AgentPublic/cnil huggingface dataset:
les élections professionnelles ; Vu la délibération n° 04-073 du 21 septembre 2004 relative à une demande d'avis portant sur la mise en œuvre d'un système de vote électronique à distance pour l'élection des membres des chambres de commerce et d'industrie ; Vu la  délibération n° 2010-371 du 21 octobre 2010 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique ; Vu le dossier et ses compléments ; Sur proposition de Mme Dominique CASTERA, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : Le ministère de l'économie et des finances a saisi la commission d'une demande d'avis concernant un projet d'arrêté portant création d'un système de vote électronique en vue des élections des membres des chambres de commerce d'industrie (CCI) devant se dérouler du 20 octobre au 2 novembre 2016. Il s'agit de proposer aux différentes CCI, listées en annexe dudit arrêté, un système de vote par correspondance électronique mis en œuvre sous la responsabilité de la CCI France, établissement national fédérateur et animateur pour l'ensemble des CCI, dans le cadre d'un comité de pilotage national dédié à l'organisation de ces élections consulaires. Ces élections concernent la désignation des représentants de chefs d'entreprise et commerçants au sein des CCI locales (CCIT) et régionales (CCIR), l'élection des délégués consulaires n'étant pas concernée par le traitement projeté. Elles sont
susceptibles de mobiliser environ 2 millions d'électeurs. Conformément à l'article  R. 713-20 et  R. 713-26 du code du commerce, d'une part, et à l'article 27-11 (4°) de la loi du 6 janvier 1978 modifiée, d'autre part, les traitements de données à caractère personnel mis en œuvre pour l'organisation du système de vote électronique doivent être autorisés par arrêté du ministre chargé de la tutelle administrative des CCI, pris après avis motivé et publié de la commission. Sur l'architecture globale du dispositif de vote mis en œuvre : La commission relève que le système de vote par correspondance électronique comporte une unique urne, composée de différents sous-ensembles correspondant aux différents scrutins, et deux sous-systèmes distincts de vote. Le premier permet le vote à distance par l'intermédiaire du réseau Internet (ci-après  vote par correspondance électronique ). Le second sous-système concerne l'émargement automatique des électeurs exprimant leur suffrage par voie de correspondance postale, à partir de la lecture des codes-barres apposés sur chaque pli d'acheminement. Concernant le second sous-système d'émargement automatique des votes par correspondance postale, l'article 14 du projet d'arrêté fait application de l' article R. 713-20 du code du commerce qui prévoit que les opérations manuelles liées au dépouillement des suffrages exprimés peuvent être effectuées avec l'assistance de moyens électroniques, dans des conditions fixées par arrêté du ministère en
charge de la tutelle administrative des CCI, pris après avis de la CNIL. A cet égard, l'article 14 du projet d'arrêté prévoit que chaque pli postal contenant le suffrage exprimé permet d'assurer un émargement automatique par lecture du code-barres apposé, avant d'être inséré en l'état dans une urne physique, par un membre de la commission électorale, conformément aux dispositions de l'article R. 173-18 du code du commerce. Sur ce point, la commission rappelle que la  délibération n° 98-041 du 28 avril 1998 susvisée contient ses principales recommandations en matière d'utilisation des systèmes de vote par codes-barres dans le cadre d'élections par correspondance postale pour les élections professionnelles et que les traitements de données mis en œuvre doivent faire l'objet des formalités préalables prévues par la loi  Informatique et Libertés . Elle prend acte que le ministère s'engage à compléter l'arrêté pour circonscrire le périmètre de cette opération à l'émargement et préciser son articulation avec le dépouillement manuel des urnes physiques. Sur l'expertise indépendante du dispositif de vote électronique : L'article ler du projet d'arrêté prévoit que le système de vote par correspondance électronique doit faire l'objet, préalablement à sa mise en œuvre, d'une expertise indépendante, qui doit être complétée par une expertise menée en continu durant les opérations de vote. Cette expertise préliminaire, concernant le système de vote dans son intégralité (dispositif
technique et modalités de mise en œuvre), a été communiquée à la commission. Celle-ci considère que les propositions de résolutions formulées par les experts permettraient de mettre le système de vote en conformité à ses recommandations en la matière, formulées dans sa  délibération n° 2010-371 du 21 octobre 2010 susvisée. La commission estime néanmoins que le choix du  défi réponse  reste à améliorer. En effet, certaines catégories de données ne peuvent, par nature, être utilisées pour organiser un  défi réponse  assurant une authentification suffisante, du fait de leur accessibilité, à l'instar des dates de naissance des électeurs ou d'autres données soumises à une obligation de publicité légale dans le cadre du Registre du Commerce et des Sociétés (RCS). Elle recommande dès lors d'utiliser une autre catégorie de donnée afin de consolider effectivement la sécurité de l'enrôlement de l'électeur, sans qu'il soit pour autant nécessaire de modifier le projet d'arrêté sur ce point. Sur l'anonymat du scrutin : L'article ler du projet d'arrêté précise que le système de vote  garantit la confidentialité et l'anonymat du vote . Dans cette perspective, l'article 7 dudit projet prévoit les modalités d'envoi des moyens d'authentification des électeurs. Ainsi, il est prévu que chaque électeur reçoive, par le même canal de communication, un identifiant et un code contenus dans une enveloppe cachetée, adressée sous pli postal sécurisé. Le code ainsi adressé est en outre dissimulé par une
case à gratter , un support d'assistance étant enfin disponible, par téléphone ou courriel, en cas de problème d'authentification. Dans la mesure où ces deux caractéristiques permettent de considérer le mode de distribution du matériel de vote comme étant conforme à l'exigence de sécurité prévue à l'article 34 de la loi  Informatique et Libertés , la commission prend acte que, à sa demande, le ministère s'engage à les mentionner dans le projet d'arrêté. En tout état de cause, la commission prend acte que, à sa demande, le ministère s'engage à compléter l'arrêté pour préciser expressément que le numéro de téléphone et l'adresse électronique permettant de contacter ledit support d'assistance sont facilement accessibles, y compris par tout utilisateur qui n'aurait pas reçu son matériel de vote. Sur la sécurité et l'intégrité du dispositif : La  délibération n° 2010-371 du 21 octobre 2010 de la commission mentionne que  l'établissement des clés est public de manière à prouver de façon irréfutable que seuls les détenteurs de ces clés […] en ont connaissance à l'exclusion de toute autre personne . La commission prend acte que, à sa demande, le ministère s'engage à faire apparaître cette caractéristique explicitement dans le projet d'arrêté. En ce qui concerne le chiffrement du bulletin de vote, l'article 8 du projet d'arrêté prévoit :  Le vote est anonyme et immédiatement chiffré par le système . La commission considère que cette rédaction ne permet pas de garantir que le
bulletin sera chiffré sur le poste de l'électeur et qu'il ne sera pas déchiffré jusqu'au dépouillement de l'urne. Elle prend acte que, à sa demande, le ministère s'engage à compléter l'arrêté afin de décrire plus fidèlement la solution choisie par l'organisateur du scrutin en indiquant explicitement qu'il s'agit d'un double chiffrement, composé à la fois d'un chiffrement du bulletin sur le poste de l'électeur et de son envoi par un canal chiffré vers les serveurs de vote, ce conformément aux recommandations  Informatique et Libertés  en la matière. Elle rappelle en outre que le nombre de clés utilisées pour le chiffrement des bulletins et le dépouillement de l'urne électronique est à définir au regard du contexte d'organisation des élections. Si le minimum est en effet de trois, la commission recommande néanmoins que la rédaction soit moins stricte sur ce point. S'agissant de la transmission des données à caractère personnel aux prestataires, la commission relève que l'organisateur des scrutins a retenu une prestation dont l'ensemble des moyens de traitement est mis en œuvre sur le territoire national. En outre, les prestataires sont liés par un engagement contractuel de confidentialité concernant notamment la transmission de ces données. En l'absence d'information sur ce point, la commission rappelle que les prestataires doivent s'engager à détruire ou restituer, de façon définitive et sécurisée, l'ensemble des données en leur possession à l'issue des opérations
électorales. En outre, elle rappelle que le système de vote électronique doit être capable de fournir, notamment en cas de contentieux électoral, un ensemble d'éléments techniques permettant d'attester du bon déroulement du scrutin. Ainsi, tous les fichiers supports (notamment copies des programmes sources et exécutables ; matériels de vote ; fichiers d'émargement et de résultats ; sauvegardes) doivent être conservés sous scellés jusqu'à l'épuisement des délais de recours contentieux, et ce dans des conditions garantissant le secret du vote ainsi que l'intégrité et l'authenticité du matériel conservé. Dès lors, la commission prend acte que, à sa demande, le ministère s'engage à compléter l'article 11 du projet d'arrêté en précisant que, jusqu'à expiration des délais de recours contentieux, l'ensemble de ces fichiers supports doit être figé, horodaté et scellé à la fin du vote. L'article 5 du projet d'arrêté concernant les durées de conservation est également complété par une précision analogue. Sur la surveillance effective du scrutin : Les articles 9 et 10 du projet d'arrêté définissent la composition et les missions confiées à la cellule chargée de veiller au bon déroulement du scrutin. Celle-ci peut notamment demander l'assistance de toute personne indépendante disposant de l'expertise nécessaire pour répondre aux besoins exprimés. La commission prend acte que, à sa demande, le ministère s'engage à compléter le projet d'arrêté pour indiquer explicitement que toute
intervention sur le système de vote doit faire l'objet d'un accord de cette cellule en lien, le cas échéant, avec les commissions d'organisation des élections concernées, ainsi que d'une consignation au procès-verbal du ou des scrutins concernés, ce qui permet de considérer les mesures de surveillance prévues comme effectives. L'article 10 du projet d'arrêté indique qu'en cas de force majeure entraînant la suspension des opérations de vote, les suffrages préalablement émis par voie électronique sont conservés. La commission recommande que le choix de conserver ou non ces suffrages soit confié à la cellule nationale prévue à l'article 9 du projet d'arrêté, éventuellement après concertation avec la ou les commissions d'organisation des élections concernées et prend acte de l'engagement du ministère à compléter l'arrêté sur ce point. S'agissant du contrôle du vote a posteriori, une opération de sauvegarde de l'urne est réalisée en fin de scrutin, avant le dépouillement de l'urne, conformément aux recommandations de la commission. Sous réserve des précédentes observations et de la prise en compte des propositions formulées par les experts indépendants dans l'audit fourni à la commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la
La Présidente de la Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code pénal ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-122C du 19 avril 2016 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ; 
Vu les procès-verbaux n° 2016-122/1 et 2016-122/2 des 8 et 28 juin 2016 ; 
Constate les faits suivants
La société X (ci-après la société), sise […] est une société par actions simplifiée spécialisée dans la programmation informatique. Cette société, créée en juin 2015, met en œuvre l’application […] (ci-après l’application) téléchargeable depuis mai 2015 sur les téléphones mobiles utilisant les systèmes d’exploitation Android et iOS.
Cette application permet à son utilisateur de mettre en ligne anonymement un ou plusieurs contenus à partir d’un numéro de téléphone présent dans son répertoire téléphonique ou renseigné parmi les données de l’un de ses contacts sur Facebook. En application de la décision n° 2016-122C du 19 avril 2016 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission), deux délégations de la Commission ont procédé, auprès de la société X, à des missions de contrôle sur place les 8 et 28 juin 2016.
Les délégations se sont attachées à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée. La société a effectué une déclaration normale ayant pour finalités : Logiciels d’application pour téléphones mobiles, fourniture d’accès à des bases de données, développement de solutions logicielles applicatives (déclaration n° 1869229 du 19 juin 2015).
Sur le fonctionnement de l’application […]
La délégation a été informée que cette application, disponible en plusieurs langues (français, anglais, portugais, espagnol, italien, allemand, russe, chinois traditionnel et chinois simplifié) et utilisée chaque mois sur environ 300 000 téléphones, permet à des utilisateurs de diffuser anonymement des commérages appelés gossips sur des tiers.
La société a ainsi indiqué à la délégation que les personnes auxquelles les contenus diffusés se rapportent n’ont aucun moyen de connaître l’identité de l’auteur des gossips qui les concernent. Au 5 juin 2016, cette application a été téléchargée 637 816 fois. Elle a été informée qu’il existe deux sortes de gossips : les rumeurs qui sont de simples textes et les preuves qui sont des photographies ou des vidéos éventuellement accompagnées de texte. Chaque gossip est accompagné d’un ou plusieurs tags (étiquettes), chacun de ces tags désignant un numéro de téléphone issu du répertoire de l’auteur du commérage.
La délégation a été informée que pour créer et diffuser un commérage, l’utilisateur de l’application doit obligatoirement lui associer le numéro de téléphone (fixe ou mobile) d’une personne de son répertoire téléphonique. Lors de la procédure d’inscription, l’application demande en effet à accéder au répertoire téléphonique du téléphone mobile sur laquelle elle est installée. La délégation a ainsi constaté que lors du téléchargement de l’application, le message suivant s’affiche : Pour voir les Gossips sur vos contacts, vous devez donner la permission à […] d’accéder à votre carnet d’adresse.
Les serveurs de […] gardent une trace de vos contacts dans l’unique but de vous envoyer des gossips susceptibles de vous intéresser. CHUUTT…Ça reste entre nous… avec un bouton Accepter.
Par courrier en date du 13 juin 2016, la société a indiqué que la visibilité des gossips est réduite aux personnes inscrites qui partagent un contact commun. À cet égard, il résulte de l’examen des conditions générales d’utilisation transmises à la délégation de contrôle que l’information suivante est délivrée aux personnes qui procèdent au téléchargement de l’application : Le Service permet à l’Utilisateur d’avoir accès à un réseau social comprenant les Utilisateurs de son Réseau et, s’il le souhaite d’inviter tout ou partie des contacts de son Réseau à s’inscrire au Service. L’Application offre la possibilité de mettre en ligne anonymement un ou plusieurs Posts et Contenus.
L’Application permet également à l’Utilisateur de consulter les Contenus mis en ligne par son Réseau et tout autre contenu public mis en ligne. Aux termes de ces conditions générales, le Réseau est défini comme l’ensemble des contacts présents sur la liste téléphonique et/ou le compte Facebook d’un Utilisateur.
La délégation a ainsi été informée que les commérages peuvent être associés au numéro de téléphone d’une personne qui n’a pas téléchargé l’application et qu’ils ne sont pas diffusés spécifiquement au réseau de l’auteur de ces commérages mais à tous les utilisateurs de l’application qui ont dans le répertoire de leur téléphone portable le numéro de la personne visée par le gossip , y compris aux utilisateurs qui n’ont pas de lien avec l’auteur du gossip . La délégation a également été informée que, lors de la diffusion d’un commérage, l’application recherche dans le répertoire téléphonique de chaque utilisateur le nom correspondant au numéro de téléphone associé au gossip (personne dite taguée) et affiche, à la place du numéro de téléphone associé au commérage, le nom sous lequel ce numéro est enregistré dans son répertoire.
La société a précisé à la délégation qu’à l’installation de l’application, l’utilisateur peut décider d’accepter ou de refuser de recevoir les notifications relatives à l’application. S’il accepte de recevoir ces notifications, il recevra une notification aussi bien lors de la publication d’un gossip associé à son numéro de téléphone que lors de la publication d’un commérage associé à un numéro de téléphone contenu dans son répertoire téléphonique. La délégation a par ailleurs constaté qu’il est optionnellement proposé à l’utilisateur de lier son compte Facebook au compte créé sur l’application afin d’obtenir une liste supplémentaire de contacts, qui sont les amis Facebook ayant renseigné leur numéro de téléphone.
La société a en outre indiqué à la délégation que la gestion des listes de contacts est dynamique et correspond en temps réel aux contacts accessibles sur le téléphone mobile où est installée l’application ainsi qu’optionnellement aux contacts ayant renseigné un numéro de téléphone sur Facebook. La délégation a été informée que l’application affiche désormais à l’utilisateur les trente gossips les plus récents qui se rapportent aux numéros de téléphone présents ou ayant été présents dans le répertoire téléphonique de son téléphone portable. Il lui a également été indiqué que les commérages qui n’ont été désactivés ni par leur auteur ni par la société sont conservés par la société sans limitation de durée (y compris l’image ou la vidéo qui y sont éventuellement associées). La délégation a été informée qu’une procédure de signalement permet de demander à la société la désactivation de gossips.
Il résulte de l’examen des pièces transmises à la délégation que plusieurs des signalements effectués se rapportent à des commérages diffusés sur des personnes mineures.
À la suite des procès-verbaux établis les 8 et 28 juin 2016, la société X a formulé plusieurs observations par courrier postal en date du 13 juin 2016 et, le 30 juin 2016, par courrier électronique.
Elle a également indiqué, par courrier électronique en date du 12 août 2016 qu’un correctif a été appliqué à l’application. Elle a ainsi précisé que Maintenant il est possible de supprimer un contact de votre répertoire téléphonique et vous ne recevrais plus les Gossip de ce contact depuis iOS (en développement côté Android) (c’est-à-dire les gossips portant sur ce contact). Enfin, par courrier électronique en date du 21 septembre 2016, la société a indiqué avoir procédé à plusieurs modifications relatives au fonctionnement de l’application.
Elle a également précisé vouloir proposer un mécanisme aux termes duquel la société procéderait à l’envoi d’un message par SMS à la personne taguée dans un Post qui ne serait pas utilisatrice du Service afin de la prévenir qu’elle a été taguée. Cette dernière serait ainsi invitée à télécharger l’application pour avoir accès au commérage qui la concerne. 
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de respecter la vie privée et les libertés individuelles 
Il résulte de l’examen des conditions générales d’utilisation (CGU) du service soumises à l’acceptation des utilisateurs et transmises à la délégation à la suite du premier contrôle qu’en les acceptant lors de leur inscription, ces derniers s’engagent notamment à respecter les présentes CGU ainsi que tous lois et règlements applicables.
En particulier, il vous est interdit de : […] mettre en ligne tout Contenu contraire à la loi ou à la réglementation applicable et aux droits des tiers, notamment : […] tout contenu portant atteinte à la vie privée ou à l’image des tiers […]. Néanmoins, la délégation a été informée que l’objet même de l’application est de permettre à des auteurs, sous couvert d’anonymat, de diffuser des potins ou des commérages appelés gossips. À cet égard, lors du contrôle du 28 juin 2016, la société a indiqué à la délégation que lorsqu’un gossip est émis, il est diffusé à tous les utilisateurs de l’application qui ont (ou ont eu) dans leur répertoire le numéro de téléphone, fixe ou mobile, de la personne concernée.
Par courrier électronique du 21 septembre 2016, la société a indiqué avoir modifié son système de manière à ce que lors de la mise à jour faite à chaque connexion, les empreintes correspondant aux numéros de téléphone supprimés du répertoire téléphonique de l’utilisateur soient automatiquement supprimées des données conservées sur le serveur de […]. Il résulte du fonctionnement de l’application que, même lorsque le prénom et le nom de famille de la personne concernée par le commérage n’apparaissent pas dans le contenu du gossip, cette dernière est instantanément identifiable : le nom sous lequel son numéro est enregistré dans le répertoire de l’utilisateur de l’application est affiché juste à côté du texte, de l’image ou de la vidéo.
La délégation a également été informée que les gossips sont ainsi diffusés au réseau de la personne visée, à savoir à tous les utilisateurs de l’application qui ont, dans le répertoire de leur téléphone portable le numéro de téléphone de la personne taguée , sans qu’elle en ait à ce jour connaissance si elle n’est pas elle-même utilisatrice de l’application. L’analyse de la base de données transmise par la société a mis en évidence que l’application est utilisée pour diffuser le type de commérages suivants : - [prénom] a 10 ans mais a déjà le VIH ; - Mercredi a l’école jte viole ; - [prénom et nom de famille] 14 ans alcoolique (…) ; - Oubliez pas l’anniversaire du PD demain ; - [prénom et nom de famille] au moment de son viol ; - [prénom masculin] est gay c’est pour sa qu’il ce tape [prénom féminin] ; - Ptn a 4h [prénom féminin] elle sais fais violee par [prénom masculin] comme un sale chienne ; - Que [prénom féminin] vient de faire un fausse couche. Aurait-elle oublié de prévenir certaines personnes ? ; - [prénom masculin] 2 ans de prison cest confirmer aller bon séjour la bas je passerai te voir ; - [prénom féminin et nom de famille] a eu le cancers des intestins.