AgentPublic/cnil huggingface dataset:
S'agissant des mesures de sécurité, la délégation a relevé que l'application technique permettant la réalisation de campagnes de prospection avait été spécifiquement adaptée par le prestataire secondaire pour répondre aux besoins de la société X. Cette nouvelle version de l'application avait été mise en production en novembre 2013 sans qu'aucun audit de sécurité n'ait été préalablement réalisé. 
Il a également été indiqué que la société avait communiqué à ses prestataires, par simple courriel et sans mesure de sécurité particulière, les fichiers de mises à jour de ses données clients et prospects dans la cadre des campagnes marketing. 
Enfin, la délégation a constaté que si la société avait encadré contractuellement ses relations avec son premier sous-traitant, elle n'avait en revanche pas veillé à ce que les obligations en matière de sécurité et de confidentialité des données soient répercutées au prestataire secondaire alors même qu'elle connaissait le périmètre d'intervention de ce dernier. 
Au regard de ces éléments, la Présidente de la Commission a décidé d'initier une procédure de sanction à l'encontre de la société. A cet effet, elle a désigné M. Jean-Luc VIVET en qualité de commissaire rapporteur, le 23 mai 2014, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à son obligation de sécurité lui incombant en application de l'article 34 de la loi du 6 janvier 1978 modifiée, le rapporteur a notifié à la société, par porteur, le 27 mai 2014, un rapport proposant à la formation restreinte de la Commission de prononcer à son encontre un avertissement public. 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 3 juillet 2014 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
Le 26 juin 2014, la société a produit des observations écrites sur le rapport, réitérées à l'oral lors de la séance de la formation restreinte du 3 juillet 2014. 
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit. 
II. MOTIFS DE LA DECISION
La société fait valoir qu'elle a déféré à l'obligation de notification de la violation de données alors même qu'un doute existerait quant à son application en matière d'opérations marketing.
Si cet argument est inopérant au regard de la procédure qui n'est initiée que sur le fondement de l'article 34 de la loi du 6 janvier 1978 modifiée, la formation restreinte entend toutefois rappeler que l'article 34 bis de la loi du 6 janvier 1978 modifiée impose aux fournisseurs de services de communications électroniques d'informer la Commission de toute violation affectant la confidentialité de données nominatives traitées dans le cadre de la fourniture au public des services de communication électroniques . 
Dès lors le traitement marketing litigieux, en ce qu'il a précisément pour objet de promouvoir les services de communication électronique de la société auprès des clients et prospects, relève du périmètre de l'article 34 bis susvisé. La société soutient d'autre part que la procédure de sanction serait fondée sur les éléments qu'elle a communiqués dans le cadre de la notification de cette violation de données et contreviendrait ainsi à son droit de ne pas contribuer à sa propre incrimination. 
Sur ce point, la formation restreinte rappelle qu'en application de l'article 44 de la loi du 6 janvier 1978 modifiée, la Commission est fondée à mener des investigations auprès d'un organisme lui ayant notifié une faille de sécurité, par ailleurs largement médiatisée. Si ces dernières révèlent un ou plusieurs manquements à la loi du 6 janvier 1978 précitée, une procédure de sanction peut dès lors valablement être engagée en application de l'article 45 de la loi précitée.
En l'espèce, la procédure de sanction a été initiée sur le fondement des constats relatifs à la sécurité et la confidentialité des données effectués à l'occasion des trois contrôles effectués par la Commission les 12 et 14 mai 2014 susceptibles de caractériser un manquement à l'obligation visée à l'article 34 de la loi du 6 janvier 1978 modifiée et non sur la foi des éléments communiqués par la société au stade de la notification de la violation de données effectuée en application de l'article 34 bis de la loi précitée. 
Il est constant que l'obligation de notifier une violation de données, obligation de résultat à laquelle la société a satisfait, est distincte de celle relative à la sécurité et la confidentialité des données, obligation de moyens dont la formation restreinte doit examiner le respect. 
La formation restreinte considère en conséquence que la procédure contentieuse a été régulièrement engagée et qu'aucune atteinte au principe de non auto-incrimination ne peut être retenue.
Concernant l'obligation incombant à la société de mettre en œuvre des moyens propres à assurer la sécurité des données de ses clients et notamment des mesures adaptées pour que ces données ne soient pas communiquées à des tiers non autorisés, l'article 34 de la loi du 6 janvier 1978 modifiée dispose que : le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
En défense, la société fait valoir qu'elle aurait pris toute mesure utile afin de respecter son obligation et soutient que la faille de sécurité serait liée aux risques inhérents à une chaine de sous-traitance. Elle relève également que les données impactées par la violation sont peu qualifiantes et limitées au regard du volume global de données traitées. Enfin, elle précise avoir changé de prestataire secondaire et indique qu'une nouvelle plateforme technique comportera les mesures de sécurité techniques et organisationnelles appropriées. 
La formation restreinte retient qu'en sa qualité, par ailleurs non contestée, de responsable de traitements, la société a l'obligation d'assurer la sécurité et la confidentialité des données à caractère personnel de ses clients et prospects et qu'elle ne saurait minimiser sa responsabilité par le recours à plusieurs prestataires.
S'agissant des données impactées, la formation restreinte retient que, sans être sensibles au sens de la loi du 6 janvier 1978 modifiée, elles sont identifiantes, concernent plus d'un million de personnes et qu'il est établi qu'un tiers non autorisé y a effectivement accédé. 
Enfin, il ressort de manière constante des vérifications diligentées par la délégation de contrôle que la société n'a pas fait réaliser d'audit de sécurité sur la version de l'application technique spécifiquement développée par son prestataire secondaire pour répondre à ses besoins, qu'elle communiquait de manière non sécurisée les mises à jour de ses fichiers clients à ses prestataires et qu'aucune clause de sécurité et de confidentialité des données n'était imposée à son prestataire secondaire. 
La formation restreinte relève que les mesures mises en œuvre en termes de sécurité des données par la société avant les correctifs apportés à la suite de la violation de données étaient insuffisantes et ont contribué à la réalisation du risque que constitue la récupération, par un tiers malveillant, des données des clients. 
Si la société a remédié dans des délais satisfaisants aux faiblesses techniques relevées et a démontré pour l'avenir une meilleure prise en compte des problématiques de confidentialité des données, il n'en demeure pas moins qu'elle a manqué à son obligation d'assurer la sécurité et la confidentialité des données à caractère personnel de ses clients.
Sur la base de ces éléments, la formation restreinte retient que la société n'a pas respecté les dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée 
III. SUR LA SANCTION ET LA PUBLICITE
La formation restreinte considère que la société a manqué aux obligations lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée et décide de prononcer à son encontre un avertissement en application de l'article 45 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Compte-tenu des défaillances de la société X en termes de sécurité et de confidentialité des données à caractère personnel de ses clients et prospects alors qu'elle dispose des ressources financières et humaines lui permettant la prise en charge de telles problématiques, la formation restreinte décide de rendre publique sa décision. 
  PAR CES MOTIFS 
La formation restreinte de la CNIL, après en avoir délibéré, décide : - De prononcer un avertissement à l'encontre de la société X ; - De rendre publique sa décision sur le site Internet de la CNIL et sur le site Légifrance. 
Le Président 
Jean-François CARREZ
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Jean-François CARREZ ;
Et
Composée de M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, M. Sébastien HUYGUE, M. Maurice RONAI, M. Claude DOMEIZEL membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu les plaintes n°13009978 du 26 mars 2013 ; n°13014098 du 3 mai 2013 ; n°13018901 du 19 juin 2013 ; n°13017970 du 11 juin 2013 ; n°13019886 du 26 juin 2013 ; n°13025325 du 19 août 2013 ; n°13027172 du 10 septembre 2013 ; n°13017844 du 11 juin 2013 ; n°13020103 du 1er juillet 2013 ; n°13029069 du 30 septembre 2013 ; n°13037144 du 13 décembre 2013 ; n°13032970 du 6 novembre 2013 ;
Vu les plaintes n°13014556 du 14 mai 2013 ; n°13033552 du 13 novembre 2013 ; n°13035824 du 2 décembre 2013 ; n°13031895 du 24 octobre 2013 ; n°13011608 du 10 avril 2013 ; n°13017151 du 04 juin 2013 ; n°13021083 du 8 juillet 2013 ; n°13015424 du 21 mai 2013 ; 
Vu les plaintes n°12024963 du 13 août 2012 et n°13034180 du 18 novembre 2013 ; 
Vu la décision n°2014-068C du 14 avril 2014 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ; 
Vu le procès-verbal de contrôle sur place n°2014-068/2 du 24 avril 2014 effectué au sein de la société X ; 
Vu la décision de la Présidente de la Commission portant désignation d'un rapporteur, en date du 19 mai 2014 ; 
Vu le rapport de M. Jean-Luc VIVET, commissaire rapporteur, notifié à la société X par porteur contre reçu le 4 juin 2014 ; 
Vu les observations écrites versées par la société X le 4 juillet 2014 par voie électronique et le 7 juillet 2014 en version papier, ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors de la séance de la formation restreinte du 17 juillet 2014 : - M. Jean-Luc VIVET, Commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint ;- M. X ;- Maîtres Y et Z, Avocats, conseils de la société X ; 
Les représentants de la société X ayant eu la parole en dernier ; 
A adopté la décision suivante :
I. FAITS ET PROCEDURE
La société X exerçant sous le nom commercial Y (ci-après la société), issue de la fusion des sociétés V et W, intervient en matière de crédit aux particuliers. 
A ce titre, elle participe au fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers (FICP) régit par les dispositions de l'arrêté du 26 octobre 2010. 
Entre mars 2013 et février 2014, la Commission Nationale de l'Informatique et des Libertés (ci-après CNIL ou Commission) a été saisie de plaintes de particuliers dénonçant les modalités de leur inscription au FICP par la société. 
Huit clients de la société ont dénoncé le bien-fondé de leur inscription par la société au FICP alors que douze autres clients rapportaient avoir vu leur inscription maintenue malgré la régularisation de leur créance. 
L'instruction de ces plaintes par les services de la Commission a permis de confirmer les faits dénoncés dont la société s'est notamment justifiée par l'existence de dysfonctionnements internes ou l'inadaptation de ses procédures avant de procéder aux levées d'inscription qui s'imposaient. 
Entre août 2012 et mars 2013, la CNIL a également reçue deux autres plaintes de clients de la société ayant réceptionné par courrier des documents contenant des données à caractère personnel relatives à des tiers.
En réponse aux demandes de la CNIL, la société a reconnu que ces documents confidentiels avaient été adressés par erreur aux mauvais destinataires et a détaillé les correctifs mis en œuvre pour y remédier. 
Le 24 avril 2014, un contrôle réalisé au sein des locaux du siège social de la société a notamment permis d'examiner les procédures mises en œuvre relatives au fonctionnement du FICP. 
Au vu de ces éléments, la Présidente de la Commission a désigné, le 19 mai 2014, M. Jean-Luc VIVET, en qualité de commissaire rapporteur sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée. 
A l'issue de son instruction, considérant que la société avait manqué aux obligations lui incombant en application de la loi du 6 janvier 1978 modifiée , le rapporteur a fait notifier à la société par porteur, le 4 juin 2014, un rapport proposant à la formation restreinte de la Commission de prononcer à son encontre un avertissement public. Etait également jointe au rapport une convocation à la séance de la formation restreinte du 17 juillet 2014 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
Les 4 et 7 juillet 2014, la société a produit des observations écrites sur le rapport, réitérées à l'oral lors de la séance de la formation restreinte du 17 juillet 2014. 
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit. 
II. MOTIFS DE LA DECISION
1. Sur le manquement à l'obligation de mettre à jour les données
L'article 6-4°de la loi du 6 janvier 1978 modifiée prévoit qu'un traitement ne peut porter que sur des données à caractère personnel qui sont exactes, complètes et, si nécessaire, mises à jour et que les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées. 
S'agissant du fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers (FICP), l'article 6-II de l'arrêté du 26 octobre 2010 dispose que pour chaque incident de paiement précédemment déclaré, les établissements et organismes mentionnés à l'article 1er signalent à la Banque de France, (...), le paiement intégral des sommes dues, que celui-ci ait été effectué par le débiteur principal ou par une caution (...), au plus tard le quatrième jour ouvré suivant la date du paiement intégral. 
Il ressort de l'instruction menée par le rapporteur que douze plaignants ont vu leur inscription au FICP maintenue plusieurs mois après régularisation de leur incident de paiement, étant précisé que l'un des plaignants a vu son inscription perdurer pendant 32 mois. 
En défense, la société reconnait les faits et évoque des dysfonctionnements principalement liés à la gestion de certains abandons de créance et à la migration d'outils informatiques.
Elle précise que le nombre de plaintes reçues par la Commission est limité au regard du volume d'inscription et de radiation au FICP traitées mensuellement et détaille les mesures correctives adoptées afin d'éviter la réitération des faits litigieux. 
La formation restreinte prend acte des correctifs apportés pour l'avenir et retient toutefois que les levées d'inscription, à laquelle la société doit procéder d'elle-même dans un délai restreint commençant à courir à compter de la régularisation de la créance, n'ont en l'espèce été obtenues qu'après la double intervention, d'une part, des plaignants, qui ont entrepris de nombreuses démarches préalables auprès de la société pour tenter d'obtenir leur radiation puis, d'autre part, de la Commission. 
Or, il n'appartient ni aux personnes concernées ni à la CNIL de solliciter ces radiations mais à la banque d'y procéder. 
La formation restreinte constate que de tels dysfonctionnements ne sauraient exonérer la société de sa responsabilité mais témoignent au contraire de procédures insuffisamment efficaces dans leur mise en œuvre. 
En conséquence, la formation restreinte considère que la société a manqué à son obligation de mise à jour des données et que le manquement à l'article 6-4° de loi du 6 janvier 1978 modifiée est caractérisé. 
2. Sur le manquement à l'obligation d'effectuer un traitement licite des données
L'article 6-1°de la loi du 6 janvier 1978 modifiée dispose qu'un traitement ne peut porter que sur des données à caractère personnel qui sont collectées et traitées de manière loyale et licite. 
Aux termes de l'article 5 de l'arrêté précité du 26 octobre 2010, les établissements bancaires concernés doivent constater qu'un incident de paiement est caractérisé et en informer régulièrement le débiteur avant de pouvoir déclarer son inscription au FICP. 
En l'espèce, la société ne conteste pas avoir procédé à l'inscription de huit plaignants sans avoir préalablement constaté un incident de paiement au sens de la règlementation précitée. 
Dans le cadre de l'instruction des dossiers par les services de la CNIL, la société a fait état de difficultés techniques ponctuelles, d'erreurs ou de l'inadaptation de certaines procédures automatisées afin de justifier de ces inscriptions indues. 
En défense devant la formation restreinte, la société a repris les arguments développés au point précédent relatifs aux dysfonctionnements liés à la gestion de certains abandons de créance et à la migration d'outils informatiques et à la faible volumétrie des plaintes reçues par la Commission.
Sur la base de ces éléments, la formation restreinte retient que la société a procédé à l'inscription de huit plaignants au FICP alors même que les conditions visées à l'arrêté précité permettant leur inscription n'étaient pas réunies. Dans ce cas également, les désinscriptions n'ont été obtenues que sur intervention de la Commission. 
Au regard des conséquences graves que comporte, pour les personnes concernées, l'inscription au FICP, les erreurs répétées ou difficultés ponctuelles ne peuvent en aucune façon justifier d'une inscription indue dans ce fichier. 
La formation restreinte considère que la société a manqué à son obligation de procéder à un traitement licite des données et la formation restreinte considère que le manquement à l'article 6-1° de la loi du 6 janvier 1978 modifiée est caractérisé. 
3. Sur le manquement à l'obligation d'assurer la sécurité et la confidentialité des données
L'article 34 de la loi de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Ainsi qu'il a été confirmé par la mission de contrôle sur place, deux clients de la société se sont vu communiquer par cette dernière des documents confidentiels contenant des données nominatives relatives à des tiers. 
En défense, la société argue d'erreurs ponctuelles survenues lors de l'impression et de la mise sous pli des courriers et présente les correctifs déployés pour y remédier. 
Sur la foi de ces éléments, la formation restreinte retient que les faits précités constituent une atteinte à la confidentialité de données bancaires dont la société ne saurait s'exonérer de sa responsabilité en se retranchant derrière des erreurs humaines. 
Par ailleurs, il n'est pas contesté que les mesures correctrices déployées par la société à l'issue de la première plainte du 13 août 2012 n'ont pas empêché la réitération des faits litigieux comme en témoigne la réception par la CNIL de la seconde plainte portant sur des faits identiques. 
La formation restreinte retient en conséquence que la société a manqué à son obligation d'assurer la sécurité et la confidentialité des données de ses clients et que le manquement à l'article 34 de la loi du 6 janvier 1978 modifiée est caractérisé. 
III. SUR LA SANCTION ET LA PUBLICITE
La formation restreinte considère que la société a manqué aux obligations lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée et décide de prononcer à son encontre un avertissement en application de l'article 45 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Eu égard aux dysfonctionnements relatifs à la gestion des inscriptions et désinscriptions au FICP et au manquement relatif à la confidentialité des données des clients de la société, la formation restreinte décide de rendre publique cette sanction. 
PAR CES MOTIFS 
La formation restreinte de la CNIL, après en avoir délibéré, décide : - De prononcer un avertissement à l'encontre de la société X ;- De rendre publique sa décision sur le site Internet de la CNIL et sur le site Légifrance. 
Le Président 
Jean-François CARREZ
La Commission nationale de l'informatique et des libertés, Saisie par la société par actions simplifiée ACCENTURE INVESTMENT PROCESSING SERVICES d'une demande d'autorisation concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients  ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 69 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Sur la proposition Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :