AgentPublic/cnil huggingface dataset:
La commission estime que le projet de décret devrait explicitement prévoir que la suppression de données par l'utilisateur à partir de son espace personnel doit être immédiatement prise en compte (sous réserve d'une conservation brève permettant de neutraliser une erreur de manipulation). Une telle opération doit de plus conduire à la suppression, dans un délai raisonnable (un mois maximum), des éventuelles sauvegardes.
Sur la chaîne contractuelle et les transferts de données hors de l'Union européenne :
L'article R. 55-3 du code des postes et des communications électroniques tel que créé par le projet de décret porte sur l'obligation du fournisseur de service de garantir la sécurité des données stockées au sein du coffre-fort numérique. La commission relève qu'il n'y est pas fait mention d'éventuelles chaînes contractuelles qui peuvent pourtant générer de forts risques en la matière.
La commission estime que cette disposition pourrait utilement être complétée d'une prescription aux fournisseurs de service de reporter dans les contrats de sous-traitance ultérieure qu'ils concluraient l'ensemble de leurs obligations en matière de sécurité des données et documents stockés.
Par ailleurs, la commission rappelle que ces services de coffre-fort numérique peuvent être des services d'informatique en nuage (cloud computing) ou, simplement, impliquer des transferts de données vers des pays tiers. Or, à défaut de chiffrement des données avec une clef connue du seul utilisateur, ces transferts engendrent des risques pour la confidentialité des données, les autorités de pays tiers pouvant notamment être en mesure d'y accéder le cas échéant.
Compte tenu de ces risques et de l'obligation de tout fournisseur de service d'encadrer de tels transferts vers un pays ne présentant pas un niveau adéquat de protection des données, la commission estime que le décret devrait être complété d'une disposition appelant les fournisseurs à la vigilance sur ce point.
Sur l'obligation de notifier les violations de données :
L'article R. 55-8 du code des postes et des communications électroniques tel que projeté par les textes soumis à avis de la commission dispose que sans préjudice des dispositions qui lui sont, le cas échéant, applicables au titre de la loi n° 78-17 du 6 janvier 1978 modifiée […] le fournisseur du service de coffre-fort numérique est tenu de notifier tout incident de sécurité à l'Agence nationale de la sécurité des systèmes d'information.
Or, une telle obligation de notification des violations de données étant prévue par le Règlement général relatif à la protection des données qui entrera en vigueur le 25 mai 2018, la commission invite le ministère à modifier cette disposition pour ajouter une référence à la réglementation en vigueur en matière de protection des données et non à la loi n° 78-17 du 6 janvier 1978 modifiée.
En conclusion, la commission émet le souhait d'être associée au plus tôt dans l'élaboration de ce cahier des charges afin d'assurer qu'y soient incluses des considérations de protection des données.
La présidente,
I. Falque-Pierrotin
(1) L'article L. 136 du CPCE prévoit que : La preuve de l'identité aux fins d'accéder à un service de communication au public en ligne peut être apportée par un moyen d'identification électronique. Ce moyen d'identification électronique est présumé fiable jusqu'à preuve du contraire lorsqu'il répond aux prescriptions du cahier des charges établi par l'autorité nationale de sécurité des systèmes d'information, fixé par décret en Conseil d'Etat. Cette autorité certifie la conformité des moyens d'identification électronique aux exigences de ce cahier des charges. (2) Elle prévoit qu'un cahier des charges établi par l'Autorité nationale de sécurité des systèmes d'information, adopté par décret en Conseil d'Etat, fixera les prescriptions applicables aux moyens d'identification électronique. (3) Règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE. (4) Art. R. 55-5. - L'identification de l'utilisateur lors de l'accès au service de coffre-fort numérique est assurée par un moyen d'identification électronique répondant aux spécifications techniques et procédures minimales du niveau de garantie substantiel, tel que défini par le règlement d'exécution (le) 2015/1502 du 8 septembre 2015 portant sur les niveaux de garantie des moyens d'identification électronique visés l'article 8. paragraphe 3, du
règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014. (5) Voir supra.
Par une décision du 17 avril 2019, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction à 200 000 euros en considération de la célérité avec laquelle la société avait remédié au défaut de sécurisation de son site internet. 
 Consulter la décision n°422575. 
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ , Président, de M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA et Monsieur Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2017-189C du 28 juillet 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre à partir du domaine […] ;
Vu la décision n° 2017-197C du 28 juillet 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 15 décembre 2017 ;
Vu le procès-verbal de constatation en ligne n° 2017-189/1 du 31 juillet 2017 ;
Vu le procès-verbal de contrôle sur place n° 2017-197/1 du 9 août 2017 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à la société X le 26 décembre 2017 ;
Vu les observations écrites de la société X reçues le 6 février 2018, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
 
Etaient présents, lors de la séance de la formation restreinte du 22 février 2018 :
M. François PELLEGRINI, Commissaire, en son rapport ;
En qualité de représentants de la société X :
 
XX ; 
Y ; 
Z ; 
 
En qualité de conseil de la société X :
 
XY.
M. Michel TEIXEIRA, Commissaire du Gouvernement adjoint, n’ayant pas formulé d’observations ; 
 
Les représentants de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) est spécialisée dans le commerce de détail d’optique. Elle dispose à cet effet d’une centaine de succursales, d’un réseau de 410 franchises et d’un site internet ([…]). Elle présentait pour l’année 2016 un chiffre d’affaires consolidé d’environ 193 millions d’euros, le chiffre d’affaires généré par son site internet s’élevant à près de 4,25 millions d’euros.
Le 28 juillet 2017, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a été informée d’une possible fuite de données concernant la société X. Ce signalement faisait état de données à caractère personnel rendues librement accessibles à partir de plusieurs URL ayant une structure identique.
Le 31 juillet 2017, en application de la décision n° 2017-189C de la Présidente de la Commission, une délégation de la CNIL a effectué des vérifications en ligne qui ont permis de constater qu’il était possible d’accéder librement, à partir des URL qui lui avaient été transmises, à plusieurs factures contenant les données à caractère personnel suivantes : nom, prénom, adresse postale, correction ophtalmologique et, pour certaines d’entre elles, la date de naissance des clients ainsi que leur numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
La délégation a également constaté qu’il était possible, depuis le domaine […] et sans authentification préalable à l’espace client, d’exporter au format CSV, un échantillon de 2085 fichiers correspondant, après dédoublonnage, aux données de […] clients et faisant notamment apparaître 158 NIR.
La société X a été alertée le jour même, par un courrier électronique de la Commission lui indiquant qu’il était possible d’accéder à des pages présentant des données à caractère personnel depuis un navigateur, sans autorisation particulière.
Lors d’une seconde mission de contrôle effectuée le 9 août 2017 dans les locaux de la société X, la délégation de la CNIL a été informée que les factures et les bons de commande rendus librement accessibles correspondaient uniquement aux commandes effectuées sur le site internet de la société. Le responsable de ce site a précisé que le défaut de sécurisation était dû à l’absence de contrôle de la connexion d’un client avant l’affichage de leur contenu .
La délégation a également été informée par le prestataire de la société X que la correction du défaut de sécurité affectant le site internet avait été réalisée le 2 août 2017, à la suite du contrôle en ligne opéré par la délégation de la CNIL. En l’espèce, une fonctionnalité a été ajoutée afin de s’assurer qu’un client est effectivement connecté  à son espace personnel avant de lui fournir les seuls documents le concernant.
Lors du contrôle sur place du 9 août 2017, la délégation a constaté qu’il n’était effectivement plus possible d’accéder aux factures accessibles à partir des URL litigieuses. Elle a également été informée que ni la société X, ni son prestataire n’avaient eu connaissance du défaut de sécurité avant que celui-ci n’ait été porté à leur connaissance par la CNIL le 31 juillet 2017.
Interrogée sur la date à laquelle le défaut de sécurité était apparu en production, la société a indiqué ne pas en avoir connaissance. Par courrier du 7 septembre 2017, elle a cependant indiqué que la mise en production du code permettant la visualisation des URL signalées au 31 juillet 2017 datait de décembre 2016.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 15 décembre 2017, sur le fondement de l’article 46 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ).
A l’issue de son instruction, le rapporteur a notifié à la société X, par porteur, le 26 décembre 2017, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une sanction pécuniaire d’un montant qui ne saurait être inférieur à deux cents cinquante mille (250.000) euros et de la rendre publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 22 février 2018 indiquant à l’organisme qu’il disposait d’un délai courant jusqu’au 5 février 2018 pour communiquer ses observations écrites.
Par courrier du 2 février 2018, la société X a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 22 février 2018. Le 5 mars 2018, la société a transmis à la CNIL une pièce complémentaire relative à un programme de protection qui serait mis en œuvre sur son site internet et intitulé Bannir les activités anormales sur le site .
Motifs de la décision
Sur les motifs de nullité de la procédure soulevés par la société 
En premier lieu, la société soutient que la procédure de sanction est entachée de nullité dès lors qu’elle méconnaît le premier alinéa de l’article 45 de la loi du 6 janvier 1978 modifiée par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique (ci-après loi pour une République numérique ) ainsi que l’article 59 de la délibération
n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL. 
 
Le I de l’article 45 de la loi du 6 janvier 1978 modifiée prévoit que :
 
 I. - Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.
Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure.
Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :
1° Un avertissement ;
2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;
3° Une injonction de cesser le traitement, lorsque celui-ci relève de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
 
Lorsque le manquement constaté ne peut faire l'objet d'une mise en conformité dans le cadre d'une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévues au présent I. 
 
L’article 59 de la délibération n° 2013-175 précitée énonce que : 
 
Les décisions de mises en demeure adoptées par le président de la Commission, sont signées par le président, ou, en cas d’empêchement, par le vice-président délégué. Elles sont numérotées avec l’indication de l’année en cours et portent la date du jour de leur signature.
Elles caractérisent les manquements reprochés au responsable de traitement et précisent le délai imparti à celui-ci pour se mettre en conformité. Elles indiquent les conséquences pour le responsable du non-respect de la mise en demeure .
La société considère qu’il n’est pas possible de prononcer une sanction à son encontre dès lors qu’elle n’a fait l’objet d’aucune mise en demeure préalable, laquelle constitue une formalité substantielle de la procédure qui concourt au respect des droits de la défense du responsable de traitement. Elle souligne également qu’en l’espèce, le manquement constaté par la CNIL pouvait faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure.
La société estime donc que la Présidente de la CNIL aurait dû la mettre en demeure de corriger le manquement et qu’en l’absence d’une telle décision, la procédure de sanction initiée devant la formation restreinte est nulle.
La formation restreinte relève qu’il résulte de la lettre même de l’article 45 de la loi du 6 janvier 1978 précité que le prononcé d’une sanction n’est pas subordonné à l’adoption préalable systématique d’une mise en demeure. À cet égard, elle souligne que le dernier alinéa de cet article prévoit expressément que lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévue au présent I .
Elle rappelle également que l’objet de la réforme introduite par la loi pour une République numérique était d’élargir la gamme des sanctions directes qu’elle peut appliquer, en autorisant le prononcé d’une sanction pécuniaire sans mise en demeure préalable, alors qu’auparavant, la formation restreinte ne pouvait en pareil cas prononcer qu’un avertissement.
La loi précise expressément que lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure (qui ne peut par construction avoir d’effet que pour l’avenir et non pour le passé), la formation restreinte peut prononcer les sanctions prévues.
L’interprétation de l’article 45 de la loi du 6 janvier 1978 modifiée suggérée par la défense aurait pour effet de rendre impossible la sanction des infractions passées. Elle constituerait même une raison, pour un responsable de traitement ayant causé ou subi une violation de données, de s’abstenir de prendre aucune mesure corrective et d’attendre que lui soit éventuellement adressée une mise en demeure, le seul fait de s’y conformer faisant alors obstacle au prononcé d’une sanction.
La formation restreinte considère qu’en l’espèce, les effets du manquement constaté ne pouvaient être corrigés par le biais d’une mise en demeure (à savoir la libre accessibilité des données à caractère personnel pendant la durée de l’incident de sécurité) mais que le manquement pouvait être directement sanctionné, en vertu des dispositions du I de l’article 45 de la loi du 6 janvier 1978 modifiée.
Ainsi, il peut être fait application du dernier alinéa du I de l’article 45 de la loi du 6 janvier 1978 modifiée, permettant à la formation restreinte de prononcer, sans mise en demeure préalable, les sanctions prévues au I.
La formation restreinte relève enfin que l’article 59 du règlement intérieur de la CNIL dont se prévaut la société se borne à décrire le formalisme qui caractérise les mises en demeure adoptées par le Président de la CNIL, sans qu’aucune conséquence ne puisse en être tirée sur la procédure de sanction.
En second lieu, la société considère que l’extrapolation du nombre de clients et de données concernés par la faille de sécurité effectuée par le rapporteur à partir de l’échantillon des 2075 fichiers téléchargés par la délégation de contrôle porte atteinte aux droits de la défense, sans autre précision. Elle estime à ce titre ne pas être en mesure de se défendre sur l’ensemble des pièces qui lui est opposé et, a fortiori, être dans l’impossibilité de démontrer le caractère disproportionné de la sanction proposée ce qui serait de nature, selon la société, à entraîner la nullité de la procédure.
La formation restreinte relève que l’estimation à laquelle s’est livré le rapporteur avait pour seul objet de déterminer un ordre de grandeur quant aux données concernées par l’incident de sécurité, en particulier celles relatives aux données sensibles et au NIR. Elle relève également que s’agissant du nombre de clients concernés par l’incident de sécurité et du nombre de documents contenus en base à la date de cet incident, le rapporteur s’est appuyé sur les éléments communiqués par la société dans son courrier du 7 septembre 2017.
En tout état de cause, la formation restreinte rappelle que l’ensemble des éléments sur lesquels le rapporteur s’est appuyé pour établir son rapport a été communiqué à la société. Elle rappelle également que la société avait la possibilité de consulter le dossier dans les locaux de la CNIL, ce qu’elle n’a pas fait, et qu’elle bénéficiait, pour présenter ses observations, d’un délai supérieur au délai d’un mois fixé par l’article 75 du décret n° 2005-1309 du 20 octobre 2005.
Par conséquent, la formation restreinte considère que les moyens tirés de la nullité de la procédure de sanction invoqués par la société doivent être écartés.
Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que  le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si la société X a manqué à l’obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel contenues dans son système d’information et, en particulier celles enregistrées par le biais de son site internet […] , notamment afin que ces données ne soient pas accessibles à des tiers non autorisés.
En premier lieu, la société X reconnaît l’existence d’un défaut de sécurité affectant son site internet mais souligne que des précautions ont néanmoins été prises. En particulier, la société détaille les mesures de protection mises en œuvre par elle ainsi que par son prestataire.
À cet égard, la formation restreinte relève tout d’abord que, lors de la séance du 22 février 2018, la société a, en plus des observations présentées à l’appui de ses conclusions écrites, fait état d’un nouvel argument en présentant une nouvelle mesure de sécurité mise en œuvre sur son site internet. Elle a en effet affirmé qu’il aurait été impossible pour la délégation de la CNIL de procéder au téléchargement de sa base de données dans son intégralité dès lors qu’un programme de protection spécifique était mis en place et donc, a fortiori, pour tout individu de télécharger l’ensemble des documents enregistrés sur le site internet de la société. Au soutien de cet argument, la société a transmis, par courrier du 5 mars 2018 et reçu le 12 mars, une pièce intitulée Programme de protection Bannir les activités anormales sur le site  .
La formation restreinte relève que la société n’a jamais mentionné l’existence d’un tel programme tout au long de la procédure alors même que le procès-verbal de constatation en ligne du 31 juillet 2017 faisait expressément état, à deux reprises, du début de l’exécution du script par la délégation de contrôle et de son interruption, à l’initiative de la CNIL.
Sur le fond, elle constate à cet égard que les termes employés dans le procès-verbal de contrôle en ligne sont sans ambiguïté : Mentionnons débuter l’exécution du script à 13h06 et l’interrompre à 14h22 ou encore Mentionnons débuter l’exécution du script à 14h47 et l’interrompre à 14h51 . La formation restreinte constate qu’il n’est nullement mentionné que la délégation de contrôle aurait été mise dans l’impossibilité de télécharger une partie des fichiers contenus dans la base de données de la société : l’exécution du script a été interrompue à l’initiative de la délégation de contrôle. La formation restreinte souligne enfin que l’analyse de la pièce transmise, datée du 26 février 2018, ne permet pas d’attester que le programme Bannir les activités anormales sur le site était effectivement mis en œuvre antérieurement aux différents contrôles menés par la délégation de la CNIL.
En conséquence, la formation restreinte estime que l’existence du dispositif de protection allégué à la date des faits constatés n’est pas établie au vu des éléments transmis. 
Elle relève par ailleurs que, dans le cadre de ses observations écrites, la société a également transmis un document de son prestataire décrivant notamment le processus appliqué lorsqu’un nouveau développement du site est mis en production. Elle explique que de nombreux échanges interviennent avec son prestataire quand bien même aucun document formel n’a été remis à la délégation de la CNIL.