purge quotidienne des cryptogrammes, lequel aurait justifié ce chiffre, la formation restreinte n'en considère pas moins que la société n'a, de ce fait, pas respecté les dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée sur ce point. 
  
4. Sur le manquement à l'obligation d'assurer la sécurité et la confidentialité des données
- L'article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Il appartient à la formation restreinte de décider si la société a manqué à l'obligation lui incombant en application de ces dispositions quant à l'enregistrement, dans ses bases, des coordonnées bancaires des personnes.
- En l'espèce, il est établi que dans la même base de données apparaît le nom du porteur de la carte, son numéro de carte bancaire, la date d'expiration de celle-ci et parfois (lorsqu'il n'a pas été purgé) son cryptogramme visuel, l'ensemble de ces éléments étant conservé dans la même base, en clair, sans hachage ni chiffrage. 
En l'occurrence, les mesures de sécurité mises en œuvre pour prévenir une utilisation frauduleuse du numéro de carte bancaire consistent à insérer un chiffre 3 encadrant chacun des chiffres du numéro de la carte, ceci correspondant à une conversion en format hexadécimal. Les services de la CNIL ont facilement pu reconstituer les numéros de cartes par une conversion des valeurs hexadécimales en valeur décimales figurant dans la base. 
- Pour autant, la société se défend d'avoir violé les termes de l'article 34 susvisé, en indiquant que s'il est effectivement possible à certains employés de la société d'avoir accès aux informations relatives aux cartes bancaires en cours de validité recensées dans la base, y compris, au jour du contrôle, les 780 000 cryptogrammes visuels, il est en revanche inexact de soutenir que l'ensemble de ses employés a accès aux numéros de cartes en clair et peuvent aisément utiliser les cartes de ses quelques 10 millions de clients.
Elle insiste sur le fait qu'elle a mis en place une charte informatique très stricte sur ce point, qu'une obligation de confidentialité est applicable à ses personnels, que les accès à cette table informatique spécifique font l'objet d'une traçabilité, et qu'elle fait procéder à des audits réguliers pour tester la solidité de ses bases et fait procéder, le cas échéant, aux mesures correctives qui s'imposent. 
Par ailleurs, elle soutient que les mesures de sécurité qu'elle applique à cette base, quand bien même elles ne seraient pas celles que préconise la CNIL dans sa recommandation n°03-034 du 19 juin 2003 relatives au stockage et à l'utilisation du numéro de carte à bancaire dans le secteur de la vente à distance, n'en demeurent pas moins efficaces puisqu'aucune intrusion n'a jamais résulté des attaques malveillantes dont elle a par ailleurs pu être la cible. 
Enfin, elle rappelle qu'elle ne stockera plus, à court terme, la moindre donnée bancaire dès lors qu'elle s'apprête à achever la migration de son système de paiement vers un tiers de confiance utilisant la norme PCI DSS pour les transactions à venir. 
- Sans préjuger de la sécurité du système de paiement externalisé dont la société affirme qu'il sera mis en œuvre à court terme, la formation restreinte considère ce qui suit.
Il n'est pas contesté que la société a jusqu'à présent fait le choix délibéré de conserver dans une seule et même base, en clair, l'ensemble des données bancaires de ses clients, c'est-à-dire leurs numéros de cartes, les noms de leurs titulaires, leurs durées de validité et les cryptogrammes visuels correspondants. 
En faisant ce choix, la société a délibérément encouru le risque que certaines personnes puissent avoir accès à l'ensemble des coordonnées bancaires de ses clients, dans un seul et même fichier, qu'un tel accès puisse être le fait d'un employé malveillant ou celui d'une intrusion extérieure.
Le risque pris était d'autant plus grand que la mesure mise en œuvre pour empêcher la lecture immédiate des numéros de carte s'est avérée manifestement insuffisante, et que les mesures techniques prises pour éviter un accès malveillant n'ont pas pour autant fait obstacle au fait qu'un grand nombre de cryptogrammes visuels sont demeurés accessibles dans la base du fait du dysfonctionnement du mécanisme de purge de ces données à l'issue de la réalisation de la transaction. Ce risque doit par ailleurs être mis en regard du fait que la société est un des acteurs majeurs de l'Internet français, qu'elle détient les coordonnées bancaires en cours de validité d'une dizaine de millions de personnes, et que le contenu de sa base, de ce fait, revêt une grande sensibilité.
Dans ces conditions, ce choix s'avère d'autant plus problématique que la société, qui affirme que seul un nombre très restreint de personnels, dont des informaticiens et administrateurs, est habilité à accéder aux numéros de carte, n'apporte pas pour autant d'éléments précis quant à la délimitation du périmètre de ces personnes et de leurs critères d'habilitation, et n'a pas davantage été en mesure de les dénombrer de manière affirmée dans ses écritures comme à l'audience. 
La formation restreinte ne peut donc considérer que la société a pris toutes les précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Le fait qu'aucune intrusion n'aurait été réalisée dans la base jusqu'à présent ne saurait, en tant que tel, constituer un élément de défense probant sur ce point. 
Dans ces conditions, la formation restreinte constate que la société n'a pas respecté les dispositions de l'article 34 susvisé.
5. Sur les manquements constatés et la publicité de la décision
Dans ces conditions, et sans qu'il soit besoin de statuer sur les autres manquements, la formation restreinte considère que la société X a manqué à plusieurs obligations lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée, ce qui justifie de que soit prononcé à son encontre un avertissement.
En outre, compte tenu de la gravité des faits relevés, la formation restreinte décide de rendre sa décision publique. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer un avertissement à l'encontre de la société X ; - De rendre publique sa décision sur le site Internet de la Commission et sur le site Légifrance. 
La Présidente 
Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation, notamment ses articles L. 321-1 et suivants, L. 331-1 et suivants et D .311-6 et suivants ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6, 23 et 24-II ;
Vu la loi n° 2010-1127 du 28 septembre 2010 visant à lutter contre l'absentéisme scolaire ; 
Vu le décret n° 84-628 du 17 juillet 1984 relatif au Conseil national de l'information statistique et portant application de la loi n° 51-771 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière statistique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-860 du 14 mai 2007 relatif au livret personnel de compétences ;
Vu l'arrêté du 22 septembre 1995 portant création d'un traitement automatisé d'informations nominatives relatif au pilotage et à la gestion des élèves du second degré portant sur les trois niveaux : établissement, académique, administration centrale ; 
Vu l'arrêté du 20 octobre 2008 portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré ; 
Vu l'arrêté du 27 février 2012 portant sur la création d'un traitement automatisé de données à caractère personnel relatif à la consultation du livret personnel de compétences des élèves des établissements publics du second degré ;
Vu la délibération n° 85-50 du 22 octobre 1985 de la Commission nationale de l'informatique et des libertés portant recommandation relative aux modalités de collecte d'informations nominatives en milieu scolaire et dans l'ensemble du système de formation ; 
Vu la délibération n° 86-115 du 2 décembre 1986 de la Commission nationale de l'informatique et des libertés concernant les traitements automatisés d'informations nominatives relatifs à la gestion administrative, comptable et pédagogique des écoles et des établissements d'enseignement secondaire du secteur public et privé ; 
Après avoir entendu M. Eric PERES, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Décide :
Conformément à l'article l'article 24-II de la loi du 6 janvier 1978 modifiée, la Commission est habilitée à définir, pour les catégories les plus courantes de traitements de données à caractère personnel, celles qui sont dispensées de déclaration. 
Compte tenu des finalités, des catégories de personnes concernées, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des destinataires des traitements de données à caractère personnel relatifs à la gestion administrative, comptable et pédagogique des écoles et des établissements d'enseignement secondaire des secteurs public et privé, la Commission considère que ceux-ci peuvent faire l'objet d'une telle dispense de déclaration.
Sous réserve du strict respect des dispositions suivantes, la présente délibération vise donc à dispenser de déclaration les responsables de traitements mettant en œuvre cette catégorie de traitements. 
Article 1er 
Sont dispensés de formalités préalables, par référence à la présente délibération les traitements mis en œuvre par les écoles et les établissements d'enseignement secondaire des secteurs public et privé, qui :
- ne portent que sur des données objectives, strictement nécessaires à la gestion de la scolarité des enfants concernés et aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès ; - ne donnent lieu à aucune autre mise en relation que celles qui sont nécessaires à l'accomplissement des fonctions énumérées à l'article 2 ci-dessous ;- comportent des dispositions propres à assurer la sécurité des traitements et des informations ainsi que la garantie des secrets protégés par la loi ;- satisfont en outre aux conditions énoncées aux articles 2 à 8 ci-dessous.
Article 2Finalités des traitements 
Les traitements doivent avoir pour seules finalités : 
a) L'édition de listes alphabétiques générales d'élèves, comportant éventuellement l'indication des diplômes obtenus par ces derniers, de certificats de scolarité, de listes de parents d'élèves ou de leurs responsables légaux, de listes d'élèves répartis par classe, par commune de résidence et par catégorie (interne, externe, demi-pensionnaire), de listes d'élèves boursiers et d'étiquettes-adresses ; b) L'établissement de statistiques anonymes relatives à l'état général des effectifs sur la base des informations limitativement énumérées à l'article 3 ; 
c) Le calcul des droits constatés, l'édition de factures, le paiement des frais scolaires et le versement des bourses ;
d) Le suivi de l'assiduité scolaire des élèves (dénombrement des absences des élèves et mention objective de leurs motifs, dénombrement des sanctions disciplinaires et courte description objective de leur mise en œuvre) ; 
e) L'édition périodique de bulletins de notes comportant éventuellement le calcul de moyennes, des groupes de niveaux ou de suivis pédagogiques spécifiques ainsi qu'un état récapitulatif annuel des notes en vue de l'orientation et des examens ; 
f) L'interfaçage de données avec les Espaces numériques de travail (ENT) de l'établissement, de l'académie ou de la collectivité qui le met à disposition de l'établissement, concernant l'emploi du temps des élèves et des enseignants et la gestion des groupes de travail (groupes de niveaux ou de suivis) ;
g) L'interfaçage technique du traitement avec les applications mises à disposition par le ministère de l'Education nationale (MEN) en conformité avec la loi du 6 janvier 1978 modifiée, telles que : - le traitement SCONET (autrement dénommé SIECLE) pour faciliter la gestion administrative, pédagogique et financière des élèves du 2nd degré ; - le Livret personnel de compétences (LPC) afin de permettre un enregistrement systématique des acquis des élèves au sens du décret n°2007-860 du 14 mai 2007 relatif au livret personnel de compétences ; - le Diplôme nationale du Brevet (DNB) afin de faciliter l'évaluation des élèves via la remontée de la  fiche brevet  ; - Admission Post-Bac (APB), afin de permettre la gestion de l'orientation des élèves et la saisie des vœux pour le 2nd degré et l'enseignement supérieur ; - le traitement OBII, afin de remonter vers l'applicatif national les compétences du Brevet Informatique et Internet (B2i) ; - le traitement BE1D (Base élèves premier degré), pour faciliter la gestion administrative, pédagogique et financière des élèves du 1er degré. 
h) La transmission d'informations incombant aux établissements scolaires en vertu des textes en vigueur (notamment pour des motifs de santé publique).
La mise à disposition de téléservices, à l'attention des élèves ou de leurs responsables légaux n'est pas couverte par la présente dispense et doit faire l'objet de formalités auprès de la Commission nationale de l'informatique et des libertés.
Article 3Catégories de données traitées 
Les informations traitées ne doivent pas concerner de données entrant dans le champ des articles 8 et 9 de la loi du 6 janvier 1978 modifiée, c'est à dire qu'elles ne doivent pas être relatives aux infractions, condamnations ou mesures de sûreté ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques, religieuses, l'appartenance syndicale des personnes ni être relatives à la santé ou à la vie sexuelle de celles-ci.
Dès lors que les dispositions de la délibération relative aux modalités de collecte des données à caractère personnel en milieu scolaire susvisées ont été respectées lors de leur recueil, les informations traitées doivent relever seulement des catégories suivantes :
a) Identité de l'élève : nom, prénoms, sexe, date et lieu de naissance, adresse, adresse électronique de l'élève fournie par l'établissement, nombre de frères et sœurs scolarisés, et, à titre facultatif et uniquement si l'intéressé y consent : la nationalité (uniquement en vue de l'établissement par le Ministère de traitements statistiques anonymes), l'adresse électronique personnelle de l'élève, le numéro de téléphone portable de l'élève ;
b) Identité d'un ou plusieurs responsables légaux de l'élève : nom, prénoms, adresse, numéro de téléphone du domicile et professionnel, mode de règlement des frais scolaires ou périscolaires et, à titre facultatif, et uniquement si le responsable légal concerné y consent : sa catégorie socioprofessionnelle (code INSEE, en vue de l'établissement par le Ministère de traitements statistiques anonymes), son adresse électronique, son numéro de téléphone portable, son identité bancaire ou postale, l'autorisation de communiquer son adresse ou son courriel aux associations de parents d'élèves ; 
c) Scolarité de l'élève : établissement d'origine, classe, groupe, division fréquentés et options suivies pendant l'année scolaire en cours et l'année scolaire antérieure, année d'entrée dans l'établissement, diplômes obtenus, position (non-redoublant, redoublant, triplant), décision d'orientation et décision d'affectation, notes, acquis au sens du décret n°2007-860 du 14 mai 2007 relatif au livret personnel de compétences, noms des enseignants, absences, sanctions disciplinaires, vœux d'orientation ; 
d) Situation financière : nombre de parts de bourse, catégorie (interne, externe, demi-pensionnaire), remises et réductions. 
Article 4Durée de conservation
Conformément aux dispositions légales et réglementaires en vigueur, les données concernant les diplômes obtenus, les acquis au sens du décret n°2007-860 du 14 mai 2007, la classe, le groupe ou la division fréquentés et les options suivies l'année scolaire écoulée peuvent être conservées jusqu'à la fin du cycle d'enseignement secondaire de l'élève concerné.
Les autres données relatives à la scolarité des élèves et à leur situation financière, visées à l'article 3 c) et d), ne doivent pas, sauf dispositions légales contraires, être conservées au-delà de l'année scolaire pour laquelle elles ont été enregistrées. 
Les données relatives à l'identité de l'élève et à son responsable légal visées à l'article 3 a) et b) ne doivent pas être conservées au-delà de la date de départ de l'élève de l'établissement. 
Article 5Destinataires des informations 
Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires des informations strictement nécessaires à l'accomplissement de leurs missions :a) le service administratif et le service logistique de l'établissement ; 
b) les conseillers principaux d'éducation et les conseillers d'information et d'orientation ; 
c) les enseignants et l'équipe pédagogique de l'élève concerné ainsi que les jurys d'examens pour les seules informations relatives à la position de l'élève (non-redoublant, redoublant, triplant), aux options choisies, aux acquis validés et aux notes obtenus par celui-ci ;
d) les associations de parents d'élèves pour les adresses postales et électroniques des seuls responsables légaux des élèves ayant autorisé la transmission de cette information ;
e) le maire de la commune de résidence des élèves aux fins de contrôle de l'obligation scolaire ; 
f) l'Inspection académique, uniquement dans le cadre de la mise en œuvre de ses compétences en application de la loi n° 2010-1127 du 28 septembre 2010 visant à lutter contre l'absentéisme scolaire.
Seules peuvent être communiquées à des destinataires tiers, en respectant les procédures prévues par le décret au 17 juillet 1984 susvisé, les informations concernant les élèves destinées : - soit à l'élaboration et à la diffusion de statistiques relatives au fonctionnement du système éducatif ; - soit à des tirages d'échantillons de population afin d'effectuer des enquêtes et études statistiques ciblées et spécifiquement motivées.
Sauf disposition légale contraire, aucune autre donnée à caractère personnel ne peut être communiquée à des tiers qu'avec l'accord écrit de l'un des responsables légaux de l'élève ou de l'élève lui-même, lorsque celui-ci en a la capacité (élève de plus de 13 ans, concernant des sujets limitativement identifiés). 
Article 6Sécurités
Des mesures de protection physique et logique doivent être prises afin de préserver la sécurité du traitement et l'intégrité des données traitées, ainsi que d'empêcher tout accès ou toute utilisation détournés ou frauduleux de celles-ci, notamment par des tiers non autorisés.
Les destinataires visés à l'article 5 accèdent aux informations au moyen d'un identifiant et d'un mot de passe individuel ou par tout autre dispositif sécurisé. Les échanges avec ces destinataires doivent être sécurisés, en particulier concernant les échanges par internet, qui doivent être chiffrés. 
Une traçabilité des actions sur les données doit être mise en place pour garantir une utilisation raisonnable et transparente de l'outil (création ou consultation de dossiers, modification ou suppression de données).
L'ensemble des garanties de sécurité, et particulièrement l'hébergement des données, doit garantir que le traitement est en conformité avec les exigences de l'article 34 de la loi du 6 janvier 1978 modifiée. 
Article 7Information et droit des personnes
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées (élèves, responsables légaux, enseignants, agents administratifs et acteurs de la vie scolaire concernés) sont informées des finalités du traitement, des destinataires des données, ainsi que des modalités d'exercice de leurs droits, conformément aux articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée.