AgentPublic/cnil huggingface dataset:
Dans le cadre de ses activités dites de « Samu social » et de « Maraude », la délégation départementale de Paris de la Croix-Rouge française va à la rencontre de personnes vivant dans la rue pour établir un contact avec elles, leur apporter de l’aide, évaluer leurs situations puis, le cas échéant, les orienter vers le ou les organismes à même de répondre au mieux à leur situation sans transférer à ces organismes de données à caractère personnel.La finalité du traitement vise à la gestion et au suivi des personnes rencontrées dans le cadre des activités dites de « Samu social » et de « Maraude » de la délégation départementale de Paris de la Croix-Rouge française.La Commission estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements justifiés par l’intérêt public qui comportent des données relatives aux origines raciales ou ethniques, aux opinions politiques ou religieuses, à la santé et à la vie sexuelle.Dans la mesure où la délégation départementale de Paris de la Croix-Rouge française gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée, la Commission considère qu’il convient également de retenir l’application de l’article 25-I-3° de ladite loi pour ce qui concerne le traitement des données relatives aux infractions, condamnations ou mesures de sûreté.  La Commission considère enfin que le recours à la formalité de
l’autorisation se justifie au regard de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, pour ce qui concerne les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les personnes rencontrées à l’occasion des activités de « Samu social » et de « Maraude » et sont relatives :
à l’identification (nom, prénom, surnom, date et lieu de naissance, sexe, nationalité, lieu où la personne a été rencontrée) ;
à la vie personnelle (habitude de vie, situation familiale, hobbies, centres d’intérêts) ;
à la vie professionnelle (curriculum vitae, situation professionnelle, scolarité) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux infractions, condamnations ou mesures de sûreté pour aider la personne concernée dans le cadre d’une procédure et/ou l’orienter vers un organisme spécialisé ;
à des appréciations sur les difficultés sociales des personnes ;
à la santé (pathologie, affection, antécédents familiaux, soins, situations ou comportements à risques, demande d’intervention d’un professionnel de santé) ;
aux origines raciales ou ethniques, aux opinions politiques ou religieuses, et ce, exclusivement pour évaluer la possibilité de déposer une demande d’asile avant d’orienter la personne, le cas échéant, vers un organisme spécialisé chargé de constituer le dossier ;
à la vie sexuelle pour mettre en place une prévention médicale et/ou faire intervenir un professionnel de santé si la personne concernée est confrontée à des risques particuliers au regard de sa sexualité.
La Commission relève, par ailleurs, que des données relatives aux bénévoles participants à l’opération sont également collectées (adresses de courriel).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les données visées ci-dessus sont accessibles aux seules personnes dûment habilitées de la délégation départementale de la Croix-Rouge de Paris et de ses délégations locales.La Commission prend acte que les données du présent traitement ne peuvent en aucun cas être transmises à d’autres organismes.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, lors de la rencontre avec la personne concernée et de l’entretien oral qui s’ensuit.Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de la délégation départementale de la Croix-Rouge de Paris (12, rue Chardin, 75016 Paris).  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
La Commission relève que des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur ont été mis en œuvre, d’une part, et que l’authentification des utilisateurs est assurée par l’utilisation de mots de passe alphanumériques de 9 caractères régulièrement renouvelés, d’autre part. La Commission observe également que le traitement comporte une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression.La Commission prend note que les échanges de données sont réalisés par l’intermédiaire d’internet et que les sessions sont sécurisées par l’utilisation d’un certificat dit « SSL ». Elle rappelle que les échanges de données réalisés par l’intermédiaire de canaux non sécurisés, tels que des clefs « USB », doivent être cryptés afin de garantir la confidentialité des données transmises.La Commission observe également que les opérations de maintenance sont réalisées par un sous-traitant en présence d’un informaticien de la Croix-Rouge française.Enfin, la Commission relève que des clefs « USB » cryptées au moyen de l’algorithme « AES » sont utilisées comme support de sauvegarde. Ces mesures de sécurité apparaissent satisfaisantes.
Sur les autres caractéristiques du traitement
Les données sont conservées tant que les équipes la délégation départementale de Paris de la Croix-Rouge française rencontrent la personne concernée. Elles sont détruites au maximum 2 ans à compter de la dernière rencontre. Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. A l’issue de ce délai, la Commission observe que des données ne permettant pas d’identifier directement ou indirectement des personnes physiques sont conservées dans un but statistique, et ce, pour permettre à la Croix-Rouge française d’étudier l’évolution dans le temps de ses activités et des demandes des bénéficiaires. Ce constat n’appelle aucune observation de la Commission, si ce n’est que l’anonymisation des données conservées dans un but statistique ne doit pas permettre, même indirectement, d’identifier des personnes physiques.
Autorise, conformément à la présente délibération, la délégation départementale de Paris de la Croix-Rouge française à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu l'ordonnance du juge des libertés et de la détention du tribunal de grande instance de Paris du 21 novembre 2011 ; 
Vu la décision n° 2011-293C du 22 novembre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ;
Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, adressé par huissier de justice à la société X, le 23 mars 2012 ; 
Vu les observations écrites versées par la société le 27 avril 2012, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 3 mai 2012 ; 
Vu la note en délibéré versée par la société par courrier en date du 29 mai 2012, parvenue à la Commission le 31 mai ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors de la réunion de la formation restreinte du 3 mai 2012 : - M. Bernard PEYRAT, commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations ;
- MM. XX et YY, assisté de Me ZZ, avocat, leur conseil, en la défense de la société;
Ces derniers ayant pris la parole en dernier, À adopté la décision suivante : 
I. FAITS ET PROCÉDURE
La société X (ci-après, la société) édite le site Internet [...], également accessible en version anglaise à l'adresse [...].
Le service développé par la société consiste à rechercher des informations relatives à des personnes physiques, telles qu'elles ont été rendues publiques sur les réseaux sociaux, pour les agréger sous forme de fiches nominatives. Les informations agrégées sont initialement présentées sur une première page dans un format carte de visite regroupant les noms et prénoms, photographies, expériences, formations et localités des personnes ; dans un second temps, en cliquant sur un lien voir le profil, la personne à l'origine de la recherche accède à des informations complémentaires, présentées sous la forme d'un curriculum vitae intégrant les parcours étudiant et professionnel de la personne sur laquelle porte la recherche.
Le service offert par la société indique par ailleurs le nom, et le cas échéant les photos des personnes détenant également un profil sur ce site, présentées comme étant en relation avec l'intéressé, un graphique reliant de manière visuelle ces personnes entre elles, ainsi que des résultats de recherche listant les images et les autres sites Internet détenant des informations sur la personne, ces résultats renvoyant à des sites tiers.
Entre le mois de février 2011 jusqu'au 23 mars 2012, date à laquelle a notifié le rapport du rapporteur sollicitant de la formation restreinte qu'elle prononce une sanction en l'espèce, la Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie de nombreuses plaintes (en tout, plus d'une trentaine) émanant de personnes résidant tant en France qu'à l'étranger concernant la mise en œuvre du service offert par la société. Certaines de ces plaintes lui ont été transmises par ses homologues européens ou par la société hébergeant le site litigieux, que les plaignants contactaient par défaut, en l'absence de réponse de la société à leurs diverses demandes. 
Les plaintes reçues portaient, notamment, sur l'absence de procédure effective permettant aux personnes de s'opposer à la diffusion des informations les concernant, ainsi que sur la diffusion de données privées n'apparaissant plus dans les profils publics des personnes concernées sur les réseaux sociaux. 
La Commission a interrogé la société à de nombreuses reprises dans le cadre de l'instruction de ces plaintes. La plupart des courriers lui ayant été adressés à cette fin sont restés sans réponse, ou n'ont pas reçu de réponse satisfaisante.
Dans ces conditions, la Présidente de la Commission a ordonné, par décision n° 2011-293C du 22 novembre 2011, qu'une mission de vérification soit diligentée auprès de la société. Le contrôle programmé le 28 novembre 2011 n'a cependant pu se dérouler, l'adresse du siège de la société se révélant être une simple domiciliation postale. Par courriers recommandés avec avis de réception adressés les 29 novembre et 1er décembre 2011, la Commission a convoqué les représentants de la société dans les locaux de la Commission pour audition, sur le fondement de l'article 44-III de la loi du 6 janvier 1978 modifiée. Cette tentative d'audition n'a pas davantage prospéré, ces derniers ne s'étant pas présentés à l'audition ordonnée par la Présidente de la Commission. Un procès-verbal a été dressé immédiatement et notifié à la société par courrier recommandé avec avis de réception du 22 décembre 2011. 
À défaut de pouvoir apprécier de manière contradictoire les conditions de mise en œuvre des traitements litigieux, la Commission a fait dresser plusieurs constats d'huissier (en date des 26 décembre 2011, 30 décembre 2011, et 19 mars 2012) attestant notamment de la diffusion, sur le site de la société, de données relatives à des personnes ayant expressément demandé que leurs données n'y soient plus diffusées.
Au vu des faits précités, par décision en date du 19 mars 2012, la Présidente de la Commission a désigné M. Bernard PEYRAT, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de la société une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée. 
À l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée à notifié par huissier le 23 mars 2012 un rapport détaillant ces manquements. Ce rapport demandait également à la formation restreinte de la Commission de prononcer à l'encontre de la société un avertissement, dont il sollicitait par ailleurs qu'il soit rendu public. A cette fin était également jointe au rapport une convocation à la séance de jugement de la formation restreinte du 3 mai 2012. 
La société, par courrier en date du 27 avril 2012, a adressé à la Commission ses observations sur le rapport. Elle a également présenté ses observations orales lors de la séance de la formation restreinte du 3 mai 2012. 
 
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation de mettre à jour les données
Aux termes du 4° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, les données sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées. 
Il appartient à la formation restreinte de se prononcer sur la conformité à ces dispositions des procédures mises en œuvre par la société. 
En effet, il est reproché à la société d'avoir diffusé, et ce encore le jour-même de l'audience, des informations enregistrées dans la partie privée de leurs profils sur les réseaux sociaux, ou des informations initialement rendues publiques, mais que les personnes ont ensuite choisi de faire basculer dans la partie privée de leurs profils. 
La société ne conteste pas la réalité des faits reprochés sur ce point, qu'elle explique par la lenteur du processus de mise à jour des informations qu'elle diffuse sur ses propres pages. Il ressort en effet clairement des débats contradictoires que cette situation s'explique par l'unique fait que les données litigieuses ont été indexées alors qu'elles figuraient sur des profils de réseaux sociaux ouverts, mais qui ont été fermés par leurs propriétaires depuis lors. Seule la mise à jour régulière des bases de la société aurait pu permettre à celle-ci de ne diffuser sur son site que des informations rendues publiques par les personnes.
Pour sa défense, la société soutient qu'elle ne disposait pas jusqu'à présent des ressources financières nécessaires à l'acquisition de nouveaux serveurs, et ne pouvait donc pas disposer d'une puissance de calcul suffisante pour mettre à jour les données qu'elle diffuse le plus régulièrement possible. Tant dans ses écritures qu'oralement lors de l'audience, elle a pris l'engagement de consacrer plus d'un quart de la récente levée de fonds récemment obtenue à cette fin, et de recruter deux ingénieurs informaticiens pour gérer ses bases de données et son parc informatique. De ce fait, selon elle, l'ensemble des données actuellement stockées par la société sera intégralement mise à jour d'ici deux à trois mois. 
La formation restreinte relève, à cet égard, que les engagements pris par la société pour le futur ne font pas disparaître les manquements passés, ce d'autant qu'il a été constaté que ceux-ci persistaient encore au jour de la séance. 
Or, il s'avère que l'absence de mise à jour des données stockées par la société a conduit à la diffusion, par celle-ci, de données dont qui n'étaient plus diffusées sur les profils publics des personnes concernées, ce que la société a reconnu lors de l'audience.
Ainsi, les données dont les personnes ont clairement manifesté le caractère privé en ne les faisant plus figurer dans la partie publique des réseaux sociaux ont été non seulement diffusées sur les sites [...] ou [...], mais également, par répercussion, référencées par les moteurs de recherche tels que Bing, Google et Yahoo !. 
Il apparaît donc, ce que la société ne conteste au demeurant pas, qu'en ne procédant pas à la mise à jour régulière de ses bases, la société a privé de toute effectivité la possibilité, pour les personnes, de faire respecter les droits leur étant garantis par la loi du 6 janvier 1978 modifiée. Plus généralement, elle a permis la diffusion de données périmées, provoquant des préjudices d'image et de réputation aux personnes concernées, susceptibles d'être d'autant plus grands que les informations et images figurant sur des réseaux sociaux ou des blogs, par nature, évoluent très rapidement. 
En développant une activité commerciale basée sur l'indexation des données de personnes sur les réseaux sociaux, la société X devait tenir compte de cette réalité technologique dès sa conception, en prévoyant de procéder à des mises à jour régulières sur l'ensemble des données collectées. Il est établi, en l'espèce, que tel n'a pas été le cas.
Dans ces conditions, la formation restreinte conclut que la société ne s'est pas mise en mesure de se conformer aux dispositions du 4° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, dont elle n'a, de ce fait, pas respecté les termes. 
2. Sur le manquement à l'obligation de respecter le droit d'opposition
Aux termes de l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée, Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur (...). Il appartient à la formation restreinte de se prononcer sur la conformité à ces dispositions des pratiques de la société. 
En défense, la société soutient avoir à tout le moins partiellement satisfait à son obligation de respecter les dispositions ci-dessus. En effet, elle a mis en œuvre une procédure permettant aux personnes d'exercer leur droit d'opposition de manière automatique, et répondu dans toute la mesure de ses moyens aux demandes d'opposition formées par les internautes. Elle soutient, en outre, avoir satisfait à plusieurs demandes directement, indépendamment de toute intervention de la CNIL.
Sur ce point, la formation restreinte constate, en premier lieu, qu'il n'est pas contesté que de nombreuses demandes d'opposition ont été formées par les personnes auprès de la société sans que celle-ci y donne une suite satisfaisante. 
Elle relève, en second lieu, que les faits évoqués dans les plaintes reçues par la Commission, notamment la plainte n°1019766, révèlent que la procédure d'opposition mise en place par la société s'avère pour le moins paradoxale. En effet, cette procédure impose aux personnes refusant qu'un profil à leur nom figure sur le site X d'accepter au préalable la prise en main de leur profil afin d'exprimer ensuite leur refus. Or, une telle procédure implique de créer un compte sur le site-même dont les personnes souhaitent être désinscrites, qui plus est en sollicitant la fourniture d'informations complémentaires, telles que leur adresse électronique.
En troisième lieu, il ressort des règles de protection de la vie privée accessibles, au jour de l'audience, à l'adresse [...] qu'il était impossible à une personne de s'opposer à la diffusion, sur le site X, de données qu'elle aurait rendues publiques sur d'autres sites. Or, la loi du 6 janvier 1978 modifiée n'impose aucune condition particulière à l'exercice du droit d'opposition des personnes, si ce n'est l'existence d'un motif légitime, qui ne saurait être contesté en l'espèce. En effet, il est parfaitement légitime que les personnes s'opposent à la diffusion de données qu'elles ont, certes, elles-mêmes divulguées, mais dont elles peuvent parfaitement ne pas pour autant souhaiter qu'elles soient agrégées sous une forme telle que celle retenue par la société en l'espèce (diffusion des informations sous la forme d'un curriculum vitae ; association de photos de personnes tierces présentées comme étant en relation avec l'intéressé ; graphique reliant de manière visuelle ces personnes entre elles, etc.). 
Sur l'ensemble de ces points, la société reconnaît au demeurant que ses efforts n'ont pas été suffisants. Elle admet également avoir manqué à son obligation de respecter le droit d'opposition de manière systématique et diligente, ce qu'elle explique par le fait qu'étant à peine issue de sa phase de création, elle a manqué des ressources humaines nécessaires pour gérer les demandes d'opposition reçues.
La formation restreinte prend acte, à cet égard, du fait que la société a recruté un salarié dédié à la gestion de la relation avec ses utilisateurs et au traitement des demandes d'exercice du droit d'opposition, dont il est prévu qu'il intègre la société au 1er juin 2012, et qu'elle a également pris l'engagement, dans ses écritures comme à l'audience, de supprimer le profil de l'ensemble des personnes ayant porté plainte auprès de la CNIL, de simplifier sa procédure d'opposition et de réduire les délais de traitement des demandes de suppression. Pour autant, il n'en est pas moins établi qu'en de nombreuses occasions, la société n'a pas respecté le droit d'opposition garanti aux personnes par la loi. Or, ici encore, la formation restreinte considère qu'il n'est pas acceptable que le développement d'une activité commerciale reposant exclusivement sur l'indexation des données à caractère personnel de personnes sur les réseaux sociaux ne prenne pas en compte, dès sa conception, des procédures permettant à ces personnes de faire respecter leurs droits de manière effective, rapide, et durable. 
Dans ces conditions, sans préjuger de l'effectivité des mesures prises par la société pour se conformer aux règles applicables à l'avenir, la formation restreinte considère que celle-ci a manqué aux obligations prescrites par l'article 38 de la loi du 6 janvier 1978 modifiée. 
3. Sur le défaut de coopération avec la CNIL