AgentPublic/cnil huggingface dataset:
Lors des contrôles en ligne des 23 et 25 janvier 2017, la délégation a constaté que l’appairage aux jouets connectés […] et […] s’effectue à partir d’un ordiphone, via le standard de communication Bluetooth, sans authentification préalable ou mot de passe.
La délégation a constaté que l’appairage aux jouets ne requiert pas l’installation des applications […] et […] sur son ordiphone.
En outre, il ressort des constats opérés par la délégation de contrôle qu’après appairage de l’ordiphone avec les jouets, un contrôleur de la CNIL était en mesure d’entendre les propos échangés à proximité des jouets par d’autres contrôleurs et d’enregistrer ces propos en utilisant l’application Dictaphone disponible sur l’ordiphone appairé.
Enfin, les tests effectués dans le cadre de ces contrôles ont permis de constater qu’en appairant un premier ordiphone avec les jouets et en appelant celui-ci avec un second ordiphone, les échanges vocaux transitent par le jouet qui s’assimile à un kit main-libre. Dans cette hypothèse, toute personne peut entrer en communication avec un enfant se trouvant à proximité du jouet et dialoguer avec lui.
Au cours du contrôle du 17 novembre 2017, la délégation a constaté qu’un premier appairage s’effectue sans authentification ou mot de passe entre un ordiphone et les jouets, en étant situé à l’extérieur du bâtiment depuis lequel se trouvent les objets, à une distance de 9 mètres de ceux-ci. Elle a également constaté que depuis une telle position, un contrôleur de la CNIL était en mesure d’entendre les conversations se déroulant à proximité du jouet et de communiquer avec l’autre contrôleur se situant dans la même pièce que le jouet.
La délégation a également constaté qu’après désappairage, un deuxième appairage avec les jouets peut s’effectuer en étant situé à 20 mètres de ceux-ci à l’extérieur du bâtiment depuis lequel se trouvent les objets.
Dès lors, il ressort de ces constats que tout dispositif équipé d’un système de communication Bluetooth est en mesure de détecter un jouet allumé et de s’appairer à celui-ci, notamment depuis l’extérieur d’un bâtiment, d’écouter à distance les conversations captées par le microphone des jouets, d’enregistrer celles-ci et de communiquer via le jouet, sans aucune authentification.
En conséquence, il apparaît que l’absence de sécurisation lors d’un premier appairage aux jouets concernés avec un objet disposant de la fonctionnalité Bluetooth (ordiphone, tablette, ordinateur…) permet à n’importe quel tiers d’appairer son propre ordiphone à l’insu des enfants et des propriétaires des jouets, et ainsi d’entendre et de communiquer via ceux-ci avec l’enfant se situant à proximité, ou encore d’enregistrer les conversations échangées avec le jouet ou entre des personnes situées aux alentours.
Le défaut de sécurisation par la société du dispositif de communication Bluetooth porte atteinte à la vie privée des personnes dès lors que tout tiers non autorisé peut avoir accès à des informations relevant de l’intimité de la vie privée des personnes ainsi qu’à leurs comportements alors qu’elles font usage de ces jouets dans un cercle familial ou amical. En outre, l’atteinte à la vie privée est d’une particulière gravité en ce qu’elle concerne un public vulnérable à savoir des enfants.
Ces faits constituent ainsi un manquement à l’article 1er de la loi du 6 janvier 1978 modifiée qui dispose que  L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi .
 
Un manquement à l’obligation d’informer les personnes
En premier lieu, la délégation a constaté qu’après l’installation de l’application […] sur l’ordiphone, un formulaire de demande d’informations relatives à l’enfant s’affiche sur l’ordiphone. Les clients sont amenés à renseigner des informations relatives au prénom de l’enfant et à celui de ses parents, le nom de son école ainsi que son lieu d’habitation, mais aussi les préférences de l’enfant en ce qui concerne les émissions de télévision, le sport, les contes de fée ou encore les princesses. Il apparaît que la combinaison de telles données permet d’identifier directement ou indirectement les personnes. Au surplus, elles seront associées à d’autres données à caractère personnel (voix, adresse IP, contenu des conversations) dans le cadre du traitement opéré par la société. Elles constituent par recoupement des données à caractère personnel au sens de l’article 2 précité.
Cependant, la délégation de contrôle a constaté que le formulaire ne contient aucune information relative aux traitements de données à caractère personnel mis en œuvre.
En second lieu, la délégation a constaté que les conversations échangées entre toute personne et les jouets sont envoyées depuis les applications […] et […] au serveur de la société XX situé […].
Or, la délégation a constaté que les conditions d’utilisation des applications prévoit :  En téléchargeant l’application ou en cliquant sur le bouton Accepter , vous acceptez les présentes Conditions, qui vous engageront. Les conditions comprennent notamment notre Politique de Confidentialité (
[…]) et  En téléchargeant l’application, vous acceptez d’être lié par les présentes conditions d’utilisation et par notre politique de confidentialité qui est intégrée aux présentes par référence (disponible ici […]) .
Les conditions d’utilisation et les politiques de confidentialité des applications […] et […] sont incomplètes en ce qu’elles n’indiquent notamment pas les transferts de données à caractère personnel à destination d’un Etat non membre de l’Union Européenne.
En outre, la délégation a constaté que la politique de confidentialité des sites […] et […] ne contient aucune information relative à la nature des données transférées, à la finalité du transfert, aux catégories de destinataires des données et au niveau de protection offert par le pays destinataire.
Ces faits constituent un manquement à l’article 32-I de la loi n°78-17 du 6 janvier 1978 modifiée qui dispose que :
 La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 
3° Du caractère obligatoire ou facultatif des réponses ; 
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 
5° Des destinataires ou catégories de destinataires des données ; 
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre (droits des personnes à l’égard des traitements de données) dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort ; 
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
8° De la durée de conservation des catégories de données traitées ou, en cas d'impossibilité, des critères utilisés permettant de déterminer cette durée.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. 
 
Ces faits sont également contraires à l’article 91 du décret n° 2005-1309 du 20 octobre 2005 modifié pris pour application de la loi qui précise que :
Les informations figurant au 7° du I de l’article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l’article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :
1° Le ou les pays d’établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ; 
2° La nature des données transférées ; 
3° La finalité du transfert envisagé ; 
4° La ou les catégories de destinataires des données ; 
5° Le niveau de protection offert par le ou les pays tiers : 
Si le ou les pays tiers figurent dans la liste prévue à l’article 108, il est fait mention de la décision de la Commission européenne autorisant ce transfert ; 
Si le ou les pays tiers ne satisfont pas aux conditions prévues à l’article 68 de la même loi, il est fait mention de l’exception prévue à l’article 69 de cette loi qui permet ce transfert ou de la décision de la Commission nationale de l’informatique et des libertés autorisant ce transfert . 
Il est rappelé enfin qu’en application des articles 131-41 et R. 625-10 du code pénal, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
La délégation a constaté que la transcription en texte des conversations échangées entre les utilisateurs et les jouets est envoyée depuis le serveur de la société XX vers les applications […] et […] via le protocole non chiffré HTTP.
Or, dans le cadre des discussions entre les enfants et les jouets, certaines données à caractère personnel seront amenées à être fournies par les enfants et donc traitées par la société et son prestataire.
La sécurité et la confidentialité des données à caractère personnel n’est pas assurée à l’occasion des échanges avec la société XX dans la mesure où il n’existe aucun chiffrement du canal utilisé.
Ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est notamment puni d’une peine d’amende pouvant atteindre 1.500.000 €.
En conséquence, la société X, sise […] est mise en demeure, sous un délai de deux 
mois (2 mois) à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
 
mettre en œuvre un dispositif ne portant pas atteinte à la vie privée et à l’intimité des utilisateurs des jouets et applications 
[…] 
et 
[…]
 et de toute personne se trouvant à proximité des jouets, en procédant à la sécurisation du dispositif de communication BLUETOOTH entre le jouet et l’objet disposant de la fonctionnalité BLUETOOTH
(par exemple par la mise en place d’un bouton d’appairage, d’un code PIN ou d’une authentification etc.) ;
procéder à l’information de toutes les personnes concernées, dans les conditions prévues à l’article 32 de la loi n° 78-17 du 6 janvier 1978, notamment en :
insérant sur le formulaire de collecte de données à caractère personnel de l’application […], une mention d’information relative à l’identité du responsable du traitement, à la finalité poursuivie par le traitement, au caractère obligatoire ou facultatif des réponses, aux droits des personnes ;
indiquant, dans les conditions générales des applications et des sites internet, que des transferts de données à destination d’États non membres de l’Union Européenne sont réalisés, la nature des données transférées hors de l’Union européenne, la finalité des transferts, les destinataires des données et le niveau de protection offert par les pays destinataires ;
prendre toute mesure pour garantir la sécurité et la confidentialité des données à caractère personnel traitées en mettant en œuvre un chiffrement du canal de communication transmettant les données à caractère personnel collectées et émises depuis les applications mobiles (par exemple, en utilisant le protocole HTTPS ) ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
 
La Présidente
 
 
 
Isabelle FALQUE-PIERROTIN
[1] Couplage de deux appareils via une connexion sans fil
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 30 novembre 2017 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PÉRÈS, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2017-073 du 20 novembre 2017 de la Présidente de la Commission mettant en demeure la société X.
 
A adopté la délibération suivante :
Par décision du 20 novembre 2017, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société X sise […], de faire cesser sous un délai de deux mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment ceux relatifs à la mise en œuvre d’un dispositif portant atteinte à la vie privée des personnes concernées, à l’obligation d’information et à la sécurité et la confidentialité des données à caractère personnel.
 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 30 novembre 2017.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité du manquement constaté en ce que le défaut de sécurité des jouets fabriqués par la société, porte atteinte à la vie privée des utilisateurs et de toute personne se trouvant à proximité. En faisant un usage normal de ces jouets connectés dans un cercle amical ou familial, les utilisateurs peuvent légitimement s’attendre à ce que les propos échangés dans le cadre de leur intimité ne soient pas entendus ou enregistrés par des tiers.
Le bureau estime en outre que la mesure de publicité se justifie au vu du public ciblé par les jouets dès lors qu’ils sont destinés à être utilisés par de très jeunes enfants.
 
Le bureau considère également que la publicité de la mise en demeure a vocation à informer les personnes concernées de l’existence du défaut de sécurité des jouets et du risque d’atteinte à la vie privée auquel notamment les parents et enfants s’exposent lors de leur utilisation, alors que les jouets […] et […], déjà vendus à […] et […] exemplaires en France, sont toujours distribués.
 
Enfin, d’une manière générale, le bureau entend, par sa décision, souligner la nécessité d’éclairer les parents dans le choix des jouets connectés qu’ils seront susceptibles d’offrir dans un contexte où l’offre pour ces produits est considérable.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2017-073 de la Présidente de la CNIL mettant en demeure la société X.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
La Présidente
 Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la justice, garde des sceaux, d’une demande d’avis concernant un projet de loi d’adaptation au droit de l’Union européenne de la loi n°78-17 du janvier 1978 ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE ;
Vu la Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Isabelle FALQUE-PIERROTIN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, le 17 novembre 2017, d’un projet de loi d’adaptation au droit de l’Union européenne de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, sur le fondement de l’article 11-4°-a) de cette même loi. En application de l’article 22 de la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, cet avis sera rendu public.
 
Ce projet de loi a pour objet la mise en conformité du droit national avec le paquet européen de protection des données adopté par le Parlement européen et le Conseil le 27 avril 2016 qui se compose :
 
d’un Règlement (UE) 2016/679 (ci-après, le Règlement ) relatif à la protection des personnes physiques à l’égard des données à caractère personnel, qui constitue le cadre général de la protection des données et est directement applicable à compter du 25 mai 2018 ;
 
d’une Directive (UE) 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquête et de poursuites en la matière ou d’exécution de sanctions pénales (ci-après la Directive ), qui doit être transposée au plus tard le 6 mai 2018.
Si la plupart des principes régissant le traitement de données à caractère personnel, posés par le législateur il y a près de 40 ans, restent valables, ce cadre juridique introduit un changement de paradigme. 
 
Il repose en effet sur une logique de responsabilisation renforcée des acteurs, responsables de traitements et sous-traitants. Alors que la loi de 1978 reposait en grande partie sur une logique de formalités préalables (déclaration, autorisation, etc.), le Règlement repose sur une logique de conformité continue, tout au long du cycle de vie de la donnée, dont les acteurs sont responsables, sous le contrôle et avec l’accompagnement du régulateur. En contrepartie de la réduction du contrôle en amont exercé via ces formalités, la Commission voit ses pouvoirs de contrôle et de sanction renforcés par la possibilité d’infliger des amendes allant, dans les cas les plus graves, jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires pour une entreprise.
 
Le Règlement renforce également les droits des personnes en facilitant l’exercice de ceux-ci et en créant de nouveaux droits, comme le droit à la portabilité des données personnelles ou un droit à l’oubli propre pour les mineurs.
Enfin, pour permettre une application uniforme et cohérente du Règlement, le législateur européen a prévu un mécanisme de coopération renforcée entre les autorités de protection des données, qui devront adopter des décisions communes lorsque les traitements de données seront transnationaux, dans le cadre du mécanisme dit du guichet unique .
 
L’adoption du paquet européen de protection des données constitue donc une avancée majeure. Ces textes doivent permettre à l’Europe de s’adapter aux nouvelles réalités du numérique. Ils constituent également un standard international en matière de protection des données, notamment compte tenu du champ d’application élargi du Règlement via le critère de ciblage.
 
Ces changements nécessitent d’adapter la loi fondatrice du 6 janvier 1978, que le projet choisit symboliquement de ne pas abroger, tout en conservant son article 1er.
 
Le projet de loi vise ainsi à modifier certains articles de la loi du 6 janvier 1978, soit pour les rendre compatibles avec le droit de l’Union (titre I), soit pour tirer parti des marges de manœuvre prévues par le Règlement (titre II), soit enfin pour transposer les dispositions de la Directive (titre III).
 
 
 
 
I. Observations d’ordre général
 
Sur le texte pris dans son ensemble, la Commission entend souligner deux apports substantiels du projet de loi soumis à son examen.
En premier lieu, la Commission souligne que, sur le fond, le projet qui lui est soumis remplit globalement l’objectif principal qui lui était assigné, à savoir adapter le droit français au nouveau cadre européen pour en assurer la pleine effectivité pour les citoyens et les opérateurs. 
 
Il donne ainsi corps au nouveau Règlement, qui constitue une avancée considérable pour la protection des données à caractère personnel dans l’espace européen. Sous réserve des omissions relevées et des clarifications ou compléments proposés ci-après dans le cadre de l’examen article par article, le projet de loi dote en effet le régulateur des pouvoirs nécessaires à l’exercice de ses missions, dans un contexte marqué par la reconnaissance de nouveaux droits aux citoyens et le renforcement de la responsabilité des opérateurs. Il organise en outre l’articulation nécessaire des procédures internes aux nouveaux mécanismes européens de coopération.
 
En second lieu, la Commission se félicite de ce que le projet de loi mobilise de manière judicieuse les marges de manœuvres ouvertes aux Etats par le Règlement et soit ainsi en pleine cohérence avec la logique sous-tendant la démarche européenne.