AgentPublic/cnil huggingface dataset:
78. D’autre part, et malgré les demandes du rapporteur portant précisément sur ce point en cours de procédure, la formation restreinte observe que, au jour de la clôture de l’instruction, la société n’a pas communiqué de version de ces contrats signée par les deux parties. La formation restreinte constate en effet qu’un examen sommaire du contrat liant la société X à son sous-traitant […] permet de constater que le tampon de la société et la signature de son représentant ne figurent pas sur le contrat en lui-même mais uniquement sur l’impression de la photographie du contrat, ledit tampon " dépassant " de la photographie et ne pouvant donc pas figurer sur le document original. En conséquence, ce document ne permet pas à la formation restreinte de constater la conformité de la société sur ce point.
79. En outre, la formation restreinte relève que le contrat et l’annexe liant la société X et son sous-traitant […] n’est pas signé par les deux parties.
80. Enfin, les clauses contractuelles types de la Commission européenne prévoient que ces clauses soient soumises au droit de l’État membre où l’exportateur de données personnelles est établi, en l’espèce la France. Or la formation restreinte relève que, dans les contrats fournis par la société, les clauses sont systématiquement soumises au droit de l’État où est installé le sous-traitant.
81. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 44 du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.
82. La formation restreinte prend acte de la communication au rapporteur de contrats passés entre la société et ses sous-traitants. Elle relève néanmoins que la société n’a pas justifié de la mise en place, dans ses rapports avec ses sous-traitants, d’un cadre juridique conforme aux dispositions des articles 44 à 50 du Règlement, et notamment du fait qu’elle a cosigné avec eux des avenants aux contrats correspondant aux clauses contractuelles types de protection des données personnelles adoptées par la Commission européenne. En effet, la formation restreinte constate que les contrats communiqués le 31 juillet 2019 sont incomplets, et que les documents photographiés ne sont pas signés par les deux cocontractants, seule la photographie étant tamponnée et signée par la société X. Au demeurant, un contrat demeure non signé par l’ensemble des cocontractants.
83. Cet élément n’est donc pas de nature à remettre en question la caractérisation du manquement évoqué à la clôture de l’instruction.
III. Sur les mesures correctrices et leur publicité
84. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
85. L’article 83 du RGPD prévoit :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. "
86. En premier lieu, concernant l’amende proposée par le rapporteur, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants :
87. La formation restreinte constate que les manquements aux articles 5-1-c), 12, 13, 14, 21 et 44 du Règlement ont persisté au-delà du délai imparti par la mise en demeure de la présidente de la Commission et que ce n’est qu’à la notification du rapport de sanction que la société a pris des mesures pour se mettre en conformité, plus de huit mois après la notification de la mise en demeure. La société n’a ainsi pas pleinement collaboré avec les services de la Commission jusqu’à l’engagement de la procédure de sanction et n’a pas démontré sa mise en conformité à l’expiration du délai imparti.
88. Elle constate également que la plupart des manquements portent sur des obligations que la loi no 78-17 du 6 janvier 1978 modifiée imposait déjà aux responsables de traitement et qui ne sont pas nées du RGPD. Dès lors, elle considère inopérant l’argument que la société tire de la difficulté qu’elle a eue à appliquer dans un temps court un cadre juridique nouveau.
89. Elle note également que certains de ces manquements sont relatifs aux droits des personnes (droit à l’information et droit d’opposition), qui n’étaient pas respectés par la société. Au jour de la clôture de l’instruction, aucun élément ne vient démontrer une mise en conformité de la société et de ses sous-traitants en la matière. Or, la formation restreinte considère que le non-respect de leurs droits affecte les personnes concernées, et tout particulièrement s’agissant du droit d’opposition, ce qui est démontré par la tonalité des courriels envoyés par les prospects à la société. En conséquence, au regard des conséquences pour les personnes, il convient que ces manquements soient sévèrement sanctionnés.
90. La formation restreinte rappelle en outre que l’obligation d’encadrer les transferts de données personnelles hors du territoire de l’Union européenne est la conséquence de l’inexistence, sur le territoire de nombreux états, de règlementation protectrice relative aux données personnelles. Le non-respect de cette obligation par le responsable de traitement fait courir le risque de voir ces données traitées hors de tout cadre juridique protecteur, au détriment des droits des personnes concernées. La formation restreinte considère donc qu’elle doit être particulièrement attentive au respect de cette obligation par les responsables de traitement.
91. L’ensemble de ces raisons justifient qu’une amende administrative soit prononcée.
92. En deuxième lieu, concernant le montant de cette amende, la société soutient qu’il est disproportionné au regard de la bonne volonté de la société, qui n’avait aucune intention de contrevenir au RGPD et était uniquement mal informée.
93. Sur ce point, la formation restreinte relève au contraire une absence de coopération parfaitement caractérisée en l’espèce. La formation restreinte considère que, loin de constituer un élément devant l’amener à minorer le montant de l’amende infligée, le comportement de la société jusqu’à la notification du rapport de sanction doit, au contraire, être pris en compte pour venir aggraver la sanction prononcée, comme l’y invite le point b) du deuxième paragraphe de l’article 83 du RGPD.
94. La société estime ensuite que le montant de l’amende est disproportionné au regard du chiffre d’affaires de l’entreprise, le rapporteur n’ayant en outre pas utilement tenu compte de la diminution du chiffres d’affaires intervenue en 2018 et annoncée pour l’année 2019.
95. À ce sujet, la formation restreinte considère que le montant de l’amende proposée par le rapporteur est mesuré au regard des informations comptables fournies par la société, lesquelles font état d’un chiffre d’affaires d’environ vingt-sept millions d’euros en 2017 et 20 millions d’euros en 2018. Elle relève que, au vu des manquements en cause, l’article 83-5-b) du RGPD fixe le montant de l’amende encourue à vingt millions d’euros, et que le montant de l’amende proposé correspond à 2,5 % du chiffre d’affaires annuel de la société, ce qui ne présente pas un caractère excessif au regard du comportement de la société, notamment avant la notification du rapport de sanction, et au regard de la gravité des manquement, en particulier de l’atteinte aux droits des personnes. Enfin, si la société démontre que son chiffre d’affaires a diminué pendant l’année 2018, ce résultat demeure du même ordre de grandeur que le résultat de l’année 2017 malgré une diminution du résultat net, et ne justifie pas une diminution du montant de l’amende infligée, lequel n’est d’ailleurs pas directement corrélé aux résultats financiers de la société quand bien même ces derniers sont pris en compte dans son calcul.
96. La formation restreinte souligne la pluralité des manquements en cause ainsi que leur persistance et leur gravité. Elle tient particulièrement compte des conséquences pour les personnes concernées et relève que ce dossier trouve son origine dans une plainte adressée par un particulier à la Commission. Elle relève également le comportement réticent de la société à prendre en compte la législation applicable en matière de protection des données personnelles et son manque de diligence afin de remédier aux manquements constatés, malgré les nombreuses relances provenant des services de la Commission.
97. Toutefois, la formation restreinte tient également compte des mesures que la société a prises au cours de la procédure de sanction pour se mettre partiellement en conformité, du fait qu’il s’agit d’une PME et de l’évolution de sa situation financière, afin de déterminer le montant d’une amende administrative juste et proportionnée, rappelant que cette dernière doit néanmoins présenter un caractère dissuasif.
98. En troisième lieu, concernant la nécessité de prononcer une injonction, la société considère qu’elle a mis ses pratiques en conformité avec les exigences du RGPD. Elle estime que ces avancées sont démontrées par les réponses qu’elle a apportées au rapport de sanction puis aux observations du rapporteur et que, partant, une injonction n’est pas nécessaire, la conformité étant déjà atteinte.
99. Comme il a été expliqué précédemment, la formation restreinte considère que la société n’a pas démontré, au jour de la clôture de l’instruction, la conformité du traitement qu’elle met en œuvre aux articles 5-1-c), 12, 13, 14, 21 et 44 du RGPD.
100. Faute pour la société de s’être mise en conformité sur ces manquements, il y a lieu de prononcer l’injonction proposée.
101. En quatrième lieu, concernant la publicité de sa décision, la société indique que cette publicité aurait des conséquences dramatiques pour la vie privée des personnes dont les données personnelles sont traitées par la société, puisqu’elle ferait d’elle une cible d’attaques informatiques.
102. Sur ce point, la formation restreinte relève que la publicité est sans incidence sur la sécurité des données personnelles puisque sa décision ne révèle aucune vulnérabilité qui pourrait être exploitée par des personnes malveillantes.
103. Au regard des déclarations de la société quant à son positionnement dans son domaine d’intervention, celle-ci affirmant être un acteur majeur de son secteur, la formation restreinte considère que la publicité de la sanction se justifie au regard de l’importance de la problématique de la prospection commerciale, tant par rapport à son ampleur qu’à ses conséquences pratiques pour les personnes démarchées. Elle répond en outre à une attente légitime des personnes ayant fait ou pouvant faire à l’avenir l’objet de prospection commerciale téléphonique de la part de la société ou d’autres acteurs et les alertera sur leurs droits.
104. Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du RGPD qu’une amende administrative à hauteur de 500 000 euros, une injonction assortie d’une astreinte ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une injonction de mettre en conformité le traitement avec les obligations résultant des articles 5 paragraphe 1 point c), 12, 13, 14, 21 et 44 du règlement no 2016/679 du 27 avril 2016 relatif à la protection des données, et en particulier :
- de prendre les mesures permettant d’empêcher de manière effective que des commentaires excessifs ne soient enregistrés dans le logiciel PROGIBOS, par exemple en mettant en place un système de détection automatique des mots inadéquats, non pertinents et excessifs au regard de la finalité du traitement, afin de les exclure des zones de commentaires ou d’en empêcher la saisie ;
- de procéder à l’information des personnes auprès desquelles des données à caractère personnel sont collectées directement et indirectement, dans les conditions prévues aux articles 12, 13 et 14 du règlement général sur la protection des données no 2016/679 du 27 avril 2016, par exemple en informant directement la personne concernée, par l’intermédiaire du service vocal ou du téléopérateur, de l’existence et de la finalité du dispositif ainsi que de son droit d’opposition, et en lui offrant la possibilité d’obtenir communication d’une information complète soit grâce à l’activation d’une touche sur son clavier téléphonique, soit par l’envoi d’un courriel ;
- de mettre en œuvre une procédure permettant d’assurer l’effectivité des droits d’opposition exprimés par les personnes prospectées, cette procédure devant à la fois assurer que l’opposition exprimée auprès des sous-traitants effectuant les campagnes de prospection soit transmise à la société et répercutée auprès des autres sous-traitants, que l’opposition exprimée à la société soit transmise aux sous-traitants effectuant les campagnes de prospection, et d’assurer que les appels effectués par les téléopérateurs sous-traitants ne visent pas de personnes ayant déjà fait part de leur opposition au traitement de leurs données personnelles à des fins de prospection ;
- d’encadrer les relations entre la société et ses sous-traitants procédant aux campagnes de prospection téléphonique par des actes juridiques répondant aux critères posés par les articles 44 à 49 du Règlement et de s’assurer, si la société fait le choix des clauses types de protection des données adoptées par la Commission européenne, que les clauses sont signées par les parties et régies par le droit de l'État membre dans lequel l'exportateur de données est établi, en l’espèce la France ;
• assortir l’injonction d’une astreinte de 500 (cinq cents) euros par jour de retard à l’issue d’un délai d’1 (un) mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• pour les manquements aux articles 5-1-c), 12, 13, 14, 21, 31 et 44, prononcer à l’encontre de la société X une amende administrative d’un montant de 500 000 (cinq cent mille) euros ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des impôts, notamment son article 242 bis ;
Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81 et L. 229 à
L. 231 ;
Vu le code pénal, notamment ses articles 313-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 33 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu la délibération n° 2014-045 du 30 janvier 2014 portant avis sur un projet d’arrêté portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministre de l’action et des comptes publics, en urgence, d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé Ciblage de la fraude et valorisation des requêtes (CFVR).
Le traitement CFVR, basé sur des techniques de datamining ou exploration de données , a plusieurs fonctionnalités : la modélisation prédictive, la requête d’analyses risques, la recherche d’atypies ou d’incohérences et la recherche de liens entre les différentes personnes ou avec des entités professionnelles.
Initialement mis en œuvre en 2014 à titre d’expérimentation, dans le cadre de fraudes réalisées par les contribuables professionnels, le champ du traitement CFVR a été pérennisé en 2015 et étendu concomitamment à titre d’expérimentation aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a été pérennisée en 2016, puis ce traitement CFVR a été élargi en 2017 aux particuliers à titre expérimental jusqu’en août 2019. Parallèlement, les fonctionnalités de ce traitement ont été étendues afin de permettre la détection de façon anticipée des entreprises en difficulté ainsi que l’envoi automatique de demandes de renseignements aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales. L’ensemble de ces modifications a fait l’objet d’avis de la Commission.
La Commission relève que le projet dont elle a été saisie lui a été soumis sur le fondement des dispositions de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu’un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. Elle rappelle qu’eu égard à ses caractéristiques, le traitement CFVR relève par principe des dispositions de la directive 2016/680 telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère de l’action et des comptes publics a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d’avis conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
La Commission relève que le projet d’arrêté a pour objet d’ajouter les données transmises par les opérateurs de plateformes collaboratives au titre des données traitées par le traitement CFVR conformément à l’article 242 bis du code général des impôts issu de l’article 10 de la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude.