AgentPublic/cnil huggingface dataset:
S’agissant du premier critère, la formation restreinte rappelle que dans son arrêt Weltimmo, du 1er octobre 2015, la Cour de justice de l’Union européenne a précisé que la notion d’établissement, au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable , le critère de stabilité de l’installation étant examiné au regard de la présence de moyens humains et techniques nécessaires à la fourniture de services concrets en question (points 30 et 31 de l’arrêt).
En l’espèce, la formation restreinte relève tout d’abord que la qualité d’établissement de la société X n’est pas contestée. Elle relève ensuite que cette société dispose de locaux stables situés en France au sein desquels ses employés sont notamment en charge d’activités de support à l’attention des conducteurs et de la réalisation de campagnes marketing du groupe sur le territoire français.
La formation restreinte considère donc, au vu de ces éléments et à la lumière de la jurisprudence de la Cour de justice de l’Union européenne en la matière, que la société X dispose d’une installation stable sur le territoire français au moyen de laquelle elle exerce une activité réelle et effective grâce à des moyens humains et techniques nécessaires notamment à la fourniture des services des sociétés Y et Z.
S’agissant du second critère, la formation restreinte rappelle que dans son arrêt Costeja du 13 mai 2014, la Cour de justice de l’Union européenne a précisé qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement lorsque celui-ci est destiné à assurer l’activité de promotion et de vente des espaces publicitaires pour les besoins d’une entreprise située dans un État tiers. Elle relève qu’en l’espèce, la société X réalise des campagnes marketing pour promouvoir les services de la société […] et assure un service de support auprès des clients et des conducteurs. Par conséquent, le traitement en cause doit être regardé comme étant effectué dans le cadre des activités d’un établissement des responsables de traitements que sont les sociétés Y et Z.
La formation restreinte conclut que les deux critères prévus par l’article 4.1 a) de la directive et l’article 5.I.1° de la loi Informatique et Libertés étant remplis, le droit français s’applique, y compris la possibilité pour la CNIL de prononcer une sanction pécuniaire.
Sur le destinataire de la mesure
La société […] considère que la CNIL ne peut imposer une sanction qu’à un responsable de traitement et non à un simple établissement à qui les manquements à la loi Informatique et Libertés ne sauraient être imputés. Elle rappelle qu’en l’espèce, la survenance de la violation de données est uniquement imputable à Y en tant que responsable de traitement. Elle estime par conséquent que prononcer une sanction à l’encontre de la société X constituerait une violation manifeste du principe de personnalité des peines.
La formation restreinte rappelle que la Cour de Justice de l’Union européenne a dit pour droit dans son arrêt Wirtschaftsakademie Schleswig-Holstein GmbH du 5 juin 2018 que lorsqu’une entreprise établie en dehors de l’Union dispose de plusieurs établissements dans différents Etats membres, l’autorité de contrôle d’un Etat membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet Etat membre alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit Etat membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union, à un établissement situé dans un autre Etat membre.
Cela implique par conséquent que, dès lors qu’un pouvoir dont une autorité de contrôle d’un État membre souhaite faire usage entre dans le champ de cet article, il peut être exercé à l’égard de l’établissement du responsable de traitement situé sur le territoire de cet État membre, quel que soit le type de pouvoir envisagé.
L’article 28, paragraphe 3, de la directive 95/46/CE du 24 octobre 1995 relative à la protection des données dispose que :
 Chaque autorité de contrôle dispose notamment :
de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle,
de pouvoirs effectifs d’intervention, tels que, par exemple, celui de rendre des avis préalablement à la mise en œuvre des traitements, conformément à l’article 20, et d’assurer une publication appropriée de ces avis ou celui d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement, ou celui d’adresser un avertissement ou une admonestation au responsable du traitement ou celui de saisir les parlements nationaux ou d’autres institutions politiques, […] 
La portée des pouvoirs dont disposent les autorités de contrôle en application de l’article 28, paragraphe 3, de la directive a été précisée par la Cour de Justice de l’Union européenne notamment dans sa décision Weltimmo précitée.
En effet, au point 49 de sa décision, la Cour a indiqué que Compte tenu du caractère non exhaustif des pouvoirs ainsi énumérés et du type de pouvoirs d’intervention mentionnés à cette disposition ainsi que de la marge de manœuvre dont disposent les États membres pour la transposition de la directive 95/46, il y a lieu de considérer que ces pouvoirs d’intervention peuvent comprendre celui de sanctionner le responsable du traitement de données en lui infligeant, le cas échéant, une amende. 
En droit interne, la possibilité pour la formation restreinte de la CNIL de prononcer une sanction pécuniaire est expressément prévue par l’article 45 de la loi Informatique et Libertés (dans sa version applicable au jour des faits) qui constitue la transposition des dispositions de l’article 28, paragraphe 3, de la directive.
La formation restreinte considère donc que dans la mesure où le pouvoir de prononcer une sanction pécuniaire entre dans le champ prévu par l’article 28, paragraphe 3, de la directive, que cette possibilité est offerte par l’article 45 de la loi Informatique et Libertés et que la société X constitue un établissement des sociétés Z. et Y, responsables de traitements, il résulte de ces dispositions, telles qu’éclairées par la jurisprudence de la Cour de Justice de l’Union européenne, que le pouvoir de prononcer une sanction pécuniaire peut être exercé à l’encontre de la société X. Compte tenu, par ailleurs, de la nature des liens entre la société X et les responsables du traitement, qui mettent en œuvre leurs opérations de traitement dans le cadre des activités propres de leur établissement français, le prononcé d’une sanction pécuniaire à l’encontre de ce dernier ne saurait être regardé comme méconnaissant le principe de personnalité des peines.
Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si la société […] a manqué à son obligation de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel traitées et, en particulier, celles des utilisateurs du service […], afin notamment que ces données ne soient pas accessibles à des tiers non autorisés.
En défense, la société estime qu’elle n’a commis aucun manquement à ses obligations dans la mesure où, préalablement à la survenance de la violation, elle avait mis en place des mesures de sécurité suffisantes.
Tout d’abord, s’agissant de la sécurisation de l’accès à la plateforme GitHub, la société estime ne pas avoir fait preuve de négligence en autorisant ses ingénieurs à utiliser des identifiants personnels pour se connecter à GitHub. Elle précise que cette pratique constitue d’ailleurs une recommandation émise par la plateforme GitHub relative aux bonnes pratiques en matière de développement de projets. Elle explique que la mise en place d’une mesure d’authentification multifactorielle sur GitHub n’était pas obligatoire dans la mesure où cette plateforme n’était pas utilisée comme un outil interne à la société sur laquelle étaient conservées des données à caractère personnel.
La formation restreinte relève que la plateforme GitHub étant utilisée par […], elle constituait un outil de travail central dans le développement des activités de la société, dont l’accès aurait dû être encadré par des règles de sécurité adéquates. En l’espèce, nonobstant la recommandation de la plateforme GitHub, il revenait bien à la société, en tant que responsable de traitement, d’adopter des règles à même de garantir la sécurité des informations stockées sur GitHub qui, si elles ne constituaient pas en elles-mêmes des données à caractère personnel (il s’agissait des clés d’accès aux serveurs […]), permettaient en revanche d’accéder directement à une grande quantité de données relatives aux utilisateurs du service […], puisque ces données étaient conservées sur les serveurs […].
La formation restreinte relève que la possibilité de mettre en place une mesure d’authentification multifactorielle était exposée dans la même recommandation que celle référencée par la société. […]
Enfin, la formation restreinte considère que l’absence de processus relatif au retrait des habilitations des anciens ingénieurs constitue une négligence importante puisque la société était dans l’impossibilité de garantir que des personnes ayant quitté la société ne continuaient pas d’accéder aux projets développés sur Github.
Ensuite, s’agissant de la présence en clair d’identifiants d’accès aux serveurs […] dans du code source stocké sur la plateforme GitHub, la société explique qu’il s’agissait d’un incident isolé attribuable à une erreur humaine. Elle précise qu’au moment de l’incident […].
La formation restreinte rappelle qu’en matière d’authentification, il est important de veiller à ce que des identifiants permettant de se connecter de manière sécurisée à des serveurs contenant une grande quantité de données à caractère personnel ne puissent pas être divulgués. Il est donc impératif que de tels identifiants ne soient pas stockés dans un fichier qui ne serait pas protégé. Au demeurant, la formation restreinte note que la société […] recommande elle-même aux utilisateurs de ses services […] de ne pas stocker directement des identifiants dans des fichiers de code.
La formation restreinte considère que la décision de la société […] démontre qu’elle avait conscience d’une part, que des identifiants d’accès étaient potentiellement présents dans son code source et d’autre part, que la présence de telles informations au sein de GitHub était une source de risques.
Par ailleurs, s’agissant de l’absence de sécurisation de l’accès aux serveurs, la société explique […]
La formation restreinte relève que si une mesure […].
Enfin, la société explique que la mise en place d’une mesure de filtrage des adresses IP autorisées à accéder aux serveurs […].
La formation restreinte considère que lorsque des collaborateurs sont amenés à se connecter à distance aux serveurs utilisés par une entreprise, la sécurisation de cette connexion constitue une précaution élémentaire afin de préserver la confidentialité des données traitées. Cette sécurisation peut, par exemple, reposer a minima sur la mise en place d’une mesure de filtrage des adresses IP afin que seules soient exécutées des requêtes provenant d’adresses IP identifiées, ce qui permet d’éviter toute connexion illicite, en sécurisant les échanges de données et en authentifiant les utilisateurs.
Elle considère que compte tenu du nombre très important de personnes dont les données personnelles sont conservées les serveurs […], la mise en place d’un système de filtrage des adresses IP, quand bien même cela nécessitait un long développement, constituait un effort nécessaire qui aurait dû être planifié dès le début de l’utilisation des services […].[…].
Au regard de ces éléments, la formation restreinte relève que la société a fait preuve de négligence en ne mettant pas en place certaines mesures élémentaires de sécurité. Ce manque de précautions généralisé est manifeste dans la mesure où le succès de l’attaque menée par les pirates a résulté d’un enchainement de négligences, illustré par les trois étapes de l’attaque. La formation restreinte considère donc que la société n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données traitées et que le manquement à l’article 34 de la loi du 6 janvier 1978 modifiée est constitué.
Sur la sanction et la publicité
La formation restreinte rappelle que la présente décision concerne un manquement continu qui s’est prolongé après le 7 octobre 2016, date d’entrée en vigueur de la Loi pour une République numérique , et qui a été constaté à l’occasion de violation de données des faits. Par conséquent, les manquements reprochés à la société […] doivent être appréciés sous l’empire de cette loi, qui assure la transposition en droit interne de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 (ci-après la directive ) et qui était applicable à l’époque des faits.
Aux termes du I de l’article 45 de la loi du 6 janvier 1978 modifiée, dans sa version applicable au jour des constats
Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.
Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :
1° Un avertissement ;
2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;
3° Une injonction de cesser le traitement, lorsque celui-ci relève de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
 Lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable, et après une procédure contradictoire, les sanctions prévues au présent I. 
Les alinéas 1er et 2ème de l’article 47 de la loi précitée, dans sa version applicable au jour des constats, précisent que :
Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Commission nationale de l'informatique et des libertés prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d'atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.
Le montant de la sanction ne peut excéder 3 millions d'euros .
La société considère que le montant de 400 000 euros n’est pas justifié dès lors que les données concernées par la violation ne sont pas des données sensibles, qu’elle a réagi promptement en prenant les mesures nécessaires afin de limiter l’impact de la violation, qu’elle a communiqué l’existence de la violation au public, que la violation n’a causé aucun préjudice aux personnes concernées et qu’elle a coopéré avec la CNIL.
La formation restreinte rappelle que le fait que les données accessibles ne contiennent aucune donnée pouvant être qualifiée de sensible , au sens de l’article 8 de la loi Informatique et Libertés , est sans influence sur la caractérisation du manquement à l’obligation incombant à un responsable de traitement d’assurer la sécurité des données qu’il traite. Elle souligne en outre que la violation de données a concerné 1,4 million d’utilisateurs, soit un nombre très important de personnes, et des données identifiantes tels que le nom, le prénom, l’adresse de courrier électronique, la ville ou pays de résidence et le numéro de téléphone mobile.
Par ailleurs, si aucun dommage subi par les personnes à la suite de la violation de données n’a été rapporté à ce jour, la preuve de l’absence totale de dommage ne peut être invoquée par la société. Au demeurant, il est établi que les attaquants se sont emparés des données leur laissant ainsi la possibilité, quoique soutienne la société, d’un usage ultérieur.
Au regard des éléments développés ci-dessus, les faits constatés et le manquement constitué à l’article 34 de la loi du 6 janvier 1978 modifiée justifient que soit prononcée une sanction d’un montant de 400 000 (quatre cent mille) euros.
Enfin, la formation restreinte considère qu’au regard de la gravité du manquement précité, du contexte actuel dans lequel se multiplient les incidents de sécurité et de la nécessité de sensibiliser les responsables de traitements et les internautes quant aux risques pesant sur la sécurité des données, il y a lieu de rendre publique sa décision, conformément à l’article 46 de la loi du 6 janvier 1978.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X, agissant en tant qu’établissement des sociétés Z et Y, une sanction pécuniaire d’un montant de 400 000 (quatre cent mille) euros ;
de rendre publique sa délibération sur le site de la CNIL et sur le site de Légifrance, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
 
 Le Président
 Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ , président, M. Alexandre LINDEN, vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et Monsieur Maurice RONAI, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 45 et suivants ;
Vu le décret no 2005-1309 du 20 octobre 2005 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret no 2007-451 du 25 mars 2007 ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2018-058C du 6 mars 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de l’ensemble des traitements de données à caractère personnel accessibles ou ayant été accessibles depuis le domaine […] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 1er octobre 2018 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à la société X le 5 octobre 2018 ;
Vu les observations écrites du conseil de la société X reçues le 31 octobre 2018 ;
Vu la réponse du rapporteur aux observations de la société X, notifiée le 15 novembre 2018 au conseil de la société ;
Vu les nouvelles observations écrites du conseil de la société X reçues le 29 novembre 2018 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 décembre 2018 :
M. François PELLEGRINI, commissaire, en son rapport ;
En qualité de représentant de la société X :
[…]
Les représentants de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X est un opérateur de télécommunications français sis […]. Le capital de la société est détenu à 90,5 % par le groupe Y et à 9,5 % par le groupe Z.
L’entreprise compte environ 7 000 salariés et 17,8 millions de clients (14,4 millions de clients pour la téléphonie mobile et 3,4 millions de clients box ). Elle a réalisé, en 2017, un chiffre d’affaires de plus de 5 milliards d’euros, pour un résultat net de 260 millions d’euros.
Dans le cadre de son activité commerciale, elle édite et gère le site web xxx et offre à ses clients, sur cette plateforme, la possibilité de se connecter à un espace personnel afin, notamment, d’éditer des documents administratifs liés à leur contrat, dont des factures.
Le 2 mars 2018, la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la commission ) a été informée, dans le cadre d’un signalement, de l’existence d’un défaut de sécurité sur le site web xxx. Ce courriel faisait état de la possibilité d’accéder à des documents contenant des données à caractère personnel de clients de la société à partir de plusieurs adresses URL ayant une structure identique.
Les 6 mars 2018, la société X a notifié à la CNIL la violation de données par le biais du formulaire mis à disposition par la commission.
Le 9 mars 2018, en application de la décision no 2018-058C du 6 mars 2018 de la présidente de la commission, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société X. À l’occasion de ce contrôle, la délégation a été informée que la société avait été avisée de la violation de données par un message adressé à son compte institutionnel sur le réseau social Twitter.
A la suite du signalement, les équipes de la société ont reproduit l’incident : les adresses URL composées comme suit
xxxx, où X représente un nombre entier, permettaient d’afficher le contrat de souscription d’un client. À partir de cette adresse URL, et en modifiant la valeur de X , il était possible d’afficher le contrat d’un autre client.
Les données concernées par la violation étaient contenues dans une table, intitulée archived_contract_invoice , composant la base de données MySQL du site de la société. Parmi les 2 788 289 lignes de la table, la société a indiqué que la violation ne permettait d’accéder qu’aux données contenues dans 2 176 236 lignes visant des clients […], sans comprendre de clients X ni de clients professionnels.
Une première série de mesures a été déployée le 5 mars 2018 afin d’empêcher l’accès aux données, avant que les équipes techniques ne découvrent l’origine exacte de la vulnérabilité et y remédient.