AgentPublic/cnil huggingface dataset:
à la limitation du traitement ; par exemple, lorsque la personne conteste l’exactitude de ses données, elle peut demander par ailleurs le gel temporaire du traitement des données le temps que l’organisme procède aux vérifications nécessaires ;
à la portabilité : le responsable de traitement doit permettre à toute personne de recevoir, dans un format structuré couramment utilisé, l’ensemble des données traitées par des moyens automatisés qui auraient été fournies par la personne sur la base de son consentement ou d’un contrat. Il est donc recommandé de préciser aux personnes concernées les traitements concernés par ce droit.
 
Selon la finalité poursuivie, le consentement des personnes (en cas de conservation des données aux seules fins de faciliter des paiements ultérieurs, par exemple) ou un moyen de s’opposer à certaines opérations de traitement (telle que la conservation des données dans le cadre d’un abonnement donnant accès à une relation commerciale privilégiée, par exemple) devra également être prévu sur le support de collecte des données.
 
5.2 L’information spécifique lors de la reconduction tacite de l’abonnement
 
En ce qui concerne les contrats d’abonnement avec reconduction tacite, la Commission rappelle que le responsable de traitement est tenu d’informer la personne concernée de la reconduction tacite de son contrat et, sauf opposition de sa part, de la conservation de ses coordonnées bancaires pour le paiement des échéances du nouveau contrat.
5.3 L’information et le recueil du consentement lors de la conservation des données aux fins de faciliter des paiements ultérieurs
 
Lorsque les données relatives à la carte sont conservées au-delà du temps strictement nécessaire à la réalisation de la transaction pour simplifier un paiement ultérieur, la Commission considère que ce traitement doit avoir reçu le consentement libre, spécifique, éclairé et univoque de la personne concernée, conformément aux dispositions de l'article 6 du RGPD.
 
La Commission estime, en effet, que ces données ne sont pas collectées pour permettre la réalisation d'un paiement mais pour offrir un service supplémentaire au client, en l'occurrence ne pas avoir à ressaisir son numéro de carte lors d'un prochain achat et/ou permettre qu’elle puisse procéder à un achat en un clic . Dès lors, ce traitement de données nécessite que soit recueilli le consentement préalable de la personne concernée. Celui-ci ne se présume pas et doit prendre la forme d'un acte de volonté univoque, par exemple au moyen d'une case à cocher (non pré-cochée par défaut). L'acceptation des conditions générales d'utilisation ou de vente n'est pas considérée comme une modalité suffisante du recueil du consentement des personnes.
 
Afin de satisfaire l’obligation prévue à l’article 7-3 du RGPD, la Commission recommande que le responsable de traitement intègre directement sur son site marchand un moyen simple de retirer, sans frais, le consentement donné.
5.4 L’information et l’opposition préalable à la conservation des données bancaires en cas de souscription à 
un abonnement donnant accès à des services additionnels facilitant les achats, traduisant l’inscription du client dans une relation commerciale régulière
 
La Commission estime que le fait pour une personne de souscrire un abonnement lui donnant accès à des prestations annexes (livraison rapide, accès à des ventes privées ou contenus supplémentaires, etc.) peut traduire l’intention du client de s’inscrire dans une relation commerciale régulière.
 
Dans de tels cas, la Commission estime que la conservation des données bancaires de la personne pour faciliter ses achats ultérieurs peut être basée sur l’intérêt légitime du responsable de traitement, la personne pouvant, dans ces conditions, raisonnablement s’attendre à ce que ses données bancaires soient conservées pour simplifier ses achats ultérieurs.
 
Toutefois, pour pouvoir valablement s’appuyer sur la base légale de l’intérêt légitime, le responsable du traitement doit clairement informer les personnes concernées, lors de la saisie de leurs données bancaires sur le support dédié, de leur conservation par défaut et de la durée de cette conservation.
Lors de cette saisie, la personne doit également pouvoir s’opposer, simplement et discrétionnairement, par un moyen visible, explicite et ergonomique, tel qu'une case à cocher, à la conservation de ses données bancaires. L’opposition exprimée par ce biais doit être prise en compte par le responsable du traitement, y compris lors d’achats ultérieurs.
 
En cas d’opposition exprimée par la personne concernée quant à la conservation de ses données bancaires, le responsable du traitement ne pourra, par la suite, pas conserver par défaut les données bancaires nouvellement saisies par le client lors d’achats ultérieurs.
 
L’enregistrement des données bancaires saisies ne pourra être réalisé qu’à la demande explicite de la personne concernée, exprimée ici encore par moyen visible, explicite et ergonomique, tel qu'une case à cocher.
 
Enfin, le responsable du traitement doit également permettre aux personnes de demander, à tout moment et de manière discrétionnaire, la suppression de leurs données bancaires.
 
Article 6 : Les mesures de sécurité
La Commission considère que la responsabilité du traitement visant à conserver le numéro de la carte du client afin de faciliter ses éventuels achats ultérieurs sur un site marchand ou pour le règlement d’un abonnement incombe en principe au commerçant bénéficiant du stockage des données relatives à la carte, c'est-à-dire à celui au bénéfice duquel les transactions réalisées avec les données stockées seront opérées. Les prestataires qui réalisent le stockage des données relatives à la carte pour le compte du commerçant ont la qualité de sous-traitant et sont tenus à la mise en place de mesures de sécurité adaptées.
 
La Commission observe que les pratiques liées à la collecte du numéro de carte de paiement entraînent la multiplication de bases de données pouvant potentiellement faire l'objet d'une réutilisation frauduleuse, en cas notamment de faille de sécurité aboutissant à la compromission de ces données.
 
La Commission considère en conséquence que les responsables de traitement doivent s'efforcer d'élaborer et d'adopter des pratiques exemplaires et de promouvoir des comportements qui tiennent compte des impératifs de sécurité et qui respectent les intérêts légitimes des individus.
 
A cet égard, la Commission rappelle que :
l'article 32 du RGPD impose au responsable de traitement de prendre des mesures de sécurité (techniques et organisationnelles) afin d'éviter notamment tout accès illégitime aux données traitées. Ces mesures doivent être proportionnées aux risques engendrés par le traitement pour les personnes concernées. Les accès non autorisés aux données relatives à la carte pouvant déboucher sur la réalisation de transactions frauduleuses, la confidentialité de ces données se doit d'être spécifiquement protégée ;
l'article 28 du RGPD impose au responsable de traitement désirant externaliser la gestion du système de paiement de choisir un sous-traitant présentant des garanties suffisantes permettant de s'assurer notamment de la mise en œuvre des mesures de sécurité rendues nécessaires au titre de l'article 32 du RGPD. Le responsable de traitement et le sous-traitant choisi sont tenus d’établir un contrat précisant leurs obligations respectives et reprenant les dispositions prévues à l’article 28 du RGPD.
Ceci étant rappelé, elle recommande que :
les responsables de traitements utilisent uniquement des services de paiement en ligne sécurisés et conformes à l'état de l'art et à la réglementation applicable. A cet égard, seuls les dispositifs conformes à des référentiels reconnus en matière de sécurisation de données relatives à la carte au niveau européen ou international (par exemple, le standard PCI-DSS) doivent être utilisés. Le responsable doit également s'assurer de la conformité du traitement aux exigences du RGPD, au travers notamment de la mise en œuvre d'une démarche de gestion des risques de manière à déterminer les mesures de sécurité organisationnelles et techniques nécessaires. Pour accompagner les responsables dans cette démarche, des guides Gestion des risques vie privée et Guide du sous-traitant sont accessibles sur le site web de la Commission ;
le responsable de traitement et son ou ses sous-traitants éventuels adoptent une politique de gestion stricte des habilitations de leurs personnels, ne donnant accès au numéro de la carte de paiement des clients que lorsque cela est rigoureusement nécessaire. Des mesures d'obfuscation (masquage de tout ou partie du numéro de la carte lors de son affichage ou de son stockage) ou de remplacement du numéro de carte par un numéro non signifiant ( tokenisation ) doivent être mises en œuvre afin de limiter l'accès aux numéros de cartes. Le personnel doit être sensibilisé aux risques de fraudes en matière de données relatives à la carte et aux mesures de sécurité permettant de les éviter ;
le responsable de traitement et son ou ses sous-traitants éventuels ne procèdent en aucun cas à l'enregistrement de données relatives à la carte de paiement localement, sur l’équipement terminal de leurs clients (tels qu'ordinateurs ou ordiphones par exemple), et ne doivent pas non plus inciter ces derniers à procéder à un tel enregistrement, ces équipements n'étant pas conçus pour assurer la sécurité de ce type de données ;
le responsable de traitement et son ou ses sous-traitants éventuels prennent les mesures nécessaires pour se prémunir contre toute atteinte à la confidentialité des données relatives à la carte lorsque celles-ci sont collectées via un service de communication au public en ligne. Les données transitant sur des canaux de communication publics ou susceptibles d’interception doivent notamment faire l'objet de mesures techniques visant à rendre ces données incompréhensibles à toute personne non autorisée ;
lorsque les données relatives à la carte de paiement sont conservées afin de faciliter la réalisation ultérieure de transactions, les accès ou utilisations de ces données doivent faire l'objet de mesures de traçabilité spécifiques permettant de détecter a posteriori tout accès ou utilisation illégitime des données et de l'imputer à la personne responsable ;
en plus de la notification de violation qui doit être adressée à la CNIL, les personnes dont les données ont fait l'objet d'une violation de sécurité soient notifiées afin qu'elles puissent prendre les mesures appropriées pour limiter les risques de réutilisation frauduleuse de leurs données (contestation de paiements frauduleux, mise en opposition de la carte, etc.) ;
lorsque les données relatives à la carte de paiement sont conservées pour une finalité de lutte contre la fraude, elles doivent faire l'objet de mesures techniques visant à prévenir toute réutilisation illégitime. Ces mesures peuvent notamment consister à stocker les numéros de la carte de paiement sous forme hachée avec utilisation d'un sel secret qui ne soit pas conservé dans le même espace de stockage ;
des moyens d'authentification renforcée du titulaire de la carte de paiement soient mis en place, visant à s'assurer que celui-ci est bien à l'origine de l'acte de paiement à distance ;
lorsque la collecte du numéro de la carte de paiement est effectuée par téléphone, il est également nécessaire de mettre en place des mesures de sécurité telle que la traçabilité des accès aux numéros de la carte. Elle recommande qu'une solution alternative sécurisée, sans coût supplémentaire, soit proposée aux clients qui ne souhaitent pas transmettre les données relatives à leurs cartes par ce moyen.
 
Article 7
 
La délibération n° 2017-222 du 20 juillet 2017 est abrogée.
La présente délibération sera publiée au Journal officiel de la République française.
 
La Présidente
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant un projet de décret relatif à la confidentialité des correspondances électroniques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu l’article L. 32-3-IV du Code des postes et des communications électroniques ;
Vu loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11-4-a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme 
Nacima BELKACEM
, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie pour avis d’un projet de décret relatif à la confidentialité des correspondances électroniques privées précisant le délai de périodicité du recueil du consentement prévu à l’article L. 32-3-IV du Code des postes et des communications électroniques (CPCE), modifié par l’article 68 loi pour une République numérique promulguée le 7 octobre 2016.
Le ministère de l’économie et des finances fait application de la procédure prévue au a) du 4° de l’article 11 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés qui dispose que la CNIL est consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données.
Les articles L. 32-3-I et L. 32-3-II du CPCE prévoient que les opérateurs et les fournisseurs de services de communication au public en ligne sont tenus au secret des correspondances, ce qui recouvre le contenu de la correspondance, l’identité des correspondants ainsi que, le cas échéant, l’intitulé du message et les documents joints à la correspondance.
Sous réserve d’obtenir le consentement des personnes concernées, l’article L. 32-3-IV du CPCE prévoit la possibilité de lever le secret des correspondances dans trois cas de traitements automatisés d’analyse : à des fins publicitaires, statistiques ou d’amélioration du service apporté à l’utilisateur. L’article précité précise que le consentement de l'utilisateur, qui doit être exprès et spécifique à chaque traitement, est recueilli à une périodicité fixée par voie réglementaire, qui ne peut être supérieure à un an. Les modifications ainsi apportées au CPCE complètent les mesures transposant la directive 2002/58/CE modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques ) et plus particulièrement son article 5.1.
Si la périodicité susvisée n’appelle pas de remarque particulière, la Commission s’interroge toutefois sur les modalités pratiques de recueil du consentement de l’utilisateur, sur l’effectivité de ce recueil et sur les conséquences qui en résultent pour l'exercice des droits et libertés mentionnés à l'article 1er  de la loi du 6 janvier 1978 modifiée. Sans que ces remarques n’aient de conséquences particulières sur le projet de décret soumis au présent avis, la Commission souhaite mettre en exergue les points suivants.
En premier lieu, la Commission rappelle que l’article 11-2 de la loi du 6 janvier 1978 dispose que la CNIL veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi 
notamment pour s’assurer de la licéité de la collecte des données personnelles, de la limitation des finalités de traitements autorisés et du recueil du consentement des personnes concernées. À cet égard, la CNIL accueille favorablement les modifications de l’article L. 32-3 du CPCE issues de l’article 68 de la loi pour une République numérique, dans la mesure où les dispositions précitées lui permettent de vérifier que les conditions de licéité des traitements de données à caractère personnel visés par l’article L. 32-3 du CPCE sont réunies, à savoir que le consentement de la personne concernée est valablement recueilli.
En deuxième lieu, la Commission rappelle que la notion de correspondance privée implique a minima deux correspondants. Elle relève ainsi que le secret des correspondances s’applique aux utilisateurs du service de communication au public en ligne, que ces derniers émettent ou reçoivent un contenu. La Commission acte le fait que la loi pour une République numérique conditionne la réalisation de traitements des correspondances privées pour trois finalités distinctes au recueil du consentement préalable de l’utilisateur et rappelle que les traitements ainsi réalisés sont également subordonnés aux dispositions de la loi Informatique et libertés et qu’à ce titre, ils doivent se limiter aux données collectées de manière loyale et licite auprès des personnes concernées. Dès lors et à titre d’exemple, les traitements opérés à des fins publicitaires et basés sur le contenu des correspondances ne doivent permettre au responsable de traitement que de cibler l’utilisateur qui y a consenti et non d’éventuelles personnes tierces dont les données personnelles apparaitraient dans la correspondance.
Par ailleurs, la Commission rappelle la définition du consentement telle que prévue par la directive 95/46/CE du 24 octobre 1995, et par le règlement européen 2016/679 du 27 avril 2016. Au terme du h du 2° de l’article 2 de la directive de 1995, le consentement est défini comme toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement . L’article 4 du règlement européen relatif à la protection des données à caractère personnel, précise que le consentement doit se traduire  par une déclaration ou par un acte positif clair  de la personne concernée. Il ressort de ces différents éléments que le consentement doit présenter quatre conditions qui garantissent sa licéité : il doit être précédé d’une information et spécifique pour chaque traitement ; il doit être préalable à la réalisation des traitements ; il doit être exprès, c’est-à-dire qu’il se traduit par un acte positif de la personne concernée ; enfin le consentement doit être libre et, partant, non contraint. Or, la Commission relève qu’à ce stade, le projet de décret ne retient que deux critères, à savoir un consentement exprès et spécifique à chaque traitement.
Dès lors, le projet de décret appelle les remarques suivantes.
Un consentement informé et spécifique
L’article L. 32-3-IV du Code des postes et des communications électroniques que le consentement de la personne concernée doit être spécifique à chaque traitement .
La Commission rappelle que le consentement ne pourrait être considéré comme spécifique et fourni en connaissance de cause que si une information claire et complète est délivrée à la personne concernée. Cela nécessite en particulier que cette dernière soit préalablement informée, non seulement de la réalisation d’un traitement d’analyse de ses correspondances, mais aussi de ses finalités, de la durée de conservation des données collectées, de leurs destinataires, des droits dont elle dispose et des moyens pour les exercer. La personne concernée doit par ailleurs être mise en mesure de consentir spécifiquement à chaque finalité. Par exemple, l’acceptation du traitement à des fins d’analyse statistique doit être distincte de celle donnée pour le traitement répondant à une finalité publicitaire. Le consentement ne peut pas non plus résulter de l’acceptation globale des conditions générales d’utilisation (ou CGU) des services fournis par les fournisseurs de service de communication au public en ligne.
Un consentement exprès
Le projet de décret soulève également des problématiques quant aux modalités de recueil du consentement, notamment en ce qui concerne sa forme ( exprès ) et la périodicité de ce recueil.
La Commission rappelle que le caractère exprès du consentement signifie qu’il doit résulter d’un acte positif, explicite et univoque de la part de la personne concernée. En d’autres termes, le consentement de la personne concernée ne peut résulter de son silence ou de son inaction une fois cette dernière informée de la réalisation d’un ou de plusieurs traitements de données à caractère personnel la concernant. Par exemple, le consentement ne peut être considéré comme exprès s’il est exprimé par une case pré-cochée.
Sur la périodicité de recueil du consentement, la Commission estime que ce renouvellement ne saurait être automatique et implicite au regard des conditions de licéité du consentement préalablement exposées. Dès lors, le consentement doit résulter d’une nouvelle notification adressée par le responsable du traitement à la personne concernée pour l’informer de nouveau quant à l’étendue et au périmètre du traitement, lorsque le délai périodique de recueil arrive à échéance. Pour simplifier le renouvellement du consentement, la Commission estime qu’il pourrait être bénéfique, à la fois pour les responsable de traitement et les personnes concernées, de prévoir un délai de prévenance , sous réserve qu’il permette de répondre aux conditions de licéité du consentement.
Un consentement libre, préalable et révocable
La Commission rappelle que le consentement ne peut être contraint et que son obtention ne peut conditionner l’accès à l’espace de correspondance privée ou plus généralement au service proposé par le responsable du traitement.
Par ailleurs, dans la perspective du règlement européen 2016/679 du 27 avril 2016 (article 7-3), la CNIL rappelle que la personne concernée doit pouvoir retirer à tout moment son consentement. Ce retrait ne saurait alors se manifester par une interruption du service de correspondance mais par l’arrêt du traitement, qu’il s’agisse d’une analyse à des fins statistiques, d’amélioration du service ou à des fins publicitaires.
Enfin, le projet de décret prévoit que, pour les traitements déjà réalisés au moment de sa publication, le consentement devra être recueilli au plus tard six mois après ladite publication. Or, si la CNIL rappelle que le consentement doit être recueilli préalablement à la réalisation du traitement, elle admet qu’un délai transitoire soit accordé aux responsables de traitement pour la mise en place technique des nouvelles obligations relevant du présent décret et relatives au recueil du consentement..
 
La Présidente
 
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-I-2° f bis) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 6-8 ;
Vu la délibération n° 2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d’agrément d’organismes de certification pour la certification des compétences du délégué à la protection des données (DPO) ;
Après avoir entendu M. Maurice RONAI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :