AgentPublic/cnil huggingface dataset:
(Demande d’avis n° 1290145)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le Secrétariat général de la Présidence française du Conseil de l’Union européenne le 23 avril 2008 d’un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « Système informatisé de gestion des accréditations » ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n°2007-1028 du 15 juin 2007 portant création d’un secrétariat général à la présidence française du conseil de l’Union européenne ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant : 
La Commission a été saisie le 23 avril 2008 par le Secrétariat général de la Présidence française de l’Union européenne d’un dossier de demande d’avis relatif à un projet d’arrêté portant création d’un traitement de données à caractère personnel dénommé « Système informatisé de gestion des accréditations ».
Alors que la France assurera, du 1er juillet au 31 décembre 2008, la Présidence du Conseil de l’Union européenne, le décret n°2007-1028 du 15 juin 2007 a confié au Secrétariat général de ladite Présidence la mission de coordonner l’organisation des divers événements qui se dérouleront en France pendant cette période, à l’initiative des ministères concernés (Conseils informels et réunions internationales des ministres et chefs de gouvernement, colloques et séminaires, manifestations culturelles,…). Il est ainsi chargé de définir les modalités d’accréditation pour l’accès aux manifestations des différentes catégories de participants et des prestataires de services : délégations de ministres et chefs de gouvernement des pays membres de l’Union européenne, journalistes, invités de la « société civile » et employés des sociétés commerciales en charge de la logistique.
Dans ce cadre, le Secrétariat général de la Présidence française de l’Union européenne a décidé de mettre en œuvre un traitement, déjà utilisé par plusieurs Etats membres ayant exercé la Présidence du Conseil de l’Union européenne (Luxembourg, Allemagne, Portugal), qui vise à faciliter le travail d’organisation des événements au bénéfice des participants (saisie en ligne sécurisée des demandes de participation) et des ministères compétents (centralisation et traitement informatique des données, édition intégrée des badges d’accréditation), et inclut  une procédure de vérification des identités et de délivrance de badges sécurisés.
Le Secrétariat général de la Présidence française de l’Union européenne ayant précisé que le traitement de données à caractère personnel mis en œuvre s’inscrivait « dans un but de sécurité publique », la Commission prend acte que c’est sur le fondement des dispositions de l’article 26 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 qu’elle a été saisie.
Sur les finalités
Le traitement considéré vise à gérer l’instruction des demandes d’accréditation des personnes qui participeront aux événements (manifestations, réunions) organisés dans le cadre de la Présidence française de l’Union européenne du 1er juillet au 31 décembre 2008, à organiser la prise en charge de la sécurité desdites personnes et à procéder aux contrôles des accréditations lors de l’accès aux événements précités.
La Commission considère que, eu égard à la nature des événements et au contexte dans lequel ils s’inscrivent, les finalités décrites ci-dessus revêtent un caractère légitime. 
Elle observe que le traitement comporte également une finalité statistique accessoire, dont elle estime qu’elle devra être précisée aux termes du projet d’arrêté.
Sur les données conservées
La Commission prend acte de la liste des données à caractère personnel collectées et enregistrées dans le traitement, s’agissant des membres de délégations (à savoir les délégués eux-mêmes ainsi que leurs conjoints, les agents de sécurité, agents de liaison et les chauffeurs), des journalistes et autres professionnels des medias, des employés des prestataires de services et enfin, des invités.
A cet égard, elle relève qu’aucune donnée sensible, au sens de l’article 8 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004, ne sera collectée ou traitée. 
Sur la durée de conservation
Les données seront conservées pendant une durée de dix mois à compter du 1er juin 2008, ce qui n’appelle pas d’observation particulière de la part de la Commission.
Sur les destinataires
Seuls seront destinataires, pour les besoins exclusifs des missions qui leur sont confiées, les agents individuellement désignés et spécialement habilités des ministères organisateurs d’événements, les préfets territorialement compétents pour les événements précités ainsi que les agents individuellement désignés et spécialement habilités par ces derniers, et les agents individuellement désignés et spécialement habilités des services de police et de gendarmerie nationale. 
Sur les sécurités
La Commission prend acte de ce que le traitement ne peut faire l’objet d’interconnexions avec tout autre traitement de données à caractère personnel.
Sur les droits des personnes
Le droit d’accès aux données s’exercera directement auprès du Secrétariat général de la Présidence française de l’Union européenne, conformément aux dispositions de l’article 41 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.
La Commission prend acte de ce que le droit d’opposition prévu à l’article 38 de la même loi ne s’applique pas au présent traitement.
Le Président,
Alex Türk
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK ; 
Etant aussi présents, M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Bernard PEYRAT, membre et M. Hubert BOUCHET, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2007-311 du 25 octobre 2007 de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée le 14 décembre 2007 ;
Vu la décision n° 2008-045C du 27 mars 2008 du président de la Commission nationale de l'informatique et des libertés de procéder à une mission de vérification auprès de la société X ;
Vu les plaintes n° 06011355, 08001998 et 08006799 ;
Vu le rapport de M. Jean MASSOT, commissaire rapporteur, notifié par porteur à la société X le 18 avril 2008 ; 
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 20 mai 2008 : - M. Jean MASSOT, commissaire, en son rapport ;- Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;- Maître L., avocat de la société X ;
Maître L. ayant pris la parole en dernier ; 
I. FAITS ET PROCEDURE
- FAITS
La société X dispose d'un site internet dénommé [...], qui a pour but de faciliter la mise en relation de vendeurs et d'acheteurs particuliers de biens immobiliers. Ce traitement a fait l'objet d'une déclaration de site internet auprès de la Commission nationale de l'informatique et des libertés (ci-après CNIL ou Commission), le 22 décembre 2005. 
La CNIL a été saisie, le 7 juillet 2006, d'une plainte de M. G qui, à la suite de sa demande de diffusion d'une annonce relative à la vente de son appartement sur le site internet [...] , s'est vu sollicité à plusieurs reprises par des agences immobilières, alors même que son annonce n'avait pas encore été diffusée sur ledit site et qu'elle précisait agences s'abstenir .
M. G a également été contacté par un particulier, qui s'est ensuite présenté à un rendez-vous fixé par le plaignant, accompagné d'un représentant de l'agence GUERNIER (ORPI Rouen). Ce représentant a informé M. G qu'il disposait des annonces communiquées par la société X ainsi que des coordonnées des personnes en ayant demandé la diffusion.
Les services de la Commission ont demandé à la société X, par un courrier du 31 juillet 2006, de bien vouloir lui faire part de ses observations sur la sollicitation de M. G par des agences immobilières, alors même que l'annonce dont il a demandé la diffusion n'était pas encore parue. En l'absence de réponse de la société X, la Commission a adressé un courrier de relance le 26 septembre 2006.
Le 10 novembre 2006, la société X a adressé une réponse dans laquelle elle demandait de lui faire parvenir des éléments tangibles qui permettent au dénommé G d'affirmer qu'à la suite de sa demande de diffusion d'une annonce relative à la vente de son appartement sur le site [...], il s'est vu sollicité à plusieurs reprises par d'autres agences immobilières alors même que son annonce n'avait pas été diffusée.
Par un courrier du 19 avril 2007, la Commission a de nouveau sollicité les observations de la société X et lui a demandé de préciser, dans un délai de quinze jours, si elle avait communiqué les coordonnées du requérant à des sociétés tierces et, dans cette hypothèse, comment les personnes ont été informées de leurs droits et de la possibilité qui leur est offerte de s'opposer à la transmission de leurs coordonnées à des tiers comme le prévoit la loi informatique et libertés.
Ce courrier est resté sans réponse. 
- PROCEDURE
En conséquence, par délibération n° 2007-311 du 25 octobre 2007, la formation restreinte de la Commission a mis en demeure la société X, [...], sous un délai de quinze jours à compter de la notification de la décision (le 14 décembre 2007) de : 
- informer la Commission sur les raisons pour lesquelles les coordonnées de M.G, ainsi que l'annonce dont il a souhaité la diffusion sur le site internet [...], auraient été communiquées à des tiers ;
- communiquer à la CNIL l'intégralité des procédures mises en œuvre visant à informer et à permettre aux clients d'exercer les droits offerts par les dispositions des articles 32 (droit à l'information) 38 (droit d'opposition), 39 et 40 (droit de rectification) de la loi du 6 janvier 1978 ;
- préciser les mesures de sécurité prises (sensibilisation du personnel, politique de sécurité, contrôles réguliers du contenu des fichiers, etc.) pour assurer la sécurité des traitements de données à caractère personnel mis en œuvre par la société X.
En réponse à la mise en demeure, la société X a adressé à la CNIL deux courriers, en date des 21 décembre 2007 et 29 janvier 2008, dans lesquels elle a affirmé ne transférer aucune donnée figurant dans ses fichiers à des tiers. Elle a également signifié l'existence de sociétés qui capturent en temps réel les annonces immobilières publiées sur son site internet.
Le 23 janvier 2008, la Commission a été saisie d'une plainte de M. H à l'encontre de la société X, relative à des failles de sécurité du site internet. Le plaignant indiquait en effet qu'il était possible d'accéder aux informations personnelles d'autres annonceurs en tapant son code personnel, attribué lors de la mise en ligne de sa propre annonce. 
Par ailleurs, M. S, ayant des difficultés à faire exercer son droit de suppression de ses coordonnées bancaires par la société X, s'est également rapproché de la CNIL, le 14 mars 2008. Cette société n'a, en effet, apporté aucune réponse aux demandes successives du plaignant adressées par courriers en date des 21 novembre 2007 et 9 janvier 2008.
En application de la décision n° 2008-045C du 27 mars 2008 du président de la CNIL, une délégation de la Commission a procédé à une mission de vérification sur place le 31 mars 2008, afin d'apprécier les conditions de mise en œuvre du site internet [...], au regard des dispositions de la loi du 6 janvier 1978 modifiée et des différentes plaintes dont la CNIL a été saisie.
La délégation de la Commission a tout d'abord constaté qu'un particulier, souhaitant mettre en ligne une annonce sur le site internet [...], doit saisir préalablement un ensemble d'informations personnelles, notamment ses nom et prénom, son numéro de téléphone, son adresse électronique et ses coordonnées bancaires s'il décide de payer en ligne. D'autres choix sont possibles quant au mode de paiement. L'annonceur peut en effet demander que le service clientèle de la société le rappelle afin qu'il communique personnellement à son interlocuteur les informations bancaires nécessaires ou peut également choisir de régler par chèque.
Les informations sont ensuite stockées dans une base de données de type Access pour la gestion et la facturation des annonces. Les données bancaires saisies n'y restent environ qu'une heure, et sont extraites de manière automatique pour être enregistrées dans une autre base de données de type SQL. La délégation a cependant constaté que de nombreux fichiers intermédiaires ou de sauvegarde ainsi que des tables de traitement, utilisées, à titre d'exemple, pour le prélèvement ou la gestion du centre d'appels, contiennent des informations bancaires qui auraient dû être effacées. 
La délégation de la Commission a ensuite relevé qu'aucune politique de conservation de l'ensemble des données n'a été définie. En outre, le réseau interne de la société X n'était pas cloisonné et des dysfonctionnements ont en effet été constatés s'agissant de l'effacement des informations bancaires.
La mission de contrôle a par ailleurs permis de constater une absence de cloisonnement du réseau interne de la société X. En effet, si les postes informatiques de la majorité des employés ne permettaient pas la lecture des données figurant dans les fichiers de gestion et de facturation des annonces, car ils n'étaient pas configurés pour accéder à des bases de données de type Access, ces données (en particulier les coordonnées bancaires) pouvaient cependant être copiées sur un support informatique amovible et alors être lues à partir d'un poste informatique sur lequel aurait été installé le logiciel Access. Dès lors, les salariés pouvaient prendre connaissance des informations à caractère personnel, relatives aux annonceurs, alors même qu'ils n'étaient pas autorisés à y avoir accès. 
La délégation de la CNIL a également relevé qu'il était possible d'accéder aux annonces immobilières mises en ligne sur le site internet [...] et de les modifier ou de les supprimer, ainsi que d'accéder à la facture de l'annonce. Il a été reconnu par le personnel de la société qu'une erreur de programmation sur le contrôle d'accès par les clients à leur espace personnel était à l'origine de cette faille de sécurité.
La société X a déclaré acheter des fichiers d'annonces immobilières, captées à partir d'autres sites internet concurrents, contenant des coordonnées d'annonceurs, à qui elle envoie ses campagnes de prospection commerciale par sms ou par courrier électronique. Le consentement préalable des personnes ainsi sollicitées n'était pas recueilli.
S'agissant du droit de suppression, la délégation de la Commission a constaté que les coordonnées bancaires de M. S, qui en avait demandé la suppression, figuraient toujours dans certaines bases de données de la société X. 
Enfin, la délégation de la CNIL a relevé que la société X a introduit sur son site internet une case Vie Privée pour informer les internautes des droits d'accès, de modification et de suppression des données à caractère personnel dont ils disposent, mais qui faisait référence à un mauvais article de la loi Informatique et Libertés .
Sur la base des constatations opérées par la délégation de la CNIL lors de cette mission de contrôle, une proposition d'avertissement a été notifiée par porteur à la société X, le 18 avril 2008, à laquelle était jointe la convocation à l'audience du 20 mai 2008. Le rapport de sanction faisait état des différents manquements constatés à la loi informatique et libertés , à savoir ceux relatifs à l'obligation de sécurité et de confidentialité des données traitées, à l'obligation de définition de leurs durées de conservation, à l'obligation de consentement préalable des personnes, au droit d'information des personnes et au droit de suppression des données. 
II. MOTIFS DE LA DECISION
Lors de l'audience de sanction du 20 mai 2008, la société X a présenté à la formation restreinte de la CNIL les différentes mesures prises afin de se mettre en conformité avec la loi du 6 janvier 1978 modifiée et a précisé avoir effectué une déclaration simplifiée selon la norme simplifiée n° 48 pour la gestion de ses clients et prospects. 
1. Sur l'obligation de sécurité et de confidentialité des données à caractère personnel
Le rapporteur a considéré que la société X n'avait pas respecté les dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, au vu des failles de sécurité constatées lors de la mission de contrôle de la CNIL. En effet, le réseau interne de la société X n'était pas cloisonné et une faille de sécurité sur le portail du site internet [...] a été constatée, rendant possible un accès à tous les espaces personnels des annonceurs (permettant notamment de modifier ou supprimer les annonces ou d'accéder aux factures), en inscrivant dans la partie gérer votre annonce du site internet la référence d'une annonce, puis en saisissant dans la partie nom associé à votre référence le nom de n'importe quel client.
La société X a apporté à la formation restreinte de la CNIL, lors de l'audience du 20 mai 2008, les extractions de certains fichiers intermédiaires et de sauvegarde sur lesquelles ne figurent plus les coordonnées bancaires des clients. La société a également indiqué avoir mis en place trois bases de données, qui font désormais l'objet de purges automatiques à des étapes différentes, la dernière intervenant une fois la transaction terminée sur la base de données définitive. Elle a souligné la mise en place d'un paiement sécurisé avec la BANQUE POSTALE, qui sera effectif à compter du mois de juin 2008.
La société X a également indiqué avoir corrigé les failles de sécurité du site internet et a apporté certaines garanties quant à la confidentialité des données transmises par les annonceurs et au fait qu'elles ne puissent pas être consultées par des tiers non-autorisés. 
La société X a informé la formation restreinte de la CNIL de la mise en place d'un serveur d'authentification pour gérer les accès aux données. Les salariés font en outre l'objet d'une politique de traçabilité permettant à la société de savoir ce que les employés consultent dans les bases de données.
Aucune donnée technique n'a été communiquée à la CNIL par la société X concernant les accès et les profils d'accès aux données à caractère personnel traitées et aucune information précise n'a été apportée s'agissant de la politique de gestion des mots de passe. Aucune information n'a été, en outre, apportée sur les modalités techniques d'effacement des données des clients ayant souhaité que celles-ci soient supprimées. 
2. Sur la durée de conservation des données
Il ressort également des conclusions du rapporteur qu'aucune durée de conservation des données à caractère personnel traitées par la société X n'était définie, contrairement aux dispositions du 5° de l'article 6 de la loi du 6 janvier 1978 modifiée.
La société X a indiqué, lors de l'audience du 20 mai 2008, que les données relatives aux annonceurs sont effacées dans les conditions prévues par la norme simplifiée n° 48 de la CNIL qui prévoit que les données ne peuvent être conservées au-delà de la relation commerciale sauf celles nécessaires pour établir la preuve d'un droit ou d'un contrat qui peuvent être archivées dix ans. 
3. Sur l'obligation de consentement préalable
Le rapport proposant de prononcer un avertissement à l'encontre de la société X précisait que la délégation de la CNIL avait constaté que cette société achetait des fichiers d'annonces immobilières, qui contenaient notamment les coordonnées de différents annonceurs. La société X constituait ensuite de nouveaux fichiers avec les numéros de téléphone et les adresses électroniques, afin de démarcher les personnes dans le cadre de ses campagnes de prospection commerciale par sms ou par courrier électronique.
Le rapporteur avait souligné que la société X ne veillait pas à recueillir le consentement préalable des personnes à recevoir des prospections commerciales par sms ou par courrier électronique, contrairement aux dispositions de l'article L.34-5 du code des postes et des communications électroniques.
La société X a affirmé, lors de l'audience du 20 mai 2008, avoir cessé toute campagne de prospection commerciale par sms ou par courrier électronique. 
4. Sur le droit d'information des personnes
Le rapporteur avait indiqué que le formulaire du site [...] à partir duquel les clients saisissaient leurs données personnelles ne contenait aucune information répondant aux exigences de l'article 32 de la loi du 6 janvier 1978 modifiée.
La société X a communiqué à la CNIL, lors de l'audience du 20 mai 2008, une charte relative à la protection des données à caractère personnel dans laquelle sont précisés l'identité du responsable de traitement, les finalités de la collecte des données à caractère personnel, les destinataires de ces données, leurs durées de conservation ainsi que les droits d'accès, de modification et de suppression des données à caractère personnel des annonceurs. Elle figure sur le site Internet de la société et les formulaires d'inscription y font référence.
Si la société X a pris plusieurs mesures correctives afin de respecter les dispositions de la loi informatique et libertés, elles n'en demeurent pas moins tardives, voire pas encore effectives, s'agissant notamment du dispositif de paiement sécurisé prévu pour le mois de juin 2008.
14. Les observations en réponse formulées par la société X ne sont pas de nature à supprimer de manière rétroactive les faits constatés lors de la mission de contrôle, qui constituent de graves manquements aux articles 6, 32, 34, 39 et 40 de la loi du 6 janvier 1978 modifiée. 
5. Sur le droit de suppression des personnes
Dans le rapport de sanction, il était indiqué que la société X n'avait mis en place aucune procédure permettant de garantir la prise en compte, de manière efficace, du droit de suppression des personnes prévu à l'article 40 de la loi du 6 janvier 1978 modifiée, plus particulièrement de celui de M. S qui s'est plaint auprès de la Commission de la conservation de ses informations bancaires dans les fichiers de la société.
La société X a communiqué à la CNIL un courrier adressé à M. S lui indiquant que les services de la société ont procédé à la suppression de ses coordonnées bancaires.
Aucune information n'a été apportée, lors de l'audience, concernant la procédure mise en place pour gérer de manière générale le droit de suppression des clients de la société. 
PAR CES MOTIFS, conformément à l'article 45 de la loi du 6 janvier 1978 modifiée, la CNIL décide de : 
- prononcer à l'encontre de la société X un avertissement ;- publier la présente décision sur son site internet et sur la base Légifrance. 
A Paris, le Le Président 
Alex TURK