AgentPublic/cnil huggingface dataset:
Vu le rapport de M. Philippe LEMOINE, commissaire rapporteur, notifié à X par huissier le 8 juillet 2016 ;
Vu les observations écrites versées par X le 2 septembre 2016, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu la demande de huis clos reçue le 2 septembre 2016 à laquelle il a été fait droit par lettre du 6 septembre 2016 ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 13 septembre 2016 :
M. Philippe LEMOINE, Commissaire, en son rapport ;
Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint, n’ayant pas formulé d’observations ;
M. A de X ;
Maître B, Avocat ;
Les représentants de X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
X est l’un des principaux partis politiques français. Il comptait, au 30 avril 2016, 111 450 adhérents.
Le 26 mai 2016, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été informée par l’éditeur du site […] de l’existence d’une faille de sécurité entraînant une fuite de données à partir de l’URL […].
Le 27 mai 2016, en application de la décision n° 2016-147C de la Présidente de la Commission, une délégation de la CNIL a effectué des vérifications en ligne qui ont permis de constater qu’il était possible d’accéder librement, à partir de l’URL précitée, à un répertoire du nom de domaine […] contenant plusieurs fichiers classés sous un onglet Adhésion , lui-même divisé en plusieurs sous-onglets intitulés en attente de traitement , Adhésion Non finalisé[e] et Adhésion Transmise .
La délégation a constaté qu’il était possible d’exporter, au format CSV, les données comprises dans ces pages et notamment les nom, prénom, adresses électronique et postale des personnes.
La délégation a, par ailleurs, constaté que le sous-onglet Adhésion Transmise donnait accès au contenu de plusieurs dossiers nominatifs contenant tout ou partie des données suivantes : nom, prénom, adresses postale et électronique, numéros de téléphone fixe et mobile, date de naissance, adresse IP, moyen de paiement et montant de la cotisation.
En outre, la délégation a constaté qu’il était possible d’accéder, à partir de l’onglet paramètres à la Liste des utilisateurs de la plateforme, qui répertorie notamment les adresses électroniques et login de douze personnes. Par ailleurs, en cliquant sur le bouton ajouter un utilisateur , la délégation a constaté l’affichage d’une page intitulée Ajout d’un utilisateur permettant de renseigner les champs suivants : nom de la personne, prénom, identifiant, mot de passe, adresse électronique et service de l’utilisateur.
La Commission a alerté le jour même, par téléphone, X de l’existence de cette fuite de données. Celui-ci a indiqué prendre immédiatement les mesures correctives nécessaires pour la faire cesser.
Lors d’une seconde mission de contrôle effectuée le 15 juin 2016 dans les locaux de X, la délégation a été informée par le directeur des systèmes d’information que le répertoire librement accessible à l’URL précitée correspond à la plateforme de suivi des paiements des primo-adhésions effectués en ligne depuis le site internet de X. Il lui a été précisé que toutes les vingt-quatre heures, un flux informatique transmet la liste des inscriptions validées par le service administratif à la base de données des adhérents à X […].
La délégation a, par ailleurs, constaté la présence de 98 999 enregistrements dans la base de données de suivi des primo-adhésions en ligne dont 71 467 enregistrements notés comme transmis à la base de données […]. Il lui a, en effet, été précisé que certains de ces enregistrements se rapportent à des inscriptions fantaisistes ou sont signalés comme des fraudes par le logiciel de paiement en ligne.
X a, par ailleurs, indiqué qu’aucune durée de conservation des données contenues dans la plateforme n’a été définie. Il a ainsi été constaté que cette dernière contient des demandes d’adhésion effectuées depuis 2010.
Concernant l’origine de la faille de sécurité, il a été indiqué à la délégation de contrôle que le hash présent dans l’URL permettant d’accéder aux données des adhérents correspondait à un ensemble hashé en MD5 sans sel des nom, prénom et mot de passe lui-même hashé en MD5 sans sel . Ainsi, selon le directeur des systèmes d’information, cette URL a été obtenue par l’injection d’un script javascript dans un formulaire d’adhésion car une fiche adhérent dont les champs nom et prénom contiennent du code javascript a été identifiée. Ceci a été constaté par la délégation. Il lui a été précisé que ces formulaires avaient été corrigés et que ce type d’injection n’était plus faisable.
La délégation a, par ailleurs, été informée qu’après l’appel téléphonique de la CNIL du 27 mai 2016 pour signaler la faille, plusieurs mesures correctives avaient été mises en œuvre par X : blocage temporaire du site au moyen d’un htaccess , suppression du compte de la personne à partir de laquelle les données étaient accessibles, modification du nom du répertoire et réinitialisation de l’ensemble des mots de passe. La délégation de contrôle a toutefois constaté que seul le directeur des systèmes d’information avait changé son mot de passe, les utilisateurs de la plateforme de suivi des paiements ne pouvant le changer eux-mêmes.
Il lui a également été indiqué que, dans un second temps, la procédure d’authentification des personnes au site avait été modifiée pour créer deux niveaux de protection et qu’un système de traçabilité était en cours de développement.
Ces mesures ont été précisées dans un courrier adressé à la Présidente de la CNIL le 16 juin 2016. Le système d’authentification au site est ainsi passé de la méthode GET à la méthode POST et un token d’authentification a été défini, avec une limitation temporelle, afin de remplacer le secret passé en paramètre de l’URL. Enfin, le protocole sécurisé https a été déployé sur l’ensemble du site.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. Philippe LEMOINE en qualité de rapporteur, le 23 juin 2016, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a notifié à X, par porteur, le 8 juillet 2016, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer un avertissement, dont il sollicitait par ailleurs qu’il soit rendu public.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 13 septembre 2016 indiquant à X qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites, ce délai étant repoussé en raison de la période estivale à la date du 5 septembre 2016.
X a produit le 2 septembre 2016 des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte tenue à huis-clos le 13 septembre 2016.
Motifs de la décision
Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si X a manqué à l’obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel contenues dans son système d’information et, en particulier celles relatives aux personnes enregistrées dans la plateforme de suivi des paiements des primo-adhésions, notamment afin que ces données ne soient pas accessibles à des tiers non autorisés.
En défense, X reconnaît l’existence de la fuite de données constatée mais souligne sa bonne foi en rappelant que la faille de sécurité est survenue à son insu lors de la modification de l’application de suivi des paiements des primo-adhésions intervenue le 12 mai 2016.
Il affirme, par ailleurs, que la faille de sécurité n’a pas eu de conséquences dommageables dès lors que celle-ci a été brève, qu’il n’est pas établi que des internautes aient eu accès auxdites données et que ces dernières étaient d’une portée limitée . X soutient ainsi que la donnée la plus sensible était celle faisant état d’une adhésion à un parti politique qui est, de son point de vue, un acte militant et public que leurs auteurs ne cherchent généralement pas à dissimuler.
X insiste également sur sa particulière réactivité qui l’a conduit à prendre des mesures correctives immédiatement après le signalement de la CNIL et, ce, sans attendre une mise en demeure de la Commission.
La formation restreinte considère que la circonstance selon laquelle l’origine de la faille est involontaire n’est pas de nature à amoindrir la gravité du manquement et de ses effets, et ne saurait en aucune façon exonérer l’organisme de sa responsabilité.
Elle rappelle à ce titre la particulière ampleur de l’incident qui a concerné 71 467 primo-adhérents.
Elle relève par ailleurs que la gravité de la faille est accentuée par la nature et le nombre d’informations concernées et rappelle que cette fuite a bien permis la divulgation de données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée. Les données en cause permettaient en effet de faire apparaître directement les opinions politiques des personnes concernées, notamment parce qu’il était possible de déterminer celles qui avaient été intégrées à la base de données des adhérents de X. Elle rappelle qu’il s’agit d’informations relevant de la vie privée des personnes que ces dernières doivent être libres de révéler ou non et qui, en leur qualité de données sensibles , auraient dû faire l’objet de garanties de sécurité particulières.
La formation restreinte, tout en soulignant la bonne foi de X qui a réagi immédiatement après la révélation de la faille pour corriger cette dernière, relève toutefois que les mesures élémentaires de sécurité n’avaient pas été prises en amont.
La formation restreinte considère, tout d’abord, que l’utilisation de la méthode dite GET , qui intègre le secret d’authentification de l’utilisateur dans les paramètres de l’URL, constitue une défaillance importante en termes de sécurité et de confidentialité. Il s’agit, en effet, d’une méthode considérée comme non fiable au regard des règles de l’art dès lors qu’elle permet à tout utilisateur ayant connaissance de l’URL de récupérer les informations relatives à l’authentification et de les exploiter. A cet égard, la formation restreinte note que X a, par la suite, utilisé un système d’authentification sécurisé, tel que la méthode dite POST , afin de rendre inexploitables les données obtenues et d’empêcher l’accès à l’interface d’administration de sa base de données.
La formation restreinte relève de surcroît que le secret contenu au sein de l’URL était transformé à l’aide de l’algorithme de hachage MD5 sans sel, méthode obsolète qui ne permet pas d’assurer la sécurité des données. Il est ainsi rappelé que pour empêcher toute attaque dite par force brute , une fonction de hachage doit non seulement être réputée forte mais également faire intervenir un aléa dans son calcul par l’injection d’un sel.
Enfin, la formation restreinte estime que le contrôle de la CNIL a permis d’établir que X n’avait pas mis en œuvre de système de traçabilité des connexions à la plateforme de suivi des paiements des primo-adhésions. La mise en place d’un tel dispositif constitue pourtant une précaution d’usage essentielle dont la mise en œuvre aurait permis, d’une part, d’identifier l’éventuelle exploitation malveillante de la faille de sécurité de la base de données et, d’autre part, d’intervenir immédiatement pour la corriger.
Sur la base de ces éléments, la formation restreinte considère que le manquement à l’article 34 de la loi du 6 janvier 1978 modifié est constitué.
Sur le manquement à l’obligation de définir et mettre en œuvre une durée de conservation des données
L’article 6-5° de la loi du 6 janvier 1978 modifiée prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas [celle] nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Lors du contrôle sur place effectué le 15 juin 2016, X a indiqué qu’aucune durée de conservation n’avait été définie pour les données contenues dans la plateforme de suivi des paiements des primo-adhésions. La délégation a par ailleurs constaté que la base contient des demandes d’adhésion effectuées depuis 2010.
En défense, X indique qu’en vertu de ses statuts, la cotisation due au titre d’une première adhésion est d’un montant modeste alors que le renouvellement est ensuite fixé sur la base d’un barème progressif prenant en compte les capacités contributives des adhérents. Il explique ainsi que la plateforme de suivi des primo-adhésions lui permet à la fois d’être informé des nouvelles adhésions et de l’effectivité du paiement des cotisations mais également de déterminer le montant de ces dernières en vérifiant si une demande constitue bien une primo-adhésion et non un renouvellement.
X souligne, en conséquence, que les données de la plateforme ne peuvent être limitées dans le temps, une longue période pouvant s’écouler entre une primo-adhésion et un renouvellement.
La formation restreinte rappelle que les termes mêmes de l’article 6-5 précité interdisent la conservation sans limitation de durée de données à caractère personnel. Le Conseil d’Etat a d’ailleurs rappelé dans une décision du 18 novembre 2015 qu’une durée illimitée de conservation des données ne pouvait être regardée comme nécessaire aux finalités d’un traitement (CE, 18 novembre 2015, n° 372111).
Par ailleurs, la formation restreinte considère qu’en l’espèce, la nécessité d’identifier les primo-adhésions ne permet pas de justifier de l’intérêt à conserver en base active les données à caractère personnel des primo-adhérents pour une durée illimitée. Elle rappelle que la fixation d’une durée de conservation n’impose pas nécessairement la destruction des données à caractère personnel après l’expiration d’un certain délai mais, à tout le moins, leur versement en archives intermédiaires qui permet leur consultation uniquement par un nombre restreint de personnes habilitées.
A cet égard, la formation restreinte considère que le respect de cette obligation aurait permis de limiter l’ampleur de la faille de sécurité puisque seules les données les plus récentes et non celles collectés depuis 2010 auraient été rendues librement accessibles.
Le manquement aux obligations découlant de l’article 6-5° de la loi du 6 janvier 1978 modifiée est, dès lors, caractérisé.
Sur la sanction et la publicité
Les manquements commis par X justifient que soit prononcé à son encontre un avertissement.
Compte tenu de la gravité des manquements constatés, du nombre de personnes concernées par la faille et du caractère particulièrement sensible des données en cause, la formation restreinte décide de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer un avertissement à l’encontre de X ;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis concernant l'article 1er d'un projet de décret relatif à la lutte contre le financement du terrorisme ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code monétaire et financier, notamment son article L. 561-23 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ;Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement, 
Émet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis d'un projet de décret en Conseil d'Etat relatif à la lutte contre le financement du terrorisme, plus particulièrement de son article 1er.
Cet article vise à renforcer le dispositif de lutte contre le financement du terrorisme en permettant aux agents du service à compétence nationale mentionné à l'article L. 561-23 du code monétaire et financier - Tracfin - d'accéder aux données à caractère personnel et informations enregistrées dans le fichier des personnes recherchées (FPR). Il modifie, à cette fin, les dispositions du décret n° 2010-569 du 28 mai 2010 modifié relatif au FPR, pris après avis de la Commission.
En application des dispositions des articles 26-II et 30 de la loi du 6 janvier 1978 modifiée, ces modifications doivent faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la Commission.
Le FPR est un traitement qui a pour finalité de faciliter les recherches et les contrôles effectués, dans le cadre de leurs attributions, par les services de la police nationale, les unités de la gendarmerie nationale et les agents des douanes exerçant des missions de police judiciaire ou des missions administratives. Il est divisé en sous-fichiers regroupant les personnes inscrites en fonction du fondement juridique de la recherche.
Afin d'étendre l'accès à ce fichier, le projet de décret modifie deux articles du décret n° 2010-569 du 28 mai 2010 précité : l'article 1er, pour prévoir que le FPR a également pour finalité de faciliter les recherches et les contrôles effectués, dans le cadre de leurs attributions, par les agents de Tracfin, et l'article 5, pour compléter en conséquence la liste des personnes pouvant accéder aux données et informations qui y sont enregistrées. 
Le service à compétence nationale Tracfin est une cellule de renseignement financier placée sous la tutelle du ministère des finances et des comptes publics. Il est notamment chargé de recueillir, analyser et enrichir les déclarations de soupçons que les professionnels assujettis sont tenus, par la loi, de lui communiquer dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme.
Pour l'accomplissement de ses missions, Tracfin dispose d'un accès direct  aux fichiers utilisés par les services en charge de l'établissement de l'assiette, du contrôle et du recouvrement des impôts  et au Traitement des Antécédents Judiciaires (TAJ), comme le prévoit l'article L. 561-27 du code monétaire et financier.
Les agents de Tracfin peuvent également accéder,  pour les besoins de la prévention des atteintes aux intérêts fondamentaux de la Nation et des actes de terrorisme , aux traitements et données mentionnés à l'article L. 222-1 du code de la sécurité intérieure, notamment le fichier national des immatriculations, le système de gestion des cartes nationales d'identité, le système de gestion des passeports ou encore le système informatisé de gestion des dossiers des ressortissants étrangers en France.
L'élargissement des finalités du FPR vise ainsi à compléter les outils de recherche directement à la disposition du service Tracfin afin de lui permettre de prendre connaissance de toute information utile à ses investigations et à ses missions de renseignement.   
Dès lors, la Commission considère que cette nouvelle finalité du FPR est déterminée, explicite et légitime, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Il convient toutefois de s'assurer, compte tenu de la grande diversité des motifs judiciaires et administratifs susceptibles de fonder l'inscription d'une personne dans le FPR, que les accès des agents du service Tracfin se limitent aux sous-fichiers susceptibles de contenir des informations pertinentes au regard de l'objectif légitime de lutte contre le blanchiment d'argent et le financement du terrorisme
Sur ce point, si le projet de décret mentionne que les agents du service Tracfin ne peuvent accéder au FPR que dans le cadre de leurs attributions légales et pour les besoins exclusifs de leurs missions, aucune information n'a été communiquée à la Commission quant aux catégories de données ou de personnes concernées par ces nouveaux accès.  
Dès lors, la Commission n'est pas en mesure de s'assurer du respect des dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
En tout état de cause, elle rappelle que les accès des agents de Tracfin doivent être restreints de manière effective aux seules catégories de personnes et données à caractère personnel dont la consultation est nécessaire au regard des missions particulières qui leur sont confiées. 
S'agissant des modalités de ces accès, la Commission relève qu'ils sont limités aux agents du service  individuellement désignés et spécialement habilités par le directeur du service  et que les opérations de consultation feront l'objet d'une journalisation, avec une durée de conservation des traces de cinq ans, conformément à l'article 8 du décret n° 2010-569 du 28 mai 2010 modifié.
Si aucun élément technique définitif n'a été communiqué à la Commission concernant les conditions d'accès exactes des agents du service Tracfin aux données et informations enregistrées dans le FPR, de sorte qu'elle n'a pas été en mesure de se prononcer sur le respect de l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée, elle prend acte que ces conditions d'accès feront l'objet d'une vigilance particulière de la part du ministère.  
Les autres conditions de mise en œuvre du FPR ne sont pas modifiées par le projet de décret et n'appellent donc pas d'observation de la part de la Commission. 
Pour La PrésidenteLe Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,Saisie par les ministères en charge des finances et des comptes publics, des affaires sociales et de la santé, des familles, de l'enfance et des droits des femmes d'une demande d'avis concernant un projet de décret en Conseil d'Etat autorisant la création d'un traitement de données à caractère personnel dénommé  dossier médical partagé  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la santé publique, notamment ses articles L. 1111-8-1, L. 1111-14 et suivants ;Vu le code de la sécurité sociale, notamment ses articles L. 161-28-1 et L. 162-4-3 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment en son article 27 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret en Conseil d'Etat n° 2016-914 du 4 juillet 2016 relatif au dossier médical partagé ;Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses
Emet l'avis suivant :