AgentPublic/cnil huggingface dataset:
En deuxième lieu, la formation restreinte note que les manquements retenus perdurent à ce jour et sont des violations continues du Règlement. Il ne s’agit ni d’une méconnaissance ponctuelle de la société à ses obligations, ni d’une violation habituelle à laquelle le responsable du traitement aurait mis fin spontanément depuis la saisine de la formation restreinte.
En troisième lieu, la gravité des violations est à apprécier au regard notamment de la finalité des traitements, de leur portée et du nombre de personnes concernées.
A cet égard, la formation restreinte relève que si, selon la société, le scénario retenu pour les investigations en ligne menées par la CNIL correspond directement à seulement 7% de ses utilisateurs, le nombre de personnes ainsi concernées est, par lui-même, particulièrement important. Elle rappelle en outre que les utilisateurs qui configureraient leur mobile sous x en y associant un compte déjà existant se trouvent, s’agissant des documents qui leurs sont communiqués et donc des violations retenues au Règlement, dans une situation analogue à ceux créant pour la première fois un compte, ce que la société n’a pas contesté dans son courrier du 7 décembre 2018.
En outre, la formation restreinte rappelle que la société met en place des traitements de données d’une ampleur considérable compte tenu de la place prépondérante qu’occupe le système d’exploitation x sur le marché français des systèmes d’exploitation mobiles et de la proportion de recours aux ordiphones par les utilisateurs de téléphones en France. Ainsi, les données de millions d’utilisateurs sont traitées par la société dans ce cadre.
Les traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte - à l’occasion de la configuration de son téléphone mobile sous x - apparaissent également d’une envergure considérable au regard du nombre de services impliqués - a minima une vingtaine - et de la variété des données traitées via ou en lien avec le système d’exploitation x. Outre les données fournies par l’utilisateur lui-même lors de la création du compte et de l’utilisation du système d’exploitation, la formation restreinte rappelle qu’une multitude de données issues de son activité est également générée telle que l'historique de navigation web, l'historique d'usage des applications, la géolocalisation de l'équipement, les achats etc. De même, des données sont déduites d’informations fournies par la personne concernée ou son activité, notamment dans le cadre de la personnalisation des annonces. Il s’agit donc d’informations nombreuses et particulièrement éclairantes sur les habitudes de vie des personnes, leurs opinions et interactions sociales. Partant, les données traitées par la société touchent au plus près leur identité et leur intimité.
De plus, la formation restreinte note que des multiples procédés technologiques sont utilisés par la société afin de combiner et analyser des données provenant de différents services, applications ou sources externes. Ils ont indéniablement un effet multiplicateur quant à la connaissance précise que la société a de ses utilisateurs.
En conséquence, la formation restreinte estime que la société dispose d’opérations de combinaisons au potentiel quasi illimité permettant un traitement massif et intrusif des données des utilisateurs.
Compte tenu de la portée des traitements de données - notamment celui de personnalisation de la publicité - et du nombre de personnes concernées, la formation restreinte souligne que les manquements précédemment retenus revêtent une particulière gravité. Un défaut de transparence concernant ces traitements d’ampleur, tout comme l’une absence de consentement valide des utilisateurs au traitement de personnalisation de la publicité constituent des atteintes substantielles à la protection de leur vie privée et se situent à contre-courant des aspirations légitimes des personnes souhaitant conserver la maîtrise de leurs données.
A cet égard, le renforcement des droits des personnes est l’un des axes majeurs du Règlement. Le législateur européen rappelle que L'évolution rapide des technologies et la mondialisation ont créé de nouveaux enjeux pour la protection des données à caractère personnel. L’ampleur de la collecte et du partage de données à caractère personnel a augmenté de manière importante. Les technologies permettent tant aux entreprises privées qu'aux autorités publiques d'utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités (…) Les technologies ont transformé à la fois l'économie et les rapports sociaux (considérant 6). Il souligne ainsi que ces évolutions requièrent un cadre de protection des données solide (…) assorti d'une application rigoureuse des règles, car il importe de susciter la confiance qui permettra à l'économie numérique de se développer dans l'ensemble du marché intérieur. Les personnes physiques devraient avoir le contrôle des données à caractère personnel les concernant. (considérant 7). Le législateur européen regrette, enfin, que la directive 95/46/CE n’ait pas permis d’éviter le sentiment, largement répandu dans le public, que des risques importants pour la protection des personnes physiques subsistent, en particulier en ce qui concerne l'environnement en ligne. (considérant 9).
La formation restreinte considère, ainsi, au regard de l’ampleur des traitements déployés et de la nécessité impérieuse pour les utilisateurs de garder la maîtrise de leurs données, que ceux-ci doivent être mis en situation d’être suffisamment informés de la portée des traitements mis en œuvre et d’y consentir valablement, sauf à priver de base la confiance dans l’écosystème numérique.
En quatrième lieu, la formation restreinte tient à souligner que les manquements doivent être mis en perspective au regard du modèle économique de la société, en particulier de la place du traitement des données des utilisateurs à des fins publicitaires via le système d’exploitation x. Compte tenu des avantages qu’elle retire de ces traitements, la société doit apporter une attention toute particulière à la responsabilité qui lui incombe au titre du RGPD dans leur mise en œuvre.
Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 4% du chiffre d’affaires indiqué au point 2 de la présente décision, qu’une sanction pécuniaire est justifiée à hauteur de 50 millions d’euros, ainsi qu’une sanction complémentaire de publicité pour les mêmes motifs.
Il est également tenu compte de la place prépondérante occupée par la société sur le marché des systèmes d’exploitation, de la gravité des manquements et de l’intérêt que représente la présente décision pour l’information du public, dans la détermination de la durée de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société x, une sanction pécuniaire d’un montant de 50 (cinquante) millions d’euros ;
d’adresser cette décision à la société x en vue de l’exécution de cette décision ;
de rendre publique sa délibération, sur le site de la CNIL et sur le site de Légifrance, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant les articles R. 221-11 et R. 221-12 du code de l'action sociale et des familles relatifs à l'évaluation des personnes se déclarant mineures et privées temporairement ou définitivement de la protection de leur famille et autorisant la création d'un traitement de données à caractère personnel relatif à ces personnes ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code civil, notamment ses articles 375, 375-5 et 388 ;
Vu le code de l'action sociale et des familles, notamment ses articles R. 221-11 et R. 221- 12 ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;
Vu la loi n° 2018-778 du 10 septembre 2018 pour une immigration maîtrisée, un droit d'asile effectif et une intégration réussie, notamment son article 51 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés;
Vu la délibération n° 2018-048 du 8 février 2018 portant avis sur un projet de loi pour une immigration maîtrisée et un droit d'asile effectif ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet de décret modifiant les articles R. 221-11 et R. 221-12 du code de l'action sociale et des familles (CASF) relatifs à l'évaluation des personnes se déclarant mineures et privées temporairement ou définitivement de la protection de leur famille et autorisant la création d'un traitement de données à caractère personnel relatif à ces personnes.
La commission prend acte que le projet qui lui est transmis vise à répondre à certaines difficultés rencontrées par les conseils départementaux dans l'évaluation des mineurs non accompagnés (MNA) dont le nombre a très fortement augmenté dans la période récente.
A ce titre, elle relève tout d'abord que ce projet de décret modifie la procédure d'évaluation des personnes se déclarant mineures et privées temporairement ou définitivement de la protection de leur famille telle que prévue par les articles R. 221- 11 et R. 221-12 du CASF afin d'apporter le concours de l'Etat à l'identification des mineurs.
La commission relève que ce projet vise également à préciser les conditions de mise en œuvre du traitement automatisé de données à caractère personnel mentionné à l' article 51 de la loi n° 2018-778 du 10 septembre 2018 susvisée, qui prévoit qu' afin de mieux garantir la protection de l'enfance et de lutter contre l'entrée et le séjour irréguliers des étrangers en France, les empreintes digitales ainsi qu'une photographie des ressortissants étrangers se déclarant mineurs privés temporairement ou définitivement de la protection de leur famille peuvent être relevées, mémorisées et faire l'objet d'un traitement automatisé dans les conditions fixées par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (…) . A cet égard, la commission rappelle que si elle a été saisie du projet de loi pour une immigration maîtrisée et un droit d'asile effectif, celui-ci ne comportait pas ledit article introduit postérieurement à son avis en date du 8 février 2018, par voie d'amendement.
Dans ce contexte, est créé un traitement automatisé de données à caractère personnel dénommé appui à l'évaluation de la minorité (AEM) , qui a pour finalité d'identifier, à partir de leurs empreintes digitales, les personnes se déclarant mineures et privées temporairement ou définitivement de la protection de leur famille, d'accélérer et fiabiliser l'évaluation de ces personnes et de prévenir le détournement du dispositif de protection de l'enfance par des personnes majeures ou qui se présentent successivement dans des départements différents.
La commission considère que le traitement AEM qui a pour finalités la protection de l'enfance, en permettant l'identification des personnes se déclarant mineures et la lutte contre l'entrée et le séjour irréguliers des étrangers en France, relève du champ d'application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD ). Le traitement de données à caractère personnel, qui doit être regardé, compte tenu de l'économie générale du dispositif décrite ci-après, comme mis en œuvre pour le compte de l'Etat agissant dans l'exercice de ses prérogatives de puissance publique, porte sur des données biométriques nécessaires à l'identification des personnes. Il doit dès lors faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la commission conformément aux dispositions de l'article 27 de la loi du 6 janvier 1978 modifiée.
La commission relève par ailleurs que le projet de décret qui lui est soumis vise à modifier les dispositions du CESEDA relatives aux traitements concernant l'application de gestion des dossiers des ressortissants étrangers en France ( AGDREF 2 ) et VISABIO sur lesquels elle s'est déjà prononcée. Elle observe que cette modification doit permettre, d'une part, l'interrogation de ces traitements dans le cadre de l'évaluation de la situation de la personne se présentant comme mineure et, d'autre part, de rendre destinataires les agents chargés de la protection de l'enfance dans les conseils départementaux des données issues de l'interrogation de ces traitements.
Sur les finalités du traitement AEM et les modifications apportées à AGDREF 2 et VISABIO :
La commission relève que le traitement projeté, qui s'inscrit dans une politique plus générale de prise en compte de la situation des MNA , doit permettre une meilleure efficacité du dispositif d'aide sociale à l'enfance (ASE) tout en permettant de remédier en partie aux difficultés rencontrées par les départements dans la prise en charge de ces mineurs. A ce titre, elle a été informée que ce traitement sera tout d'abord mis en œuvre au sein d'un nombre de sites pilotes limités, et ce préalablement à sa généralisation courant mars 2019.
L'article 2 du projet de décret prévoit ainsi que le traitement AEM a pour finalités de mieux garantir la protection de l'enfance et de lutter contre l'entrée et le séjour irréguliers des étrangers en France, et, à cet effet :
- 1° D'identifier, à partir de leurs empreintes digitales, les personnes se déclarant mineures et privées temporairement ou définitivement de la protection de leur famille et ainsi lutter contre la fraude documentaire et la fraude à l'identité ;
- 2° De permettre une meilleure coordination des services de l'Etat et des services compétents en matière d'accueil et d'évaluation de la situation des personnes mentionnées au 1° ;
- 3° D'accélérer et de rendre plus fiable cette évaluation ;
- 4° De prévenir le détournement du dispositif de protection de l'enfance par des personnes majeures ou des personnes se présentant successivement dans plusieurs départements .
La commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 5-1-c du RGPD.
La commission relève par ailleurs que le traitement projeté vise à permettre l'identification de la personne présentée comme mineure. A cette fin, l'article 3 du projet de décret modifie les finalités des traitements AGDREF 2 et VISABIO afin d'ajouter la détermination et la vérification de l'identité d'un étranger qui se déclare mineur et privé temporairement ou définitivement de la protection de sa famille au titre des finalités actuellement prévues par le CESEDA et ainsi permettre l'interrogation de ces deux traitements dans le cadre du dispositif AEM .
Elle rappelle que le traitement AGDREF 2 a pour finalité principale de garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l'entrée et le séjour irréguliers en France des ressortissants étrangers . Ce traitement constitue ainsi le fichier principal de gestion administrative des étrangers en France et permet notamment la gestion, par les préfectures, des dossiers de ressortissants étrangers, la fabrication des titres de séjour et la gestion des mesures d'éloignement.
La commission rappelle que le traitement VISABIO a quant à lui notamment pour finalité de mieux garantir le droit au séjour des personnes en situation régulière et de lutter contre l'entrée et le séjour irréguliers des étrangers en France, en prévenant les fraudes documentaires .
Il résulte notamment des finalités poursuivies par ces deux traitements que ces derniers sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et qu'ils doivent dès lors faire l'objet d'une analyse d'impact sur la protection des données à caractère personnel (AIPD). Les traitements présentant un risque élevé ayant fait l'objet d'une formalité préalable avant le 25 mai 2018 ne sont toutefois pas immédiatement soumis à la réalisation de cette analyse, à moins que les conditions de mise en œuvre de ces traitements aient fait postérieurement l'objet d'une ou plusieurs modifications substantielles.
Sont ainsi concernés les traitements AGDREF 2 et VISABIO, qui sont, par nature, susceptibles d'engendrer des risques élevés pour les personnes concernées. Si une AIPD a bien été transmise à la commission concernant la modification des dispositions relatives au traitement AGDREF 2 , elle estime que les modifications examinées du traitement VISABIO sont substantielles et qu'en conséquence les évolutions qui lui sont soumises nécessitent également la réalisation d'une analyse d'impact. Elle demande à ce que cette AIPD soit réalisée et lui soit, le cas échéant, transmise avant la mise en œuvre effective du traitement AEM .
ur la procédure d'identification de la personne se présentant comme mineure étrangère privée temporairement ou définitivement de la protection de sa famille :
A titre liminaire, la commission relève que le président du conseil départemental n'a pas l'obligation de solliciter le concours de l'Etat dans la réalisation de la procédure d'évaluation de la minorité. Ainsi, le mineur concerné ne serait pas systématiquement reçu en préfecture aux fins de vérification de son identité dans les conditions décrites ci-après.
Elle rappelle par ailleurs que dans l'hypothèse où une personne se présentant comme mineure refuserait de se soumettre à la collecte de ses empreintes digitales, l'information relative à ce refus sera transmise par la préfecture au président du conseil départemental. A cet égard, la commission souligne qu'un tel refus ne peut légalement et à lui seul, sans examen circonstancié de la situation, emporter des conséquences négatives pour la personne concernée.
En premier lieu, la commission prend acte de ce que la vérification de l'identité de la personne se présentant comme mineure se traduit dans un premier temps par la collecte de ses empreintes digitales, sans pour autant que celles-ci fassent l'objet d'un enregistrement, aux fins d'interrogation des bases AGDREF 2 et VISABIO.
Dans l'hypothèse d'une concordance, c'est-à-dire si la personne est déjà connue d' AGDREF 2 et/ou de VISABIO, et qu'elle y est enregistrée comme personne majeure étrangère, le préfet informe le conseil départemental de l'enregistrement de la personne concernée, ainsi que du motif d'enregistrement, dans ces traitements. A cet égard, la commission prend acte que les données ainsi transmises par le préfet au président du conseil départemental, issues des traitements AGDREF 2 et VISABIO, sont limitées à l'état civil de la personne (nom, prénom, date et lieu de naissance) et au motif d'enregistrement dans ce(s) traitement(s).
Elle rappelle qu'une attention particulière devra être portée aux conséquences d'une concordance avec le traitement VISABIO, compte tenu des enjeux spécifiques de fiabilité de certaines des données qui y sont enregistrées et notamment celles des empreintes digitales des mineurs ou des documents d'état civil.
Si la personne n'est pas connue d' AGDREF 2 en tant que personne s'étant déclarée mineure mais ayant déjà été évaluée majeure, l'agent de préfecture procède à la collecte des données d'état civil de la personne, à son enrôlement biométrique (collecte de ses empreintes digitales) et à l'enregistrement de l'image numérisée de son visage, aux fins de création d'une procédure AEM . A l'issue de la collecte de ces données, le traitement AEM permet de vérifier que la personne n'est pas déjà enregistrée en base, au moyen des données précédemment collectées. Si le système détecte une identité semblant correspondre à ces données, les données relatives à celle-ci sont affichées à l'agent de préfecture, ce dernier devant dès lors déterminer si la personne correspond effectivement à l'identité connue d' AEM . Il est possible à ce stade qu'une évaluation soit déjà en cours dans un autre département, ou que la personne ait déjà été déclarée mineure.
Dans ces deux hypothèses, l'information est transmise par la préfecture au président du conseil départemental à qui il reviendra de prendre l'attache du président du conseil départemental en charge de l'évaluation initiale. Si la personne a été évaluée majeure, cette information pourra être prise en compte par le président du conseil départemental pour décider d'interrompre le cas échéant l'évaluation. Si l'agent considère que la personne ne correspond pas à cette identité, la procédure d'enregistrement se poursuit normalement et l'agent de préfecture poursuit la création de la procédure AEM . Les données ainsi recueillies, à l'exception de l'image numérisée des empreintes digitales, sont éditées sous format PDF et transmises par voie dématérialisée et chiffrée au conseil départemental concerné, pour permettre la réalisation de la procédure d'évaluation de la minorité, telle que prévue par les articles R. 221-11 et R. 221-12 du CASF.
La commission rappelle que, conformément aux dispositions de l'article 51 de la loi n° 2018-778 du 10 septembre 2018 susvisée, aucun dispositif de reconnaissance faciale ne pourra être mis en œuvre à partir de la photographie collectée.
Elle relève que le projet de décret prévoit explicitement que le traitement AEM ne comporte aucun dispositif de recherche permettant l'identification à partir de l'image numérisée du visage. A cet égard, le ministère a précisé que l'identification de la personne concernée aux fins notamment de comparaison avec les bases précitées sera exclusivement subordonnée à une intervention humaine de l'agent de préfecture ou du conseil départemental chargé de s'assurer de la correspondance entre l'image numérisée du visage et l'image de la personne présente. Elle prend également acte de ce que les images numérisées des visages ne seront pas utilisées pour des comparaisons biométriques, les seules vérifications réalisées à partir de ces images étant des vérifications visuelles réalisées par les agents.
Sur les données collectées :Sur les données enregistrées dans le traitement AEM 
L'article 2 du projet de décret prévoit, d'une part, que peuvent faire l'objet d'un enregistrement dans le traitement projeté : les images numérisées du visage et des empreintes digitales de deux doigts des personnes qui se déclarent mineures et privées temporairement ou définitivement de la protection de leur famille.
Cet article prévoit, d'autre part, que peuvent également être enregistrées dans le traitement, des données et informations relatives aux personnes qui se déclarent mineures , dans la mesure où de telles données sont disponibles.