AgentPublic/cnil huggingface dataset:
Un manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués par des sous-traitants pour le compte du responsable de traitement
L’article 28 du Règlement prévoit que lorsqu’un traitement est effectué par un sous-traitant, ce traitement est régi par un contrat ou un autre acte juridique qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable de traitement. Ce contrat prévoit en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement. 
La délégation a constaté que INRIA est titulaire d’un marché d’assistance à la maîtrise d’œuvre pour le compte du X au titre, notamment, des missions de déploiement, d’infogérance, d’exploitation, d’hébergement et de maintenance évolutive de l’application […] . Dans ce cadre, INRIA agit comme sous-traitant du traitement des données à caractère personnel pour le compte du X. 
La délégation a constaté que le marché liant INRIA au X contient la plupart des mentions exigées par l’article 28 du RGPD. Il précise notamment l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel traitées ainsi que les catégories de personnes concernées.
La délégation a néanmoins constaté que les clauses des pièces contractuelles du marché d’assistance à la maîtrise d’œuvre qui lui ont été adressées à l’issue de ses missions de contrôle, et en réponse à la demande formulée dans ce cadre, sont incomplètes sur les obligations et les droits du responsable de traitement et sur les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement et, notamment, ne précisent pas que le sous-traitant aide le responsable de traitement à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits, que le sous-traitant aide le responsable de traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD et que le sous-traitant met à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 et permettre la réalisation d’audits.
Ces faits constituent un manquement à l’article 28 du RGPD.
Un manquement à l’obligation de réaliser une analyse d’impact complète
L’article 35-7-a) du Règlement impose que l’analyse d’impact relative à la protection des données contienne au moins une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable de traitement .
La délégation a constaté que X a procédé, depuis le lancement de l’application […] , à une mise à jour de son analyse d’impact relative à la protection des données personnelles issues de l’application. X a ainsi remis à la délégation une version de l’analyse d’impact mise à jour au 3 juillet 2020. Les études d’impact réalisées sont globalement conformes aux dispositions de l’article 35-7-a) et suivent, pour l’essentiel, les recommandations de la Commission.
La délégation a néanmoins constaté que la dernière version de l’AIPD ne précise pas que la solution anti DDOS (solution visant à prévenir les attaques par déni de service) proposée par la société ORANGE et implémentée dans l’application aux fins de sécurisation du système, entraine la collecte des adresses IP ( internet protocol ) des utilisateurs de l’application.
Or, la délégation a constaté que lorsqu’un utilisateur se connecte à l’application […] , l’adresse IP de l’ordiphone est collectée dans le cadre de la solution anti DDOS de la société ORANGE.
Il a par ailleurs été constaté que la collecte de cette donnée à caractère personnel n’a pas d’autre finalité, en l’espèce, que celle d’assurer la sécurité du dispositif.
La Présidente précise que la solution anti DDOS étant une solution de sécurité du dispositif, celle-ci n’avait pas à figurer dans le décret du 29 mai 2020. Dès lors, les données traitées par cette solution n’avaient pas non plus à figurer dans ce décret. La collecte des adresses IP dans ce cadre n’est donc pas irrégulière.
En revanche, dès lors que cette solution de sécurité entraine une collecte de données à caractère personnel, la description de cette opération de traitement doit apparaître dans l’analyse d’impact réalisée par le responsable de traitement.
De même, la délégation a constaté que la collecte des données présentes sur l’équipement connecté de l’utilisateur dans le cadre de la technologie reCaptcha de la société GOOGLE déployée dans la version initiale de l’application (v1.0.*de l’application), n’est pas précisée dans l’analyse d’impact.
En ne décrivant pas la totalité des opérations de traitement des données à caractère personnel en lien avec l’application […] et les mesures pour limiter les risques, l’analyse d’impact établie par X ne répond pas pleinement aux exigences de l’article 35 du RGPD.
Ces faits constituent un manquement à l’article 35 du RGPD.
Le manquement au regard des dispositions de la loi Informatique et Libertés 
Un manquement à l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de lire des informations sur son équipement terminal de communication électronique
L’article 82 de la loi du 6 janvier 1978 modifiée dispose que :
 Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable de traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
(…) 
La délégation a été informée que l’application […] contient dans ses deux versions une solution captcha destinée à évaluer si le comportement d'un utilisateur de l’application correspond ou non à celui d'un humain.
La délégation a été informée que la dernière version de l’application […] (version v.1.1.*) repose sur la technologie captcha développée par la société ORANGE, qui ne requiert aucune opération de lecture ou d’écriture sur l’ordiphone de l’utilisateur.
En revanche, la version initiale de l’application […] (version v1.0.*) contient la technologie reCaptcha, dans sa version invisible , developpée par la société GOOGLE.
La délégation a constaté que la société GOOGLE informe les développeurs de la technologie reCaptcha que le fonctionnement de l'API reCAPTCHA repose sur la collecte d'informations matérielles et logicielles (telles que les données sur les appareils et les applications) et que ces données sont transmises à Google pour analyse [...] Il vous incombe d'en informer les utilisateurs et de demander leur autorisation pour la collecte et le partage de ces données avec Google. Pour les utilisateurs en Union européenne, le ou les clients d'API, ainsi que vous-même, doivent se conformer aux Règles relatives au consentement de l'utilisateur dans l'UE (https://www.google.com/recaptcha/admin/create?pli=1).
Il résulte des informations fournies par la société GOOGLE aux développeurs que la collecte d’informations sur l’ordiphone de l’utilisateur n’a pas pour seule finalité la sécurisation de l’application mais permet également des opérations d’analyse de la part de cette société. La société informe elle-même les développeurs que le recours à cette solution est soumis aux exigences posées par l’article 82 de la loi Informatique et Libertés , à savoir l’information et le recueil du consentement des personnes concernées pour ces opérations.
Or, la délégation a constaté que les utilisateurs de l’application […] dans sa version v1.0.* ne sont à aucun moment informés, notamment par une fenêtre de consentement au moment de l’activation de l’application, de la collecte d’informations stockées sur leurs équipements mobiles ni des moyens de refuser cette collecte.
Il en résule également que le consentement de l’utilisateur portant sur l’accès aux informations stockées sur son équipement mobile ou sur l’inscription d’informations sur son équipement mobile n’est recueilli à aucun moment du parcours d’activation de l’application […] .
Ces faits constituent un manquement à l’article 82 de la loi Informatique et Libertés.
En outre, en l’état des informations dont elle dispose, la Présidente de la CNIL ne peut exclure que le reCaptcha Google puisse encore être utilisé par des personnes ayant téléchargé la version 1.0.* de l’application mais ne l’ayant pas encore activée.
Observation complémentaire
La lutte contre l’épidémie de covid-19, qui relève de l’objectif à valeur constitutionnelle de protection de la santé, constitue un impératif majeur de nature à justifier, dans certaines conditions, des atteintes au droit à la protection de la vie privée et des données à caractère personnel.
Il est néanmoins rappelé que l’atteinte portée à la vie privée n’est admissible en l’espèce que si le gouvernement peut s’appuyer sur des éléments suffisants pour avoir l’assurance raisonnable que le dispositif de l’application […] est utile à la gestion de la crise. La Commission avait donc demandé, dans son avis du 25 mai 2020, que l’impact effectif du dispositif sur la stratégie sanitaire globale soit étudié et documenté par le gouvernement de manière régulière pendant toute sa période d’utilisation.
Il a été constaté, au jour des contrôles, que l’évaluation formelle de l’effectivité de l’application n’avait pas encore débuté et que le calendrier du travail d’évaluation n’avait pas encore été établi par X.
La Présidente de la CNIL invite dès lors X à engager dans les meilleurs délais cette démarche d’évaluation et à lui rendre compte de ses résultats.
Au vu des manquements précités, et compte tenu des informations dont elle a reçu communication de la part du X relatives au nombre d’applications encore installées dans la version v.1.0.* postérieurement à la sortie de la version v1.1.* de l’application, la Présidente de la CNIL met en demeure X, sis […], sous un délai d’un (1) mois à compter de la notification de la présente décision et sous réserve des mesures qu’il aurait déjà pu adopter, de :
cesser de faire remonter l’intégralité des données de l’historique de contacts de l’utilisateur au serveur central en méconnaissance du cadre légal défini par les dispositions du décret n° […] du 29 mai 2020, par exemple en forçant la mise à jour de l’application […] vers la nouvelle version v1.1.* par le blocage de l’application dans sa version v1.0.* ;
compléter l’information fournie aux utilisateurs de l’application […] dans les conditions prévues à l’article 13 du Règlement, en fournissant aux utilisateurs une information complète sur les destinataires ou catégories de destinataires des données à caractère personnel issues de l’application ;
veiller à ce que les contrats de sous-traitance conclus dans le cadre de l’exploitation de l’application […] contiennent les mentions prévues à l’article 28 du Règlement ;
compléter l’analyse d’impact relative à la protection des données à caractère personnel issues de l’application […] conformément à l’article 35 du Règlement,
en mentionnant la collecte de l’adresse IP de l’équipement mobile de l’utilisateur de l’application dans le cadre des mesures de sécurité du système reposant sur la solution anti DDOS de la société ORANGE,
en mentionnant la collecte des informations présentes sur l’équipement mobile de l’utilisateur dans le cadre de la technologie reCaptcha de la société GOOGLE déployée dans le cadre de la version v1.0.* de l’application, dans l’hypothèse où ces données seraient encore collectées ;
veiller, le cas échéant, à informer et recueillir le consentement des personnes concernées aux actions de lecture et d’écriture des informations présentes sur les terminaux de communication électronique par la société GOOGLE dans le cadre de la technologie reCaptcha (version v1.0.* de l’application), conformément aux dispositions de l’article 82 de la loi Informatique et Libertés .
Cette injonction vise le cas des utilisateurs ayant téléchargé la version v1.0.* de l’application et ne l’ayant pas encore activée pour la première fois.
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si X s’est conformé à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si X ne s’est pas conformé à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des mesures prévues par l’article 20 de la loi du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 16 juillet 2020 sous la présidence de Mme Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Mme Sophie LAMBREMON, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] ;
Vu l’arrêté du 30 mai 2020 définissant les critères de distance et de durée du contact au regard du risque de contamination par le virus du covid-19 pour le fonctionnement du traitement de données dénommé […] ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n° 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée […] ;
Vu la délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée […] ;
Vu la décision n° MED-2020-015 du 15 juillet 2020 de la Présidente de la Commission mettant en demeure X ;
A adopté la délibération suivante :
La CNIL a procédé à des contrôles les 9, 25 et 26 juin 2020 sur le traitement de données à caractère personnel dans le cadre de l’application […] , qui ont permis de constater que le fonctionnement de l’application […] respecte pour l’essentiel les dispositions applicables relatives à la protection des données à caractère personnel. La plupart des préconisations formulées par la Commission dans ses avis des 24 avril et 25 mai 2020 ont été pris en compte par X. La délégation a toutefois constaté certains manquements aux dispositions du RGPD et de la loi Informatique et Libertés .
Par décision du 15 juillet 2020, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure X, sis […] à PARIS, de faire cesser sous un délai d’un (1) mois les manquements constatés aux dispositions du règlement (UE) 2016/679 (ci-après le Règlement ou le RGPD ) et de la loi n° 78-17du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ).
Aux termes de la mise en demeure, il est demandé au X de cesser de faire remonter l’intégralité des données de l’historique de contacts de l’utilisateur au serveur central, par exemple en forçant la mise à jour de l’application […] vers la nouvelle version v1.1.* par le blocage de l’application dans sa version v1.0.* 
Il est également enjoint au X de compléter l’information fournie aux utilisateurs de l’application […] sur les destinataires ou catégories de destinataires des données à caractère personnel issues de l’application ainsi que sur les opérations de lecture des informations présentes sur les équipements terminaux, effectuées dans le cadre de la technologie reCaptcha de GOOGLE présente dans la version de lancement de l’application, et de leur droit de refuser ces opérations de lecture. X est enfin mis en demeure de veiller à ce que le contrat de sous-traitance conclu avec INRIA contienne les mentions prévues à l’article 28 du Règlement et, enfin, de compléter l’analyse d’impact relative au traitement des données issues de l’application […] .
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 16 juillet 2020.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison des questions inédites en termes de protection de la vie privée et des données personnelles que pose l’application […] et de l’intérêt qu’elles présentent pour le public.
Le bureau rappelle à cet égard que la lutte contre l’épidémie de covid-19, qui relève d’un objectif à valeur constitutionnelle de protection de la santé, constitue un impératif majeur de nature à justifier, dans certaines conditions, des atteintes au droit à la protection de la vie privée et des données à caractère personnel. Le bureau considère néanmoins que, en raison de leur caractère particulièrement sensible en ce qu’elles portent sur l’état de santé des utilisateurs, les données à caractère personnel issues de l’application […] ne doivent être collectées et conservées que dans les limites de ce qui est strictement nécessaire à la gestion de la crise sanitaire actuelle.
Le bureau souligne que la publicité de la décision de mise en demeure se justifie également en raison de la qualité de personne publique du responsable de traitement et de la mission d’intérêt public dans le cadre de laquelle s’inscrit le traitement de données à caractère personnel […] .
Le bureau note en outre que la Commission a émis deux avis, qui ont été rendus publics, portant sur les modalités et les conditions de mise en œuvre de l’application. Dès lors, le bureau considère que la publicité de la mise en demeure participe à l’objectif de transparence sur le contrôle mené par la CNIL sur les conditions et modalités de fonctionnement de l’application […] .
Enfin, le bureau relève qu’à la fin du mois de juin 2020, l’application […] avait été téléchargée par environ 1,9 million d’utilisateurs et avait été activée environ 1,5 million de fois. Aussi, compte-tenu du nombre de personnes concernées, le bureau considère que la publicité de la mise en demeure permettra de sensibiliser un grand nombre de personnes sur l’importance de procéder à la mise à jour de l’application vers sa version v1.1*, qui est davantage protectrice des données à caractère personnel.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°MED-2020-015 de la Présidente de la CNIL mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si X se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément X à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment ses articles 41 et 57.1.p) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu les lignes directrices sur les codes de conduites et les organismes de contrôle de ces codes au sens du règlement (UE) 2016/679 adoptées le 4 juin 2019 par le Comité européen de la protection des données ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Fait les observations suivantes :
L'article 41 du règlement général relatif à la protection des données (RGPD) prévoit que le contrôle du respect d'un code de conduite peut être effectué par un organisme qui dispose du niveau d'expertise approprié au regard de l'objet du code. Ces organismes doivent être agréés à cette fin par l'autorité de contrôle compétente.
L'article 57.1.p) du RGPD prévoit que chaque autorité de contrôle rédige et publie les exigences relatives à l'agrément des organismes chargés du suivi des codes de conduite en application de l'article 41.
L'article 41.3 du RGPD indique que les projets d'agrément établis par chaque autorité de contrôle au niveau national sont soumis au mécanisme de contrôle de la cohérence et doivent être communiqués au Comité européen de la protection des données (CEPD).
Le 3 octobre 2019, un projet d'agrément a été adopté par la Commission et soumis au CEPD le 18 octobre 2019. Le CEPD a adopté un avis favorable relatif à ce projet le 28 janvier 2020, qui a été notifié à la Commission le 4 février 2020.
La présente délibération fixe les critères d'agrément des organismes chargés du contrôle du respect des codes de conduite, tels que visés à l'article 41 du règlement (UE) 2016/679.
Décide :
De l'adoption du référentiel d'agrément des organismes chargés du contrôle des codes de conduite, tel qu'annexé à la présente délibération.
La durée de l'agrément sera initialement fixée à cinq ans, sans préjudice de l'exercice à tout moment des compétences de la CNIL au regard des obligations de l'organisme de contrôle.
La procédure de demande initiale et de renouvellement d'un agrément est encadrée par le règlement intérieur de la CNIL. Le renouvellement entraîne un réexamen de l'éligibilité de l'organisme de contrôle, qui peut donner lieu à une décision favorable ou à un refus.