AgentPublic/cnil huggingface dataset:
Sans remettre en cause la durée de conservation telle que prévue par le projet d’arrêté, la Commission relève que dans l’hypothèse où une personne enregistrée dans le traitement ferait l’objet d’une décision judiciaire définitive de non-lieu, de relaxe ou d’acquittement, seule l’information par l’autorité judiciaire du service gestionnaire est de nature à conduire les services à effacer, de manière manuelle, les données enregistrées dans le traitement.
A cet égard, la Commission rappelle qu’indépendamment des contraintes fonctionnelles évoquées, il incombe au responsable de traitement de traiter des données exactes et tenues à jour, et de les conserver pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées.
Sous réserve des observations formulées ci-dessus, la Commission estime que la durée de conservation de deux ans, à compter du terme du contrôle judiciaire, prévue à l’article 4 du projet d’arrêté, est conforme aux dispositions de l’article 4-5° de la loi du 6 janvier 1978 modifiée.
Enfin, le projet d’arrêté précise que les opérations de collecte, de modification, de consultation, de communication, d’interconnexion et de suppression des données à caractère personnel et informations font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération. Ces informations sont conservées six ans .
A cet égard la Commission rappelle que, sauf justification particulière, la durée de conservation des traces préconisée est de six mois. Si elle prend acte des éléments apportés par le ministère, elle estime qu’une durée inférieure à six ans aurait pu être retenue s’agissant de la conservation de ces journaux. Elle considère par ailleurs qu’une telle durée ne semble pas justifiée dès lors que les données de traçabilité ne permettront pas de déterminer les données auxquelles il aura été précisément accédé ayant été effectivement été consultées au-delà des deux ans pendant lesquelles ces données seront conservées.
Sur les destinataires 
L’article 4 du projet d’arrêté prévoit qu’ont seuls accès à tout ou partie des données et informations mentionnées à l’article 2, à raison de leurs attributions et dans la limite du besoin d’en connaitre : les personnels affectés dans les services de police nationale ou unités de gendarmerie nationale chargés de la mise en œuvre et du suivi des mesures au niveau local d’une part, ou de la supervision des mesures, d’autre part.
A ce titre, la Commission souligne que les contrôles judiciaires prononcés en matière de terrorisme et de droit commun ne relèvent pas du même ressort, et ne sont pas supervisées par les mêmes services. Dès lors, elle prend acte que l’accès aux données enregistrées dans le traitement sera cloisonné pour chaque service accédant au regard de sa compétence. Dans ces conditions, un tel accès n’appelle pas d’observation particulière.
Le projet d’arrêté prévoit par ailleurs que peuvent être destinataires des données enregistrées dans le traitement :
les magistrats et les personnels du ministère de la justice relevant de leur autorité ayant à connaitre du déroulement de l’exécution des mesures ;
les personnels de la police nationale et de la gendarmerie nationale pour les besoins d’une procédure pénale ;
les personnels des services du ministère de l’intérieur mentionnées aux articles L. 811-2 et L. 811-4 du code de la sécurité intérieure (CSI) au titre des finalités mentionnées aux 4° et 6° de l’article L. 811-3 du même code, sur demande expresse adressée aux services mentionnées au 2° du I du présent article.
Si la première catégorie de personnes, à savoir les magistrats et personnels du ministère de la justice, n’appelle pas d’observation particulière, la Commission rappelle la réserve précédemment formulée quant aux finalités pour lesquelles les personnels de la police et de la gendarmerie nationales, ainsi que les services visés aux articles L. 811-2 et L. 811-4 du CSI peuvent avoir communication des données enregistrées dans le traitement GECOJ .
Sur les droits des personnes concernées 
L’article 6 du projet d’arrêté précise que le droit d’opposition prévu à l’article 110 de la loi du 6 janvier 1978 susvisées ne s’applique pas au présent traitement . L’article précité précise également que conformément aux articles 104 à 106 de la même loi, les droits d’information, d’accès, de rectification et d’effacement des données mentionnées à l’article 2 s’exercent directement auprès du ministère de l’intérieur .
La Commission considère que l’exercice de l’ensemble de ces droits, pour lesquels le ministère n’entend pas appliquer de restrictions particulières, n’appelle pas d’observation. Toutefois, si elle prend acte que les personnes seront informées via la publication de l’acte réglementaire ainsi que par le biais du site internet du ministère de l’intérieur, elle regrette qu’une telle information ne puisse également être réalisée directement auprès des personnes concernées, notamment à l’occasion de leur pointage au sein des services de police ou unités de gendarmerie. A cet égard, elle prend acte de la réflexion menée par le ministère quant à la possibilité de remettre un formulaire aux personnes concernées lors de leur premier pointage.
Sur les mesures de sécurité 
Concernant les modalités d’authentification des agents, la Commission prend acte que celle-ci sera réalisée par la carte agent de façon systématique pour la gendarmerie nationale, et de façon préférentielle pour la police nationale. Dans les cas où l’authentification sera réalisée par le biais d’un mot de passe, la Commission relève que celle-ci ne sera pas systématiquement réalisée de façon conforme à ses préconisations usuelles, et invite dès lors le ministère à mettre en œuvre des mesures complémentaires permettant de garantir que l’ensemble des moyens d’authentification sont suffisamment sécurisés.
Concernant les briques logicielles utilisées, la Commission relève que le ministère a indiqué qu’il utilisait des systèmes d’exploitation et des logiciels obsolètes depuis plusieurs années, et sans pour autant présenter un calendrier d’évolutions dans l’analyse d’impact relative à la protection des données (AIPD) transmise. Elle considère que de telles pratiques ne sont pas conformes à l’état de l’art, en tant qu’elles sont de nature à faciliter la compromission des systèmes concernés. En tout état de cause, elle invite le ministère à s’assurer de la mise à jour régulière des logiciels utilisés conformément au guide des bonnes pratiques de l’informatique édité par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
S’agissant des objectifs de sécurité déterminés par le ministère dans l’AIPD réalisée, si la Commission prend acte que le ministère considère que le besoin d’intégrité des données est maximal, elle s’interroge cependant sur l’estimation réalisée concernant la disponibilité et la confidentialité des données. En effet, la nature du traitement et des données collectées, sont susceptibles de faire peser des risques pour les personnes concernées en cas d’atteinte à la confidentialité, ce qui justifierait un besoin majeur en termes de sécurité. Par ailleurs, compte tenu des risques pour les personnes en cas de perte des pointages au format papier, il ne semble pas possible de considérer qu’une indisponibilité totale de l’application est sans aucun effet sur les personnes concernées.
Sous ces réserves, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 99 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
 
La Présidente
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ;
Vu l'ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment les sections 1 et 3 du chapitre Ier de son titre Ier ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment les chapitres II et IX de son annexe ;
Vu la délibération n° 2020-037 du 2 avril 2020 relative à l'organisation des délibérations de la Commission nationale de l'informatique et des libertés pendant l'état d'urgence sanitaire liée au covid-19 ;
Sur la proposition de Mme Marie-Laure DENIS, présidente, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Décide :
Article 1 En savoir plus sur cet article...
Après l'article 19 de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 susvisée, sont insérés les articles 19-1 à 19-4 ainsi rédigés :
 Article 19-1
Délibérations à distance
La commission peut recourir, pour les séances de sa formation plénière et de son bureau, aux formes de délibération collégiale à distance prévues par l'ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial. Elle met à la disposition de ses membres les dispositifs matériels et logiciels nécessaires à la participation à ces formes de délibération.
Les délibérations portant élection ne peuvent se dérouler à distance.
Les règles relatives aux séances de la formation plénière et du bureau ne sont pas affectées par le recours à ces formes de délibération à distance, sous réserve des dispositions prévues aux articles 19-2 à 19-5. Le commissaire du Gouvernement auprès de la commission ou son adjoint est mis en mesure d'assister aux délibérations organisées à distance.
Article 19-2
Conférences téléphoniques ou audiovisuelles
Le président de la commission peut décider que les délibérations de la formation plénière et du bureau de la commission sont organisées, pour la totalité des participants ou ceux qui le souhaitent, au moyen d'une conférence téléphonique ou audiovisuelle, dans les conditions prévues par l'ordonnance du 6 novembre 2014 mentionnée ci-dessus.
La commission met en œuvre à cet effet un dispositif technique assurant l'identification des participants aux délibérations et leur permettant une participation effective. Ce dispositif garantit la sécurité et la confidentialité à l'égard des tiers des échanges, débats et votes, qui ne font l'objet d'aucun enregistrement ni conservation, sous réserve de ce qui est nécessaire à l'établissement des procès-verbaux des réunions de la commission. Des tiers peuvent être entendus par la formation plénière ou le bureau de la commission, dans les mêmes conditions.
La convocation de la formation plénière ou du bureau informe les membres de la commission concernés du recours à une conférence téléphonique ou audiovisuelle et de l'outil de communication utilisé. Les informations relatives aux modalités techniques d'utilisation de l'outil de communication sont mises à leur disposition.
Article 19-3
Utilisation d'une messagerie instantanée durant les conférences téléphoniques ou audiovisuelles
Le président de la commission peut décider, aux fins de faciliter le déroulement des délibérations de la formation plénière et du bureau de la commission organisées au moyen d'une conférence téléphonique ou audiovisuelle dans les conditions prévues à l'article 19-2, de mettre à la disposition des membres de ces formations une messagerie instantanée ou tout autre dispositif assurant l'échange d'écrits transmis par voie électronique et permettant un dialogue en ligne. Ce dispositif peut être utilisé, en complément de l'outil de conférence téléphonique ou audiovisuelle, dans le cadre des échanges et débats relatifs aux délibérations inscrites à l'ordre du jour et aux fins d'expression des votes.
Les dispositions prévues aux deuxième et troisième alinéas de l'article 19-2 sont applicables au dispositif mis en œuvre à cet effet, qui garantit en outre que les observations émises par chacun des membres concernés de la commission sont immédiatement communiquées ou rendues accessibles à l'ensemble des autres membres participants.
Article 19-4
Règles applicables aux délibérations à distance
Les débats relatifs aux délibérations à distance de la formation plénière et du bureau sont ouverts et clos par un message du président de la commission.
Dans le cas où la délibération doit faire l'objet d'un vote, le président de la commission indique l'ouverture des opérations de vote et précise la durée pendant laquelle les membres participants de la commission peuvent voter. Au terme du délai fixé pour l'expression des votes, il en adresse les résultats à l'ensemble des membres de la formation concernée de la commission.
Si un vote au scrutin secret est demandé à l'occasion d'une délibération qui se déroule à distance, il est sursis à cette délibération et les opérations de vote sont organisées dans le cadre d'une réunion physique ultérieure des membres de la commission.
En cas d'incident technique, les échanges, débats et votes peuvent être repris ou poursuivis dans les mêmes conditions que celles précédant l'incident. 
Article 2
Après l'article 70 de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 susvisée, est inséré l'article 70-1 ainsi rédigé :
 Article 70-1
Délibérations à distance
La commission peut recourir, pour les séances de sa formation restreinte, aux formes de délibération collégiale à distance prévues par l'ordonnance du 6 novembre 2014 mentionnée ci-dessus.
Le président de la formation restreinte de la Commission peut décider que les délibérations de cette formation sont organisées au moyen d'une conférence téléphonique ou audiovisuelle. Dans ce cas, il est fait application des dispositions mentionnées et prévues aux articles 19-1, 19-2 et 19-4 du présent règlement intérieur. Les mis en cause, leur représentant ou conseil disposent des mêmes informations que les membres concernés de la Commission quant au recours à une conférence téléphonique ou audiovisuelle, à l'outil de communication utilisé et à ses modalités techniques d'utilisation. 
Article 3
La délibération n° 2020-037 du 2 avril 2020 relative à l'organisation des délibérations de la Commission nationale de l'informatique et des libertés pendant l'état d'urgence sanitaire liée au Covid-19 est abrogée.
Article 4
La présidente, le président de la formation restreinte et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun pour ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2018-076C du 30 mars 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société X ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 avril 2019 ;
Vu le rapport de Monsieur Bertrand du MARAIS, commissaire rapporteur, notifié à la société X le 23 septembre 2019 ;
Vu les observations écrites versées par la société X le 24 octobre 2019 ;
Vu la réponse du rapporteur à ces observations notifiée le 7 novembre 2019 au conseil de la société ;
Vu les nouvelles observations écrites du conseil de la société X reçues le 22 novembre 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte, le 28 novembre 2019 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 28 novembre 2019 :
Monsieur Bertrand du MARAIS, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
[…] ;
[…];
[…];
[…];
[…];
[…].
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I.Faits et procédure
La société X (ci-après la société ) est une société par actions simplifiée créée en 2006, spécialisée dans le secteur de la vente à distance de chaussures, dont le siège social est situé […].
En 2018, la société X a réalisé un chiffre d’affaires net de plus de […] d’euros et un résultat net négatif de près de […] euros. La même année, le groupe X, comprenant la société X et ses filiales, a réalisé un chiffre d’affaires net d’environ […] d’euros et un résultat net négatif d’environ […] d’euros. Le groupe X emploie environ 1000 salariés.
La société édite, pour les besoins de son activité, seize sites web au sein de treize pays de l’Union européenne, à savoir la France, l’Espagne, l’Allemagne, l’Italie, les Pays-Bas, la Slovaquie, le Danemark, la Pologne, la Suède, la Finlande, la Belgique, la République tchèque et la Hongrie ainsi qu’au Royaume-Uni. Deux autres sites web (X.eu) et (X.net) sont destinés à des consommateurs provenant d’autres pays et payant en euros et en dollars.
Le 31 mai 2018, en application de la décision no 2018-076C de la Présidente, une délégation de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a procédé à une mission de contrôle dans les locaux de la société X. Cette mission a eu pour objet de vérifier le respect par cette société de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ) et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier 1978 modifiée ou la loi Informatique et Libertés ). Le contrôle a porté plus particulièrement sur les traitements de données à caractère personnel des clients et des prospects de la société, ainsi que sur l’enregistrement des conversations téléphoniques entre les clients et les salariés du service client de la société.
Au cours de cette mission de contrôle, la délégation a été informée que la société met en œuvre un traitement visant à lutter contre la fraude et les impayés, lors des paiements effectués sur ses sites web. Lorsque le protocole 3DSecure n’est pas validé, un courrier électronique est envoyé à la personne à l’origine de la commande afin qu’elle envoie des justificatifs de domicile et un scan du recto de sa carte bancaire. La société a, en outre, indiqué à la délégation qu’aucune durée de conservation des données à caractère personnel n’avait été définie et qu’elle ne procédait à aucun effacement régulier des données relatives aux clients et aux prospects à l’issue d’une période définie.
La délégation a constaté que dans le cadre de l’enregistrement des conversations téléphoniques passées entre les conseillers clientèles et les clients, les personnes appelant la société pouvaient s’opposer à l’enregistrement des appels téléphoniques en appuyant sur une touche de leur téléphone.
Enfin, la délégation a constaté que lors de la création d’un compte par un utilisateur, sur le site internet de la société, les mots de passe composés de six chiffres, contenant un seul type de caractère, étaient acceptés. La société a également indiqué que les mots de passe des comptes étaient conservés en base de production sous forme hachée au moyen de la fonction de hachage MD5, à l’aide d’un sel présent directement dans le champ de la base de données relatif aux mots de passe correspondants.
Par ailleurs, à l’issue du contrôle, la société a transmis à la Commission, par courriel du 7 juin 2018, les pièces complémentaires sollicitées et notamment un décompte effectué en base de données relatif au nombre de clients et de prospects ne s’étant pas connectés, depuis 2008, à ses sites internet diffusés dans les différents pays dans lesquels elle est présente. Les éléments suivants ont été fournis par la société :
118 768 clients dont les données personnelles étaient présentes en base ne s’étaient pas connectés depuis le 25 mai 2008 ;
682 164 clients ne s’étaient pas connectés depuis le 25 mai 2010 ;
3 620 401 clients ne s’étaient pas connectés depuis le 25 mai 2013 ;
5 790 121 clients ne s’étaient pas connectés depuis le 25 mai 2015 ;
25 911 675 prospects étaient sans activité depuis le 25 mai 2015.
Il ressortait également de ce décompte que la société X détenait plus de […] de comptes clients et plus de […] de prospects.
En outre, la société a fourni à la CNIL, par courriel du 27 juin 2018, la nouvelle politique de protection des données de ses différents sites web.
Conformément à l’article 56 du RGPD, la CNIL a informé le 27 juillet 2018 l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant le traitement transfrontalier effectué par la société et ouvrant la procédure pour la déclaration des autorités concernées sur ce cas.
Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Bertrand du MARAIS en qualité de rapporteur, le 18 avril 2019, sur le fondement de l’article 47 de la loi du 6 janvier 1978 modifiée dans sa version applicable au jour de la désignation.
Par courrier du 17 mai 2019, la société a été convoquée par le rapporteur à une audition, le 19 juin suivant, en application de l’article 74 du décret n° 2005-1309 du 20 octobre 2005 modifié.
À l’issue de son instruction, le rapporteur a fait notifier par huissier de justice à la société X, le 23 septembre 2019, un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.
Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1-c), 5-1 e), 13, 32 et 35-1 du Règlement, assortie d’une astreinte à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Était également jointe au rapport une convocation à la séance de la formation restreinte du 28 novembre 2019 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.