AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'agriculture et de l'alimentation d'une demande d'avis concernant un projet de décret modifiant le décret n° 2017-916 du 9 mai 2017 relatif aux modalités de tenue et de mise à jour du registre des actifs agricoles ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la ·protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 311-1 et L. 311-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2014-1170 du 13 octobre 2014 d'avenir pour l'agriculture, l'alimentation et la forêt ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2017-131 du 27 avril 2017 portant avis sur un projet de décret relatif à la mise en œuvre d'un traitement de données à caractère personnel ayant pour fmalité la création du registre des actifs agricoles ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission souligne qu'elle a été saisie du présent projet de texte antérieurement à l'application du règlement général sur la protection des données (RGPD), sur le fondement de l'article 11-4 (a°). Compte tenu de l'évolution du cadre juridique depuis, la commission précise que le texte est examiné au regard des dispositions du RGPD.
Le ministère de l'agriculture et de l'alimentation souhaite modifier le traitement automatisé de données à caractère personnel relatif au registre des actifs agricoles créé par le décret n° 2017-916 du 9 mai 2017, lequel permet plus précisément :
- de faciliter la reconnaissance des agriculteurs professionnels répondant aux critères fixés par les articles L. 311-1 et L. 311-2 du code rural et de la pêche maritime ;
- de simplifier les échanges avec les divers organismes auxquels les agriculteurs s'adressent régulièrement, notamment pour l'accès aux prêts ;
- d'établir des statistiques afin de mieux connaître le nombre d'agriculteurs professionnels et leurs activités.
Dans le cadre de l'alimentation du registre des actifs agricoles, les caisses de sécurité sociale agricole (MSA) et les centres de formalités des entreprises (CFE) transmettent à l'assemblée permanente des chambres d'agriculture (ACPA) les données mentionnées par le décret n° 2017-916.
Le présent projet de décret modifie le traitement existant en étendant, d'une part, le périmètre de fonctionnement du traitement afin de permettre la transmission par le groupement d'intérêt économique info-greffe (GlE) à l'ACPA de certaines informations déjà prévues par le décret n° 2017-916 mais qui ne peuvent pas être fournies par les MSA et les CFE, et d'autre part, la durée de conservation.
En effet, certaines informations déjà prévues par le décret susvisé et plus particulièrement les décisions rendues en matière de procédure collective, l'origine de l'exploitation agricole, ainsi que la dénomination, la forme juridique, la durée de la personne morale, le numéro de SIRET, la date et le lieu d'immatriculation au registre du commerce et des sociétés et la date d'agrément d'un groupement agricole d'exploitation en commun (GAEC) ne peuvent être transmises que par le GIE info­ greffe.
En outre, les données à caractère personnel seront conservées pendant un délai de trois mois à partir de la radiation de l'intéressé afin notamment de permettre à l'ACPA de délivrer des attestations de radiation.
La commission précise que ces modifications n'appellent pas d'observation au regard des dispositions du règlement général sur la protection des données.
Le vice-président délégué,
M.-F. Mazars
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu le règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2007-284 du 2 mars 2007 modifié fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu l’arrêté du 13 juin 2014 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques ;
Vu l’arrêté du 20 avril 2016 portant approbation du référentiel général d'interopérabilité ;
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice d’accomplissement des formalités préalables a pour objet de permettre aux responsables de traitements de réaliser, auprès de la CNIL, les formalités prévues par les textes en vigueur, notamment par la loi du 6 janvier 1978 modifiée, avant la mise en œuvre de certains traitements de données à caractère personnel.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
Le règlement général sur la protection des données et la loi du 6 janvier 1978 modifiée imposent notamment au responsable d’un traitement de données à caractère personnel de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
Le référentiel général d’interopérabilité, prévu par l’article 11 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 20 avril 2016. Il comporte un ensemble de normes et bonnes pratiques qui favorisent l'interopérabilité au sein des systèmes d'information de l'administration.
IV. Sur l’évaluation et la réduction des risques
L’étude des risques a permis d’identifier, pour le téléservice concerné, les biens à protéger, les menaces et les objectifs de sécurité pour se protéger de manière proportionnée face aux risques. Les exigences du référentiel général de sécurité sont mises en œuvre.
L’étude des risques conduite dans le cadre de l’homologation de sécurité a également permis d’évaluer les garanties en matière de protection des données à caractère personnel ainsi que la conformité du téléservice en matière d’interopérabilité.
Un plan d’action visant à réduire les risques identifiés a été élaboré en concertation avec les services de la Commission chargés de la mise en œuvre du téléservice.
 
Considérant l’ensemble de ces éléments, décide :
la mise en œuvre des mesures prévues dans le plan d’action présenté dans le cadre du dossier d’homologation, et leur suivi par le responsable de la sécurité des systèmes d’information de la CNIL ;
l’homologation de sécurité du téléservice, au vu de l’étude des risques réalisée et du plan d’action associé, jusqu’au 31 décembre 2019.
 
 
La Présidente
 
I. FALQUE-PIERROTIN
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice du droit d’accès indirect a pour objet de permettre aux requérants d’adresser à la CNIL une demande d’accès à certains traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publiques, ainsi que le contrôle ou le recouvrement des impositions, entrant dans le champ d’application des articles 41, 42 et 70-21 de la loi du 6 janvier 1978 modifiée.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
la mise en œuvre des mesures prévues dans le plan d’action présenté dans le cadre du dossier d’homologation, et leur suivi par le responsable de la sécurité des systèmes d’information de la CNIL ;
l’homologation de sécurité du téléservice, au vu de l’étude des risques réalisée et du plan d’action associé, jusqu’au 31 décembre 2019.
 
 
La Présidente
 
 
 
I. FALQUE-PIERROTIN
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice de déclaration de l’autorité chef de file ( autorité lead ) a pour objet de permettre aux responsables de traitement qui mettent en œuvre des traitements transfrontaliers au sein de l’Union européenne de déclarer la CNIL en tant qu’autorité chef de file au sens de l’article 56 du règlement général sur la protection des données (RGPD).
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice de dépôt des analyses d’impact relatives à la protection des données (AIPD ou DPIA) et des demandes de conseil a pour objet de permettre aux responsables de traitements de saisir la CNIL dans les cas prévus aux articles 36 et 57 du règlement général sur la protection des données (RGPD) et à l’article 11 de la loi du 6 janvier 1978 modifiée.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice de désignation des délégués à la protection des données (DPO) a pour objet de permettre aux responsables de traitements de données à caractère personnel et aux sous-traitants de désigner un délégué à la protection des données auprès de la CNIL, conformément à l’article 37.7 du règlement général sur la protection des données (RGPD) et à l’article 70-17 de la loi du 6 janvier 1978 modifiée.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice de notification de violation de données à caractère personnel a pour objet de permettre aux responsables de traitements et aux fournisseurs de services de communications électroniques accessibles au public de notifier à la CNIL les violations de sécurité engendrant un risque pour les droits et libertés des personnes concernées, conformément à l’article 33 du règlement général sur la protection des données (RGPD) et aux articles 34 bis et 70-16 de la loi du 6 janvier 1978 modifiée.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
Vu la circulaire du Premier ministre du 17 juillet 2014 relative à la politique de sécurité des systèmes d’information de l’État et son annexe ;
Vu la note de la Présidente de la CNIL du 14 avril 2014 relative à l’organisation de la sécurité des systèmes d’information à la CNIL ;
Vu la politique de sécurité des systèmes d’information de la CNIL ;
Vu les pièces composant le dossier d’homologation de sécurité ;
 
Observe :
I. Sur le téléservice
Le téléservice de plainte en ligne a pour objet de permettre aux usagers de saisir la CNIL d’une réclamation relative à la mise en œuvre d’un traitement de données à caractère personnel, conformément à l’article 57 du règlement général sur la protection des données (RGPD) et à l’article 11 de la loi du 6 janvier 1978 modifiée.
II. Sur le référentiel général de sécurité
Le référentiel général de sécurité, prévu par l’article 9 de l’ordonnance du 8 décembre 2005, a été approuvé, dans sa version 2.0, par l’arrêté du 13 juin 2014. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations. Il a pour objet le renforcement de la confiance des usagers dans les services électroniques mis à disposition par les autorités administratives.
III. Sur les autres référentiels
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-292C du 21 octobre 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu la décision de la Présidente de la Commission n° 2017-049 du 26 juillet 2017 mettant en demeure la société X ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 19 avril 2018 ;
Vu le rapport de Madame Marie-France MAZARS, commissaire rapporteur, notifié par porteur à la société X le 1er juin 2018 ;
Vu les observations écrites de la société X reçues le 10 juillet 2018, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 12 juillet 2018 :
Madame Marie-France MAZARS, Commissaire, en son rapport ;
En qualité de représentants de la société X :
[…] ;
[…] ;
En qualité de conseil de la société X :
[…] ;
Les représentants de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) est une société par actions simplifiée, dont le siège social se situe […]. Un établissement secondaire de l’entreprise est situé au […].
La société a une activité de télésurveillance d’ascenseurs et de parkings. Elle emploie 14 personnes, dont 13 téléopérateurs, et a réalisé en 2017 un chiffre d’affaires de 816.691 euros.
Le 21 juin 2015, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été saisie d’une plainte concernant la mise en place d’un dispositif de vidéosurveillance/vidéoprotection dans les locaux de la société situés […].
En application de la décision n° 2016-292C de la Présidente de la Commission du 21 octobre 2016, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société le 3 novembre 2016.
Au cours du contrôle, la délégation a constaté qu’un dispositif de pointage biométrique à des fins de contrôle des horaires des salariés était mis en œuvre, sans autorisation de la CNIL. Il a également été constaté qu’un dispositif d’enregistrement des appels téléphoniques était mis en place sans que les salariés en soient informés. En outre, il a été constaté que lors d’un appel entrant, les interlocuteurs n’étaient notamment pas informés de l’identité du responsable du traitement et du droit d’opposition dont ils disposent.
De plus, la délégation de la CNIL a constaté que les mots de passe permettant d’accéder à l’environnement Windows et au logiciel […] contenant les données enregistrées via le boîtier biométrique étaient composés respectivement de 9 caractères alphanumériques et de 4 caractères numériques. La délégation a constaté, d’une part, que l’accès à l’outil de gestion de la société dénommé […] s’effectue via un mot de passe composé de 6 caractères alphabétiques et, d’autre part, une absence de verrouillage automatique des sessions sur certains postes de travail. Enfin, elle a été informée que le mot de passe d’accès au logiciel […] n’avait pas été modifié depuis 2011.
Le procès-verbal de constat n° 2016-292 dressé à l’issue de cette mission a été adressé à la société par courrier du 7 novembre 2016.
Au vu des manquements relevés, la Présidente de la CNIL a mis en demeure la société, par décision n° 2017-049 du 26 juillet 2017, dans un délai de trois mois de :
 ne collecter et traiter que de données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs, en particulier cesser d’utiliser le dispositif biométrique de reconnaissance de l’empreinte digitale pour contrôler les horaires des salariés et supprimer toutes les données qui ont été collectées par un tel dispositif ;
procéder à l’information des personnes concernées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, notamment concernant le dispositif d’enregistrement des appels téléphoniques :
procéder à l’information des salariés en portant notamment à leur connaissance les mentions relatives à l’identité du responsable de traitement, la finalité du traitement, les destinataires des données issues du dispositif, la durée de conservation des données traitées ainsi que les droits des personnes concernées, le droit d’opposition pouvant en l’espèce prendre la forme d’une désactivation de l’enregistrement ou d’un accès à une ligne téléphonique non reliée au système d’enregistrement pour l’émission d’appels personnels ou internes à la société ;
procéder à l’information des interlocuteurs en cas d’appels sortants et entrants par une mention orale en début de conversation intégrant par exemple la possibilité de s’opposer à l’enregistrement ainsi qu’un renvoi vers un site internet ou vers une touche du téléphonique pour la délivrance de l’ensemble des mentions d’information prescrites ;
prendre toute mesure nécessaire pour garantir la sécurité et la confidentialité des données à caractère personnel traitées, notamment en :