AgentPublic/cnil huggingface dataset:
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 6 avril 2017 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X le 20 avril 2017 ;
Vu les observations écrites de la société X reçues le 17 mai 2017, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 1er juin 2017 :
M. François PELLEGRINI, Commissaire, en son rapport ;
En qualité de représentante de la société X : Mme X, avocat ;
Mme Nacima BELKACEM, Commissaire du Gouvernement, n’ayant pas formulé d’observations ;
La représentante de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
I. Faits et procédure
La société X (ci-après, la société ) a été créée en 1950 et a pour activité la location de véhicules aux particuliers et aux professionnels. Son siège social est situé au […]. Elle emploie environ 1250 salariés. Son chiffre d’affaires pour l’année 2015 était de 396 233 000 euros. La société est une filiale détenue à 100% par la société Y, située aux Etats-Unis.
Dans le cadre de ses activités, la société a créé en 2011 un programme proposant des réductions sur les locations de véhicules pour lequel a été conçu le site web […] (ci-après, le site ).
Le 15 octobre 2016, l’éditeur du site web […] a informé les services de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) que le traitement de données à caractère personnel accessible à partir de l’URL […] permettrait une violation des données de plus de 40 000 clients de la société X.
En application de la décision n° 2016-304C de la Présidente de la Commission du 21 octobre 2016, une mission de vérification en ligne a été opérée le jour même sur le site […]. La délégation a alors constaté qu’en ajoutant à cette adresse URL la chaîne de caractères cartcb_id= et un numéro correspondant à un identifiant, les pages affichées faisaient apparaitre les données à caractère personnel renseignées par les personnes ayant adhéré au programme de réduction, notamment leurs nom et prénom, date de naissance, adresse postale, adresse de messagerie électronique et numéro de permis de conduire. La délégation a ainsi pu accéder aux données à caractère personnel de 35 327 personnes.
A l’issue du contrôle, la délégation a pris contact avec la société pour l’informer de l’existence d’une violation de données à caractère personnel sur le site.
Lors d’une seconde mission de contrôle effectuée au sein des locaux de la société X le 28 octobre 2016, la délégation a été informée de ce que le développement du site avait été confié à un sous-traitant. La société a indiqué que dès qu’elle a été prévenue par la CNIL de l’existence de la violation de données, elle en a immédiatement alerté son sous-traitant qui a mis en place les correctifs nécessaires. Ce dernier lui a indiqué que la violation de données avait pour origine la suppression involontaire d’une ligne de code lors du remplacement de l’un des serveurs assurant l’interface avec le prestataire en charge des paiements. A l’occasion de ce contrôle, la délégation a pu constater que la violation de données avait cessé.
Par courrier du 10 novembre 2016, la société a adressé le rapport d’incident établi par son sous-traitant. Il faisait notamment état de ce qu’en juin 2016, la société a changé son infrastructure serveur et a reconfiguré son interface de programmation afin que celle-ci soit compatible avec l’interface de son prestataire de paiement. A cette occasion, une partie de code a été impactée par erreur, ce qui a provoqué l’incident de sécurité.
La société a par ailleurs indiqué qu’elle avait décidé de faire procéder à un audit de sécurité sur les traitements mis en œuvre pour son compte par son sous-traitant.
Le 16 novembre 2016, la délégation a effectué une mission de contrôle dans les locaux du sous-traitant de la société X. Celui-ci a indiqué à la délégation qu’aucun cahier des charges spécifique à la mise en œuvre du site web ne lui avait été imposé par la société.
Le sous-traitant a confirmé à la délégation de contrôle que la violation de données avait pour origine la suppression involontaire d’une ligne de code lors du remplacement de l’un des serveurs, causant le réaffichage du formulaire contenant l’ensemble des données à caractère personnel renseignées par les personnes s’inscrivant au programme de réduction. Le sous-traitant a également précisé qu’il avait procédé à la mise en production des modifications nécessaires quelques heures après avoir été alerté par la société X.
Le sous-traitant a indiqué à la délégation qu’une analyse des journaux d’accès au serveur avait permis de constater qu’aucun téléchargement massif de données n’avait été réalisé sur le serveur de la société.
Le 13 février 2017, la société X a communiqué à la CNIL le rapport issu de l’audit réalisé par une société de conseil et d’expertise. Il ressort que le niveau global de sécurité chez le sous-traitant comportait des insuffisances. La société a enfin indiqué à la délégation que le sous-traitant avait déjà mis en place plusieurs recommandations formulées dans le rapport d’audit.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. PELLEGRINI en qualité de rapporteur, le 6 avril 2017, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
A l’issue de son instruction, le rapporteur a notifié à la société X, le 20 avril 2017, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 1er juin 2017, indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
La société a produit le 16 mai 2017 des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 1er juin 2017.
II. Motifs de la décision
L’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose que : Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il appartient à la formation restreinte de décider si la société X a manqué à l’obligation lui incombant de mettre en œuvre des moyens propres à assurer la sécurité des données à caractère personnel contenues dans son système d’information et, en particulier, celles enregistrées par le biais de son site […], notamment afin que ces données ne soient pas accessibles à des tiers non autorisés.
En défense, la société rappelle que la violation de données a été portée à sa connaissance par la CNIL le 21 octobre 2016 à 18 h, qu’elle en a immédiatement informé son sous-traitant et que ce dernier a mis en œuvre les correctifs adéquats moins de quatre heures après le signalement de l’incident par les services de la Commission. Elle explique qu’elle a spontanément décidé de faire procéder à un audit de sécurité de son prestataire, qu’elle l’a communiqué à la CNIL et qu’à l’issue de cet audit, son sous-traitant a déjà déployé plusieurs recommandations préconisées par le rapport.
La société soutient ensuite que si les données à caractère personnel d’environ 35 000 personnes ont été concernées par la violation de données, aucune extraction massive de données n’a été effectuée à partir de ses serveurs. En outre, elle fait valoir qu’aucun titulaire de carte de réduction ne lui a rapporté que ses données avaient étés divulguées.
Enfin, la société indique que le contrat conclu avec son sous-traitant contient une clause spécifique à la protection des données à caractère personnel et que la survenance de la violation de données est la conséquence d’une erreur commise par celui-ci.
La formation restreinte relève que la société ne conteste pas la survenance d’un incident de sécurité sur le site […] ayant entrainé une violation de données à caractère personnel. Elle rappelle que cette violation de données a rendu accessibles les données identifiantes de 35 327 personnes telles que leur nom, prénom, date de naissance, adresse postale, adresse de messagerie électronique et numéro de permis de conduire.
La formation restreinte considère que la violation de données résulte d’une négligence de la société dans la surveillance des actions de son sous-traitant. Elle note tout d’abord que la société n’a imposé aucun cahier des charges à son prestataire s’agissant du développement du site. La formation restreinte relève ensuite que l’opération de changement de serveur, à l’origine de la violation de données, concernait les serveurs permettant de communiquer avec le prestataire de paiement et constituait donc une opération délicate requérant une attention particulière. Selon la formation restreinte, la société aurait dû s’assurer, à la suite de cette opération, que la mise en production du site avait été précédée d’un protocole complet de test afin de garantir l’absence de toute vulnérabilité.
Compte tenu de ces éléments, la formation restreinte considère que la société n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données traitées.
La formation restreinte note, toutefois, que la société a réagi rapidement dès qu’elle a eu connaissance de la violation de données en alertant son sous-traitant et qu’il a été mis fin à la violation de données dans un délai très bref. Elle prend également acte de ce que l’incident de sécurité est la conséquence d’une erreur humaine qui ne semble pas avoir donné lieu à une extraction massive de données par des tiers non autorisés. Enfin, la formation restreinte relève que la société a pris l’initiative de faire procéder à un audit de sécurité de son sous-traitant quelques semaines seulement après la survenance de la violation de données.
III. Sur la sanction et la publicité
Au regard des éléments développés ci-dessus, les faits constatés constituent un manquement aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
La formation restreinte relève que la société a fait preuve de négligence dans le suivi des actions de son sous-traitant, ce qui a permis l’accessibilité de données à caractère personnel variées et directement identifiantes se rapportant à un volume important de clients, en l’occurrence 35 327 personnes. La formation restreinte note, en revanche, la grande réactivité de la société dans la résolution de la violation de données, les initiatives prises en termes d’audits de sécurité et sa bonne coopération avec la Commission.
Au regard de ces éléments, une sanction d’un montant de 40.000 euros apparait justifiée.
La formation restreinte considère qu’au regard du contexte actuel dans lequel se multiplient les incidents de sécurité, il y a lieu de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer une sanction pécuniaire à l’encontre de la société X d’un montant de 40.000 euros ;
rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-3°, 25-I-4° et 25-II ;
Vu la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;
Vu le décret n° 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d'alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l'Etat ;
Vu la délibération n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle ;
Vu la délibération n° 2010-369 du 14 octobre 2010 modifiant l'autorisation unique n° 2005-305 du 8 décembre 2005 n° AU-004 ;
Vu la délibération n° 2014-042 du 30 janvier 2014 modifiant l'autorisation unique n° 2010-369 du 14 octobre 2010 n° AU-004 ;
Vu le document d'orientation relatif aux dispositifs d'alerte professionnelle adopté par la Commission le 10 novembre 2005, annexé à la présente décision ;
 
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Un dispositif d'alerte professionnelle est un système mis en œuvre par des organismes publics ou privés, à destination des membres de leur personnel ou des collaborateurs extérieurs et occasionnels pour les inciter à signaler à l'organisme employeur des comportements, dont ils ont eu personnellement connaissance, qu'ils estiment contraires aux règles applicables, et pour organiser la vérification de l'alerte ainsi recueillie au sein de l'organisme concerné.
Ce dispositif est mis en œuvre complémentairement aux voies traditionnelles de signalement et son utilisation ne constitue qu'une faculté pour l'employé de l'organisme.
Les dispositifs d'alerte professionnelle mis en œuvre sur les lieux de travail peuvent prendre la forme de traitements automatisés de données à caractère personnel susceptibles, du fait de leur portée, d'exclure des personnes du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire et susceptibles également de contenir des données relatives à des infractions.
Dès lors, de tels dispositifs constituent des traitements relevant tant de l'article 25-I 3° que de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut adopter une décision unique d'autorisation pour des traitements répondant notamment aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.
Le responsable de traitement mettant en œuvre un dispositif d'alerte professionnelle dans le respect des dispositions de cette décision unique adresse à la Commission un engagement de conformité à la présente autorisation.
La Commission décide que les responsables de traitement qui lui adressent une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
 
Article 1
Finalités du traitement
Peuvent faire l'objet d'un engagement de conformité à la présente décision unique, les traitements automatisés de données à caractère personnel mis en œuvre par les organismes publics ou privés ayant pour finalité le signalement et le traitement des alertes, émises par une personne physique, relatives à :
- un crime ou un délit ;
- une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France ;
- une violation grave et manifeste d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un engagement international régulièrement ratifié ;
- une violation grave et manifeste de la loi ou du règlement ;
- ou une menace ou un préjudice graves pour l'intérêt général, dont l'émetteur de l'alerte a eu personnellement connaissance.
Sont également couverts par la présente décision unique, les traitements automatisés de données à caractère personnel mis en œuvre par un organisme pour le recueil de signalements, émanant de ses personnels, relatifs aux obligations définies par les règlements européens et par le code monétaire ou financier ou le règlement général de l'Autorité des marchés financiers et dont la surveillance est assurée par l'Autorité des marchés financiers ou l'Autorité de contrôle prudentiel et de résolution.
Sont également couverts par la présente décision unique, les traitements automatisés de données à caractère personnel mis en œuvre par un organisme pour le recueil de signalements, émanant d'employés, relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société, concernant des faits de corruption ou de trafic d'influence, ce, dès lors que la mise en œuvre de ces traitements répond à une obligation légale ou à un intérêt légitime du responsable de traitement.
L'alerte ne peut toutefois pas porter sur des éléments couverts par le secret de la défense nationale, le secret médical ou le secret des relations entre un avocat et son client.
 
Article 2
Traitement de l'identité de l'émetteur de l'alerte et de la personne visée
L'émetteur de l'alerte professionnelle doit s'identifier mais son identité est traitée de façon confidentielle par l'organisation chargée de la gestion des alertes.
L'organisme ne doit pas inciter les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme.
Par exception, l'alerte d'une personne qui souhaite rester anonyme peut être traitée sous les conditions suivantes :
- la gravité des faits mentionnés est établie et les éléments factuels sont suffisamment détaillés ;
- le traitement de cette alerte doit s'entourer de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif.
Les éléments de nature à identifier l'émetteur de l'alerte ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'avec le consentement de la personne.
Les éléments de nature à identifier la personne mise en cause par un signalement ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte.
 
Article 3
Catégories de données à caractère personnel enregistrées
Seules les catégories de données suivantes peuvent être traitées :
- identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ;
- identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ;
- identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;
- faits signalés ;
- éléments recueillis dans le cadre de la vérification des faits signalés ;
- compte rendu des opérations de vérification ;
- suites données à l'alerte.
Les faits recueillis sont strictement limités aux actes visés par le dispositif d'alerte. La prise en compte de l'alerte professionnelle ne s'appuie que sur des données formulées de manière objective, en rapport direct avec le périmètre du dispositif d'alerte et strictement nécessaires à la vérification des faits allégués. Les formulations utilisées pour décrire la nature des faits signalés font apparaître leur caractère présumé.
 
Article 4
Destinataires des données à caractère personnel
Sauf disposition légale ou règlementaire contraire, les signalements sont adressés au supérieur hiérarchique direct ou indirect, à l'employeur ou au référent désigné par lui. Ceux-ci ne sont destinataires de tout ou partie des données visées à l'article 4 que dans la mesure où ces données sont nécessaires à l'accomplissement de leurs missions.
Ces données peuvent être communiquées aux personnes spécialement chargées de la gestion des alertes professionnelles au sein du groupe de sociétés auquel appartient l'organisme concerné si cette communication est nécessaire aux seuls besoins de la vérification ou du traitement de l'alerte.
S'il est fait recours à un référent ou prestataire de service pour recueillir ou traiter les alertes, les personnes spécialement chargées de ces missions au sein de cet organisme n'accèdent à tout ou partie des données visées à l'article 3 que dans la limite de leurs attributions respectives. Le référent ou prestataire de service éventuellement désigné pour gérer tout ou partie de ce dispositif s'engage notamment, par voie contractuelle, à ne pas utiliser les données à des fins détournées, à assurer leur confidentialité, à respecter la durée de conservation limitée des données et à procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation.
Dans tous les cas, les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.
 
Article 5
Transferts de données à caractère personnel hors de l'Union européenne
Le présent article s'applique dans les cas où les communications de données envisagées à l'article 4 concernent un transfert vers une personne morale établie dans un pays non membre de l'Union européenne n'accordant pas une protection suffisante au sens de l'article 68 de la loi du 6 janvier 1978 modifiée.
Dans ces cas, ces communications de données à caractère personnel doivent s'opérer conformément aux dispositions spécifiques de la loi du 6 janvier 1978 modifiée relatives aux transferts internationaux de données, et notamment son article 69 alinéa 8.
Il est satisfait à ces dispositions lorsque la personne morale au sein de laquelle travaille le destinataire des données a adhéré au Privacy Shield, dans la mesure où la société étasunienne concernée a expressément fait le choix d'inclure les données de ressources humaines dans le champ de cette adhésion.
Il est également satisfait à ces dispositions lorsque le destinataire a conclu un contrat de transfert basé sur les clauses contractuelles types émises par la Commission européenne dans ses décisions du 15 juin 2001, du 27 décembre 2004, ou lorsque le groupe auquel appartiennent les entités concernés ont adopté des règles internes dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant de la vie privée et des droits fondamentaux des personnes. S'il est satisfait à ces conditions, et si le traitement dont le transfert est issu est par ailleurs conforme à l'ensemble des autres dispositions de la présente délibération, la présente délibération porte également autorisation du transfert envisagé en application de l'article 69, alinéa 8, de la loi du 6 janvier 1978 modifiée.
 
Article 6
Durée de conservation des données à caractère personnel
Les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai, après anonymisation.
Lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données relatives à cette alerte sont détruites ou archivées, après anonymisation, par l'organisation chargée de la gestion des alertes dans un délai de deux mois à compter de la clôture des opérations de vérification.