AgentPublic/cnil huggingface dataset:
l'administration fiscale. L'article 5 du projet d'arrêté prévoit que  les fichiers reçus par  la DGFiP et les données stockées en base, contenant le NIR, sont  exclusivement conservées sur des supports informatiques dédiés et font  l'objet de mesures de sécurité renforcées en application du  décret n° 2000-8 susvisé . Les autres mesures de sécurité décrites par le responsable de  traitement n'appellent pas de remarque spécifique de la commission, le  traitement étant mis en œuvre au sein d'un système d'information de la  DGFiP qui présente des garanties de sécurité et de traçabilité  satisfaisantes. A cet égard, elle rappelle que les dispositions  précitées du LPF lui permettent, en cas de méconnaissance des règles  relatives à la sécurité, d'enjoindre l'administration fiscale à mettre  en œuvre certaines mesures de sécurité, pouvant aller jusqu'à la  destruction des supports contenant le NIR. Elle souligne en ce sens l'importance de justifier de la mise en  œuvre des mesures de sécurité appropriées dès lors que ces dernières  sont de nature à garantir, tout particulièrement, la proportionnalité du  traitement du NIR par l'administration fiscale. La commission rappelle enfin que l'obligation de sécurité prévue par  l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à  jour des mesures de sécurité au regard d'une réévaluation régulière des  risques.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, Mme Dominique CASTERA, M. Maurice RONAI, membres ; 
 
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
 
Vu la décision n° 2015-200C du 8 juillet 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous les traitements relatifs au site […] ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 8 janvier 2016 ; 
 
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, adressé à la société X le 12 janvier 2016 ; 
 
Vu la demande de huis clos présentée par la société X le 25 janvier 2016 à laquelle il a été fait droit par courrier du 4 février 2016 ; 
 
Vu les observations écrites versées par la société X le 19 février 2016 ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
 
Vu les autres pièces du dossier. 
Etaient présents, lors de la séance de la formation restreinte du 25 février 2016 : 
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; 
- En qualité de représentants de la société X : 
- En qualité de conseil de la société X : 
- Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation ; 
 
Les représentants de la société X ayant eu la parole en dernier ; 
Après en avoir délibéré, a adopté la décision suivante : 
 
 
FAITS ET PROCEDURE
 
La société X (ci-après la société), dont le siège social est situé […] emploie environ 800 salariés. En 2014, elle présentait un chiffre d’affaires d’environ 500.000.000 € pour un résultat net de près de 52.000.000 €.
La société a pour activité la production de boissons alcooliques distillées et édite le site […] destiné à gérer les inscriptions au programme fidélité […] et l’envoi d’objets promotionnels aux personnes inscrites. 
 
Le 8 juillet 2015, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission) a ordonné une mission de vérification de tous les traitements liés au site […] afin d’en vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après Informatique et Libertés). 
 
À l’occasion des constatations en ligne effectuées le 9 juillet 2015, la délégation de contrôle a notamment consulté les informations contenues dans le fichier robots.txt du site web. 
 
Ce fichier texte indique aux robots d’indexation des moteurs de recherche, les pages du site à exclure de l’indexation à laquelle ils procèdent sur Internet. 
 
Il ressort des éléments du dossier qu’en saisissant dans l’URL du navigateur, à la suite de l’adresse du site de la société, le nom des répertoires listés dans le fichier robots.txt , la délégation est parvenue à accéder à des ressources exclues de l’indexation mais dont l’accès n’était pas restreint par des mesures de sécurité particulières.
En naviguant parmi ces ressources, elle a été en mesure de télécharger, à partir des répertoires auxquels elle a eu accès, plus de 1.000 fichiers contenant les données à caractère personnel suivantes : nom, prénom, date de naissance, adresse postale, adresse électronique, numéro de téléphone, ainsi que des informations relatives à des paiements (date, montant et statut de la transaction, moyen de paiement utilisé, adresse électronique associée). 
 
À l’issue de ces vérifications, la société a été informée de la fuite de données constatée et le procès-verbal de contrôle n° 2015-200 lui a été notifié. La société a immédiatement indiqué avoir pris les mesures nécessaires, par l’intermédiaire de son hébergeur, pour bloquer l’accès aux données recueillies via son site web, ce qu’elle a confirmé par courrier du 23 juillet 2015. 
 
À l’occasion d’un second contrôle daté du 27 novembre 2015, il a été constaté qu’il n’était plus possible d’afficher le contenu des répertoires litigieux. 
 
Toutefois, la délégation est parvenue à consulter les fichiers contenant les données nominatives en recomposant l’URL d’accès direct dont elle avait eu connaissance lors du précédent contrôle. 
 
À l’occasion de ces nouvelles vérifications, elle a constaté qu’étaient également accessibles des données relatives aux cartes bancaires des internautes (numéro tronqué de la carte bancaire et date de validité). 
 
Le procès-verbal n° 2015-200/2 lui a été notifié par courrier du 4 décembre 2015.
Par courrier du 16 décembre 2015, la société a indiqué avoir averti son prestataire de la persistance de la fuite de données et adopté les correctifs nécessaires afin que les données des internautes inscrits au programme de fidélité […] et ayant commandé des objets promotionnels de la marque depuis son site ne soient plus accessibles en ligne. 
 
Au vu des constats opérés révélant des défaillances en termes de sécurité et de confidentialité des données à caractère personnel collectées par la société via son site […], la Présidente de la Commission a décidé, le 8 janvier 2016, sur le fondement de l’article 46 de la loi Informatique et Libertés, d’engager une procédure de sanction en désignant M. François PELLEGRINI en qualité de rapporteur. 
 
À l’issue de son instruction, celui-ci a notifié à la société, le 12 janvier 2016, un rapport détaillant le manquement à la législation précitée qu’il estimait constitué et sollicitant le prononcé d’un avertissement public. 
 
Était également jointe au rapport une convocation à la séance de la formation restreinte du 25 février 2016 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites. 
 
La société a produit, le 19 février 2016, des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 25 février 2016, laquelle s’est déroulée à huis clos sur demande de la société. 
 
MOTIFS DE LA DECISION
Sur l’existence d’un manquement à l’obligation de veiller à la sécurité et la confidentialité des données à caractère personnel
 
Il est reproché à la société d’avoir manqué à son obligation de préserver la sécurité et la confidentialité des données à caractère personnel des internautes dont les données sont collectées via son site […], en violation de l’article 34 de la loi Informatique et Libertés qui dispose : Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès . 
 
Dans ses observations écrites, la société reconnaît la fuite de données mais conteste avoir manqué à l’obligation précitée. 
 
Elle soutient avoir satisfait à son obligation de moyens en ayant eu recours à des professionnels reconnus dans ce secteur, tant pour l’hébergement de son site web que pour la gestion de son contenu. 
 
Sur ce point, la formation restreinte rappelle qu’en vertu de l’article 35 de la loi Informatique et Libertés, l’existence d’une relation de sous-traitance n’est pas de nature à exonérer le responsable de traitement de ses obligations au regard des données collectées et traitées pour son compte.
La société précise également que les manœuvres utilisées par la délégation de contrôle pour accéder aux données lors des deux missions de vérifications étaient particulièrement complexes de sorte que celles-ci n’étaient pas librement accessibles du public. 
 
En l’espèce, la formation restreinte retient que le manquement est caractérisé par le fait qu’aucune mesure de protection particulière n’encadrait l’accès aux données. 
 
En effet, il ressort des éléments du dossier que celles-ci ont pu être consultées sans restriction sur la base d’informations contenues dans le fichier robots.txt accessible à la racine du site web de la société. 
 
C’est en saisissant dans l’URL du navigateur les noms des répertoires contenus dans le fichier robots.txt, à la suite de l’adresse du site de la société, qu’il a été possible à la délégation d’accéder aux données à caractère personnel de plusieurs milliers de clients de la société. 
 
De plus, si à la suite de cette première alerte la société a renforcé la sécurité des données en empêchant l’accès aux répertoires litigieux, il n’est pas contesté que l’accès direct aux fichiers était toujours autorisé (en renseignant l’URL recherchée dans le navigateur). 
 
La formation restreinte considère, ainsi, que la société n’avait pas pris toute mesure utile de nature à garantir la sécurité et la confidentialité des données collectées.
La société soutient également qu’aucun préjudice n’a été subi par les personnes impactées par la fuite de données. Or, cette circonstance est sans influence sur la caractérisation du manquement qui est constitué par l’absence de mise en œuvre de mesures visant à empêcher l’accès aux données par des tiers non autorisés. L’établissement du manquement n’est donc pas subordonné à la démonstration d’un tel accès par des tiers ou à l’existence d’un préjudice pour les personnes concernées. 
 
Enfin, la société a présenté les mesures mises en œuvre à la suite du second contrôle afin de renforcer la sécurité des données identifiantes qu’elle collecte et a indiqué être en cours de déploiement d’un nouveau site web doté de mesures de sécurité conformes à l’état de l’art. 
 
La formation restreinte prend acte de ces engagements destinés, à l’avenir, à sécuriser les données à caractère personnel des clients de la société mais considère que le manquement à l’article 34 précité n’en demeure pas moins caractérisé. 
 
Sur la sanction et la publicité
 
Au vu des éléments qui précèdent, la formation restreinte décide de prononcer à l’encontre de la société X, en application de l’article 45 de la loi du 6 janvier 1978 modifiée, un avertissement qui sera rendu public.
Cette sanction est justifiée par le nombre et la nature des données concernées par la faille de sécurité, par la nécessité de sensibiliser les responsables de traitement à leurs obligations en matière de confidentialité des données à caractère personnel collectées et par la persistance du manquement malgré l’alerte de la Commission. 
 
 
PAR CES MOTIFS 
 
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
- de prononcer un avertissement ;
- de rendre publique sa délibération. 
 
Le Président 
 
 
Jean-François CARREZ
Saisie par le secrétariat général pour la modernisation de l'action publique (SGMAP), pour le compte du Premier ministre, d'une demande d'avis concernant un projet de décret autorisant les téléservices tendant à la mise en œuvre du droit des usagers de saisir l'administration par voie électronique (SVE),Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code des relations entre le public et l'administration ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le II (4°) et le III de son article 27 ;Vu l' ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu l' ordonnance n° 2014-1330 du 6 novembre 2014 relative au droit des usagers de saisir l'administration par voie électronique ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°
2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu le décret n° 2015-1404 du 5 novembre 2015 relatif au droit des usagers de saisir l'administration par voie électronique ;Vu l'arrêté du 4 juillet 2013 autorisant la mise en œuvre par les collectivités territoriales, les établissements publics de coopération intercommunale, les syndicats mixtes, les établissements publics locaux qui leur sont rattachés ainsi que les groupements d'intérêt public et les sociétés publiques locales dont ils sont membres de traitements automatisés de données à caractère personnel ayant pour objet la mise à disposition des usagers d'un ou de plusieurs téléservices de l'administration électronique ;Vu le dossier et ses compléments ;Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie par le secrétariat général pour la modernisation de l'action publique (SGMAP), pour le compte du Premier ministre, d'une demande d'avis concernant un projet de décret autorisant les téléservices tendant à la mise en œuvre du droit des usagers de saisir l'administration par voie électronique (SVE).Ce projet de décret vise à permettre l'application de l' ordonnance n° 2014-1330 du 6 novembre 2014 susvisée, qui a instauré un droit
pour les usagers de saisir toute administration par voie électronique, dorénavant codifié à l' article L. 112-8 du code des relations entre le public et l'administration (CRPA).Ce type de saisine peut donner lieu à la mise en œuvre, par les administrations concernées, de téléservices susceptibles de porter sur des données parmi lesquelles figure un identifiant de personne physique et relevant dès lors des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée.Afin de faciliter la mise en œuvre de ces téléservices, le présent projet de décret a vocation à constituer un acte réglementaire unique, au sens de l'article 27-III de la loi  Informatique et Libertés  (désigné ci-après  ARU  ou  RU ), qui permettra la mise en œuvre de différents types de téléservice  SVE  par les administrations saisies à l'initiative des usagers par voie dématérialisée. En application desdites dispositions, ce projet de décret doit être pris après avis motivé et publié de la commission.Sur les finalités et les fonctionnalités des traitementsL'article ler du projet de décret prévoit que les traitements SVE ont pour finalité la mise à disposition d'un ou plusieurs téléservices.Plus précisément, il s'agit d'autoriser les services de l'Etat et les établissements publics administratifs (EPA) à mettre en œuvre les traitements automatisés permettant leur saisine par voie électronique (SVE) afin que les usagers puissent effectuer des démarches administratives de toutes natures, y joindre,
le cas échéant, des pièces justificatives et obtenir une réponse par voie électronique. Cette obligation d'offrir un SVE peut être satisfaite par différents types de dispositifs qui peuvent recouvrir trois formes principales : la simple mise à disposition d'une adresse de messagerie électronique dédiée à recevoir les envois du public ; la création d'un formulaire de contact générique ou dédié, renseigné en ligne et transmis par un canal spécifique ; la mise en œuvre d'une téléprocédure dédiée à l'accomplissement de certaines démarches.L'acte réglementaire unique a vocation à encadrer les procédures  de toutes natures , comme l'accès à des renseignements, la communication de documents administratifs ou d'informations publiques, les agréments liés à la pratique d'une activité ou encore une demande d'obtention de permis de conduire, effectuées à l'initiative de l'usager, qu'il agisse à titre personnel, professionnel ou associatif.Néanmoins, certaines procédures peuvent,  pour des motifs d'ordre public, de défense et sécurité nationale, de nécessité de comparution personnelle de l'usager ou de bonne administration, notamment pour prévenir les demandes abusives , être exclues de cette dématérialisation par décret en Conseil d'Etat, conformément à l'article L. 112-10 du CRPA.De même, le présent projet de décret ne concerne pas les téléservices  SVE  susceptibles d'être mis en œuvre par les collectivités territoriales ou leurs groupements ainsi que par les organismes sociaux. Les
traitements mis en œuvre par ces catégories de responsables seront encadrés par des actes réglementaires distincts, qui devront nécessairement s'articuler avec les cadres juridiques existants en la matière, et notamment l'arrêté du 4 juillet 2013 susvisé. Il n'est actuellement pas prévu que les téléservices  SVE  mis en œuvre par les autorités administratives indépendantes (AAI) soient encadrés par un tel acte réglementaire unique.La commission rappelle qu'elle a toujours considéré que la simplification des démarches administratives et l'amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés.A cet égard, elle rappelle que les conditions de SVE et les obligations afférentes incombant aux administrations sont précisément encadrées par les dispositions du CRPA ainsi que par le décret n° 2015-1404 du 5 novembre 2015 susvisé. Lesdites dispositions prévoient notamment les modalités des notifications et des accusés d'enregistrement et de réception électroniques, ainsi que l'absence de refus exprès de l'usager quant à la réception d'une réponse de l'administration par voie électronique ou encore le recueil préalable de l'accord exprès de l'usager quant à recevoir la notification d'un document en utilisant un procédé électronique.Le  choix des services et des établissements concernés , mentionné au dernier alinéa de
l'article 1er du projet de décret, quant aux modalités de réponse par la voie électronique à une SVE, doit dès lors s'inscrire dans ce cadre juridique.Ainsi, la commission rappelle que les responsables de traitement SVE doivent prévoir les modalités pratiques de nature à mettre l'usager en capacité d'exprimer ses choix.Elle estime en outre que le caractère facultatif de l'usage de l'usage de ces SVE devrait être clairement indiqué aux internautes, dès la page d'accueil du dispositif, de même que les modalités pratiques permettant d'effectuer une démarche analogue sans recourir à la SVE. Il serait également opportun de renvoyer l'usager vers les lieux de médiation numérique afin de lui permettre d'appréhender les modalités d'usage de l'outil de saisine électronique.A titre général, la commission rappelle que les traitements mis en œuvre à des fins de simplification des démarches des usagers doivent être limités aux données strictement nécessaires à l'accomplissement des démarches administratives et, en particulier, que l'accès à une information générale qui peut être mise à disposition de tout internaute ne doit pas être subordonnée à une identification d'un usager. De même, elle estime que le développement de l'administration électronique ne passe pas nécessairement et ne doit pas conduire à la création d'un identifiant unique des administrés et que les traitements de données mis en œuvre dans ce cadre ne doivent pas être utilisés à d'autres fins que l'accomplissement de la
démarche initiée par l'usager.Dans ces conditions, la commission estime que ces finalités sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Dans la continuité des efforts de rationalisation en matière de points d'accès aux services publics dématérialisés, elle recommande, outre l'accès à partir des pages d'accueil des sites internet des services ministériels et des EPA, que l'ensemble de ces administrés puisse également avoir accès à ces téléservices SVE depuis le site  service-public.fr . Cette consultation doit pouvoir intervenir sans que l'internaute soit identifié ou que des données le concernant soient traitées.Sur les catégories de données traitéesL'article 2 du projet de décret énumère les données à caractère personnel enregistrées ou traitées dans les téléservices SVE mis en œuvre par une administration. Par définition, il s'agit de l'ensemble des données que communiqueront les usagers lors de la validation de leur saisine par voie électronique.Il distingue cinq catégories selon que les données sont relatives aux usagers agissant à titre particulier, associatif ou professionnel, ainsi qu'à la traçabilité des accès des agents des autorités administratives concernées.Dans les quatre premiers cas, les données sont relatives :
- à l'identification du demandeur ou de l'agent, qui peuvent donc varier en fonction de l'identité sous laquelle l'usager effectue la démarche (pour l'usager particulier : état civil, coordonnées de toute nature, éléments d'identification administrative ou professionnelle ; pour l'usager professionnel : identité juridique et administrative de l'entreprise et de l'établissement principal, informations civiles et statutaires sur le représentant légal de l'entreprise et sur l'auteur de la saisine, coordonnées utiles ; pour les associations : identification juridique et administrative de l'association et de son représentant légal, de l'auteur de la saisine agissant au nom de l'association ; pour les personnels et agents : identifiant de leur auteur, date, heure et objet de l'opération tracée lors de consultation, création, modification ou suppression de données) ;- à l'objet et aux références de la saisine ;- aux informations relatives aux connexions et accès au téléservice.