AgentPublic/cnil huggingface dataset:
40. La formation restreinte considère donc qu’un manquement à l’article 33 du Règlement est constitué.
III.Sur les mesures correctrices et la publicité
41. Aux termes du III de l’article 20 de la loi informatique et libertés :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. 
42. L’article 83 du RGPD prévoit :
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
43. Concernant le prononcé d’une amende administrative, M. [...] estime notamment que la mesure correctrice proposée par le rapporteur est disproportionnée au regard de sa responsabilité dans la violation de données.
44. Il revendique également le fait d’avoir réagi très rapidement pour mettre un terme à la violation dès qu’il en a eu connaissance par la délégation, et souligne qu’il s’est, pour cela, entouré de spécialistes compétents.
45. Il fait valoir, en outre, avoir mis en œuvre de nombreuses mesures de sécurité avant l’audition et souligne sa pleine coopération avec les services de la Commission.
46. La formation restreinte rappelle que pour apprécier l’opportunité de prononcer une amende administrative il convient de se référer aux critères pertinents précisés par l’article 83, paragraphe 2, du RGPD.
47. En l’espèce, elle estime qu’il convient de faire d’abord application du critère prévu à l’alinéa f) de l’article 83, paragraphe 2, du Règlement relatif au degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs.
48. La formation restreinte relève que dès qu’il a eu connaissance de la violation, M. [...] a pris les mesures nécessaires permettant d’y mettre un terme aussitôt.
49. Elle rappelle ainsi que dans son courrier électronique du 2 octobre 2019 en réponse à la délégation de contrôle, M. [...] a indiqué avoir fait supprimer purement et simplement ce PACS logiciel dès la réception de votre appel et avoir écrit une procédure interne pour éviter qu’à l’avenir un prestataire n’ouvre un port ou un PACS sur le serveur et qu’il soit possible de se connecter dessus comme vous semblez avoir pu le faire .
50. Elle souligne également qu’il s’est, par la suite, entouré de prestataires, dont la société […], afin de renforcer les mesures de sécurité apportées au dispositif d’imagerie médicale du cabinet, à travers notamment le chiffrement du disque dur de démarrage et l’installation d’un certificat SSL destiné au serveur web du logiciel [...].
51. Cependant, la formation restreinte souligne qu’il convient de faire également application des critères prévu aux alinéas a) et g) de l’article 83, paragraphe 2, du Règlement relatifs, d’une part, à la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et d’autre part, aux catégories de données à caractère personnel concernées par la violation.
52. Elle relève ainsi que M. [...] a failli à deux principes élémentaires en matière de sécurité informatique, à savoir la protection du réseau informatique interne par la limitation des flux réseau au strict nécessaire et le chiffrement des données à caractère personnel.
53. La formation restreinte souligne à nouveau que la gravité du manquement à l’article 32 du RGPD est d’autant plus caractérisée que des données de santé sont concernées et que cette catégorie particulière de données à caractère personnel doit bénéficier de mesures de sécurité renforcées, conformément au considérant 75 du RGPD.
54. Elle répète que le non-respect de ces pratiques élémentaires a eu pour conséquence directe de rendre accessibles plus de mille deux cents séries de données de santé comprenant, pour chacune de ces séries, outre l’image médicale, les nom, prénoms et date de naissance de chaque patient, la date de réalisation de l’examen, le nom du praticien référent et du praticien ayant réalisé l’examen et le nom de l’établissement dans lequel l’examen a eu lieu.
55. Elle rappelle que les données à caractère personnel hébergées sur la base de données du logiciel d’images [...] sont restées accessibles sans aucune authentification pendant une durée d’un peu moins de cinq ans, prolongeant de la sorte le risque que des tiers non autorisés accèdent aux données et puissent éventuellement les compromettre.
56. Enfin, la formation restreinte souligne qu’il convient également de faire application du critère prévu à l’alinéa h) de l’article 83, paragraphe 2, du Règlement relatif à la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement a notifié la violation.
57. Elle rappelle en l’occurrence que la Commission a eu connaissance de la violation de données par le biais d’un article de presse et que M. [...] ne l’a jamais notifiée aux services compétents de la Commission, même après que la délégation de contrôle a attiré son attention sur ce point.
58. Au regard de ces éléments, la formation restreinte considère donc nécessaire le prononcé d’une amende administrative à l’encontre de M. [...].
59. Concernant la détermination du montant de cette amende, la formation restreinte considère que le manquement à l’article 32 du RGPD présente une gravité certaine, qu’en revanche le manquement à l’article 33 présente en l’espèce un caractère formel.
60. Elle note que selon ses déclarations lors de la séance du 3 décembre 2020, M. [...] indique gagner environ 8 000 € par mois et qu’en application des dispositions de l’article 83, paragraphe 4, du RGPD, il encourt une sanction financière d’un montant maximum de 10 millions d’euros.
61. Dès lors, au regard des capacités financières de M. [...] et des critères pertinents de l’article 83, paragraphe 2, du Règlement, la formation restreinte estime que le prononcé d’une amende de 6 000 € apparaît à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83, paragraphe 1, de ce Règlement.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de M. [...] une amende administrative d’un montant de 6 000 € (six mille euros) pour les manquements aux articles 32 et 33 du RGPD ;
rendre publique cette décision sur le site de la CNIL et sur le site de Légifrance sans identifier le responsable de traitement.
Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant les dispositions du code de la sécurité intérieure relatives au traitement de données à caractère personnel dénommé Prévention des atteintes à la sécurité publique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code de la sécurité intérieure, notamment ses articles R. 236-11 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2010-427 du 25 novembre 2010 portant avis sur un projet de décret en Conseil d'Etat portant modification des décrets n° 2009-1249 et n° 2009-1250 du 16 octobre 2009 portant création des traitements de données à caractère personnel respectivement relatifs à la prévention des atteintes à la sécurité publique (PASP) et aux enquêtes administratives liées à la sécurité publique (EASP) ;
Vu la délibération n° 2017-153 du 18 mai 2017 portant avis sur un projet de décret modifiant plusieurs traitements automatisés de données à caractère personnel du code de la sécurité intérieure ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le traitement Prévention des atteintes à la sécurité publique (PASP), mis en œuvre par la direction générale de la police nationale, permet le recueil, la conservation ainsi que l'analyse d'informations concernant des personnes dont l'activité individuelle ou collective indique qu'elles peuvent porter atteinte à la sécurité publique, et peut notamment porter sur des personnes susceptibles de prendre part à des activités terroristes ou d'être impliquées dans des actions de violences collectives, en particulier en milieu urbain ou à l'occasion de manifestations sportives.
La Commission rappelle que la création ce traitement est intervenue dans le cadre de la réforme des services de renseignement menée en 2008 et qu'elle a été amenée à se prononcer à plusieurs reprises sur les modalités de mise en œuvre du traitement PASP, encadrées par les articles R. 236-11 et suivants du code de la sécurité intérieure (CSI).
Le projet de décret soumis pour avis à la Commission vise à permettre de tenir compte de l'évolution de certaines pratiques dans l'utilisation de ce traitement et, ce faisant, de les régulariser. En particulier, le projet prévoit de modifier les finalités du traitement afin d'y intégrer les atteintes à la sûreté de l'Etat ainsi qu'à l'intégrité du territoire ou des institutions de la République, d'élargir les données pouvant faire l'objet d'une collecte et de notamment mentionner l'enregistrement de données provenant de fichiers tiers ainsi que d'étendre la liste des personnes susceptibles d'accéder au traitement ou d'avoir communication d'informations y étant enregistrées. Enfin, le projet de décret modifie les dispositions relatives à l'exercice des droits des personnes concernées, afin de tenir compte de l'évolution de la réglementation en matière de protection des données à caractère personnel.
La Commission prend acte des éléments transmis par le ministère selon lesquels le traitement PASP, mis en œuvre à des fins de prévention des atteintes à la sécurité publique au sens de la directive 2016/680 susvisée, intéresse également en partie la sûreté de l'Etat. Il résulte de l'évolution du cadre juridique relatif à la protection des données à caractère personnel que les dispositions applicables au traitement des données figurant au sein de ce dispositif et intéressant la sûreté de l'Etat, sont exclues du champ d'application de la directive 2016/680 et relèvent spécifiquement des articles 1 à 41 et 115 à 124 de la loi du 6 janvier 1978 modifiée. Enfin, dans la mesure où des données mentionnées au I de l'article 6 de cette même loi sont susceptibles d'être enregistrées, la modification du traitement PASP doit faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
Le projet de décret soumis pour avis à la Commission appelle les observations suivantes.
Sur l'extension du périmètre du traitement
En premier lieu, l'article 1er du projet de décret vise à étendre le champ des atteintes que le traitement vise à prévenir, à celles portant sur la sûreté de l'Etat. Il prévoit en outre que le traitement pourra notamment concerner des personnes susceptibles de porter atteinte à l'intégrité du territoire ou des institutions de la République.
Selon le ministère, cette modification vise à tenir compte, de manière plus précise, des missions exercées par le service central de renseignement territorial (SCRT), et notamment celles relatives à la prévention de la radicalisation et du terrorisme. La Commission considère, tant au regard de l'évolution des missions de la direction du renseignement de la préfecture de police, que de la mutation des menaces susceptibles de porter atteinte à la sûreté de l'Etat, que les modifications projetées sont justifiées.
Elle relève néanmoins que le traitement PASP vise à prévenir des atteintes de natures très diverses qui peuvent de porter sur des agissements ou des individus n'étant pas nécessairement susceptibles de porter atteinte à la sûreté de l'Etat. Elle souligne à cet égard que le traitement n'intéresse que pour partie, et de manière résiduelle, la sûreté de l'Etat.
Dans ces conditions, la Commission estime indispensable que des mesures soient mises en œuvre afin de permettre de distinguer de manière précise les données ayant vocation à être traitées pour des finalités relevant de la sûreté de l'Etat. A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles les informations intéressant la sûreté de l'Etat seront clairement identifiées, en fonction leur motif d'enregistrement. Le ministère a par ailleurs précisé qu'il considère qu'intéresse la sûreté de l'Etat, tout ce qui a trait à la continuité et à l'intégrité des institutions de la République et de ses services publics, et par extension, à la prévention des comportements menaçant cette intégrité. Dans ce contexte, seuls ces motifs, renseignés pour chaque fiche enregistrée dans le traitement, relèveront du titre IV de la loi du 6 janvier 1978 modifiée.
En second lieu, l'article 1er du projet de décret prévoit que les personnes susceptibles d'être enregistrées dans le traitement peuvent être des personnes physiques, des personnes morales, ainsi que des groupements.
Si la Commission relève que cette distinction ne figure pas dans les dispositions en vigueur du CSI, elle prend acte des justifications apportées par le ministère sur la pertinence de la collecte de telles données au regard du risque pour la sécurité publique ou la sûreté de l'Etat que les personnes morales et les groupements peuvent représenter, ou résultant du lien entretenu avec une personne présentant elle-même un risque. Dans ce contexte, elle considère que cet élargissement n'appelle pas d'observation particulière.
Sur la collecte de données issues d'autres fichiers et les rapprochements projetés
L'article 2 du projet de décret prévoit la collecte de nouvelles catégories de données et notamment, l'enregistrement d'informations résultant de l'interrogation ou de la consultation d'autres fichiers ainsi que l'ajout de la mention de l'enregistrement de la personne concernée dans un autre traitement.
La Commission relève ainsi qu'une distinction est réalisée entre les informations enregistrées au titre d'une catégorie de données et la mention de l'inscription d'une personne au sein d'un traitement (par exemple, personne connue au TAJ ). Elle prend acte que cette précision résulte du fait que l'inscription ou non d'une personne dans un traitement constitue une information en soi.
En premier lieu, la Commission relève que de nombreuses catégories de données telles que la situation au regard de la réglementation de l'entrée et du séjour en France , les armes et titres afférents , les moyens de déplacement , les mesures d'incarcération ou encore les fiches de recherche seront alimentées manuellement par d'autres traitements. Ces fichiers sont : l'application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes (AGRIPPA), l'application de gestion des dossiers de ressortissants étrangers en France (AGDREF), le traitement des données portant sur les informations passagers (système API-PNR), le système national des permis de conduire (SNPC), le système d'immatriculation des véhicules (SIV), le traitement d'antécédents judiciaires (TAJ) et le fichier des personnes recherchées (FPR), le système d'information Schengen (SIS II), le fichier des objets et des véhicules volés (FOVeS), le traitement de gestion de l'information et prévention des atteintes à la sécurité publique (GIPASP), le traitement de gestion de l'information et prévention des atteintes à la sécurité publique (GEDRET), le traitement automatisé de données à caractère personnel dénommé FSPRT , le fichier national des interdits d'acquisition et de détention d'armes (FINIADA), le traitement relatif aux enquêtes administratives liées à la sécurité publique (EASP), le système de traitement informatisé des titres de circulation et des habilitations dans le secteur de l'aviation
civile et d'un portail de dépôt de demandes dématérialisées (STITCH).
En second lieu, l'article 2 du projet de décret prévoit que pourra faire l'objet d'une collecte dans le traitement l'indication de l'enregistrement ou non de la personne dans les traitements suivants […] :
- le traitement d'antécédents judiciaire (TAJ) ;
- le système d'information Schengen (N-SIS II) ;
- le traitement gestion de l'information et prévention des atteintes à la sécurité publique (GIPASP) ;
- le fichier des personnes recherchées (FPR) ;
- le traitement automatisé de données à caractère personnel dénommé FSPRT ;
- le fichier des objets et des véhicules volés (FOVeS).
A titre liminaire, la Commission prend acte des précisions apportées par le ministère, selon lesquelles l'accès aux fichiers consultés se fait par des agents du renseignement territorial expressément et individuellement habilités, et ce en fonction de la thématique visée. L'ensemble de ces fichiers n'est pas interconnecté avec le traitement PASP, et les résultats de l'interrogation de ces fichiers ne peuvent faire l'objet d'une requête au sein du traitement.
De manière générale, elle rappelle qu'il importe de s'assurer que seuls les traitements comportant des données pertinentes, adéquates et nécessaires au regard des finalités du traitement PASP soient consultés. De la même manière, la Commission estime qu'une attention particulière devra impérativement être portée aux modalités de collecte des données, qui sont susceptibles d'entraîner des risques particuliers pour les personnes concernées, tenant par exemple à la collecte erronée de données les concernant et ce, en raison de leur enregistrement manuel dans le traitement.
En outre, elle considère que, compte tenu du caractère particulièrement sensible de certains de ces traitements, a fortiori ceux dispensés de publication ou intéressant la sûreté de l'Etat, des mesures devront impérativement être développées afin d'assurer la mise à jour effective des données ainsi conservées.
Sans remettre en cause la nécessité de collecter des données permettant la prévention des atteintes à la sécurité publique, la sûreté de l'Etat, ou encore le suivi de personnes susceptibles de prendre part à des activités terroristes et, à cette fin, de consulter les traitements ainsi visés, la Commission considère qu'il aurait été hautement souhaitable de modifier les actes réglementaires encadrant les fichiers concernés afin de mentionner explicitement qu'ils peuvent faire l'objet d'un rapprochement avec le traitement PASP.
De la même manière, si toutes les catégories qui ont vocation à être alimentées par ces traitements sont mentionnées de manière exhaustive à l'article 2 du projet de décret, la Commission estime que le projet d'acte aurait pu également mentionner explicitement les fichiers effectivement consultés permettant d'alimenter ces catégories. Dans la mesure où les traitements concernés ont été identifiés de manière exhaustive et afin d'éviter, en pratique, l'utilisation d'autres traitements, elle invite le ministère à compléter le projet de décret sur ce point.
Sur la collecte de données relatives aux victimes et aux personnes en contact régulier et non fortuit avec la personne ou le groupement suivi
A titre liminaire, la Commission relève que l'article R. 236-12 du CSI prévoit d'ores et déjà la collecte de données relatives aux personnes entretenant ou ayant entretenu des relations directes et non fortuites avec l'intéressé . L'article 2 du projet de décret entend préciser les données pouvant être collectées à ce titre et limiter les hypothèses dans lesquelles elles pourront faire l'objet d'un enregistrement.
L'article 2 du projet de décret prévoit en outre que des données relatives aux victimes des agissements de la personne susceptible de porter atteinte à la sécurité publique ou la sûreté de l'Etat, pourront, dans certains cas limitativement prévus, faire l'objet d'une collecte au sein du traitement.