AgentPublic/cnil huggingface dataset:
Sous ces réserves, la Commission considère que la collecte de ces données est pertinente au regard des finalités du traitement, et conformément à l'article 4-3° de la loi du 6 janvier 1978 modifiée.
En deuxième lieu, l'article 3 du projet de décret prévoit que les informations relatives à des données de santé en tant qu'une telle information révèlerait une dangerosité ou vulnérabilité particulière peuvent faire l'objet d'une collecte. A ce titre, des données portant sur des troubles psychologiques ou psychiatriques connus ou signalés dans le mesure où ces données sont strictement nécessaire à l'évaluation de l'incompatibilité peuvent faire l'objet d'une collecte.
A cet égard, la Commission prend acte que les informations ainsi pourront être issues des traitements prévention des atteintes à la sécurité publique (PASP) ou du traitement permettant la conservation, la gestion et l'exploitation électroniques des documents des services du ministère de l'intérieur chargés des missions de renseignement territorial (GEDRET). Elle relève en outre qu'aucune recherche à partir de cette donnée ne peut être réalisée.
Elle rappelle néanmoins que la mention de ces informations revêt un caractère sensible. En effet, ces informations constituent des données de santé au sens de la réglementation applicable en matière de protection des données à caractère personnel, qui doivent faire l'objet d'une vigilance renforcée. Elle souligne que toute information qui serait couverte par le secret médical devrait, en outre, bénéficier, sauf disposition contraire, de la protection prévue à l'article L. 1110-4 du code de la santé publique.
En troisième lieu, l'article 2 du projet de décret prévoit que les agissements susceptibles de recevoir une qualification pénale , les suites judiciaires ainsi que les antécédents judiciaires (nature des faits et date) pourront faire l'objet d'un enregistrement au sein du traitement.
A cet égard, la Commission rappelle que la collecte de données relatives aux catégories précitées ne pourra en aucun cas porter sur des jugements ou des arrêts de condamnation, conformément aux dispositions de l'article 777-3 du code de procédure pénale.
Sur les garanties apportées aux modalités de traitement de certaines catégories de données
En premier lieu, l'article R. 236-2 du CSI dans sa rédaction en vigueur prévoit que des photographies peuvent être recueillies. A cet égard, l'article 2 du projet de décret prévoit expressément que le traitement ne comporte pas de dispositif de reconnaissance faciale à partir de la photographie , ce dont la Commission prend acte.
En second lieu, elle relève que les dispositions en vigueur de l'article R. 236-2 du CSI, précisent que le traitement ne permet de recherches automatisées qu'à partir des données mentionnées aux 1° et 2° , ce que le projet de décret entend supprimer. La Commission estime que cette précision constitue une garantie importante, compte tenu notamment de l'évolution du volume de données pouvant être traité. Elle prend acte de l'engagement du ministère de modifier le projet de décret afin de réintégrer cette garantie.
Sur les droits des personnes concernées
En premier lieu, l'article 5 du projet de décret précise que les droits des personnes s'exercent de manière différente selon que les données intéressent ou non la sûreté de l'Etat. Le caractère de fichier mixte, relevant concurremment des titres III et IV de la loi du 6 janvier 1978 modifiée, entraîne une complexité particulière des modalités d'exercice des droits. Or la Commission rappelle que l'exercice des droits des personnes, et notamment la possibilité de demander à accéder aux données les concernant, constitue une garantie importante en vue de prévenir des atteintes à leur vie privée.
En l'espèce, d'une part, pour les données considérées comme intéressant la sûreté de l'Etat, les droits d'accès, de rectification et d'effacement des données enregistrées s'exercent auprès de la Commission, dans les conditions prévues à l'article 118 de la loi du 6 janvier 1978 modifiée.
D'autre part, pour les autres données, les droits d'information, d'accès, de rectification, d'effacement et à la limitation s'exercent directement auprès de la direction générale de la police nationale.
La Commission relève que ces droits peuvent faire l'objet de restrictions, afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires, d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ou de protéger la sécurité publique et la sécurité nationale, en application des 2° et 3° des II et III de l'article 107 de la loi du 6 janvier 1978 modifiée. Compte tenu de la finalité du traitement, la limitation de ces droits, qui s'exercent dans cette hypothèse auprès de la Commission dans les conditions prévues à l'article 108 de la même loi, n'appelle pas d'observation particulière.
En revanche, la Commission estime que les dispositions projetées ne permettent pas de rattacher de manière exclusive les données concernées à la finalité pour laquelle elles sont traitées. Dès lors, ces dispositions ne permettent pas aux personnes concernées de déterminer avec certitude les modalités selon lesquelles elles peuvent exercer leurs droits.
A cet égard, elle considère que la mise en œuvre de marqueurs spécifiques, ou d'un dispositif équivalent, pourrait permettre de déterminer précisément les données considérées comme intéressant la sûreté de l'Etat, sur la base de critères précis. Une telle identification serait de nature à permettre au responsable de traitement saisi d'une demande d'exercice des droits sur le fondement du titre III de la loi du 6 janvier 1978 modifiée, de n'exclure de sa réponse que les données identifiées par avance et sur la base de critères précis comme relevant du régime du titre IV. Dès lors qu'il s'agit d'une modalité essentielle de l'exercice des droits en présence d'un fichier relevant à la fois du titre III et du titre IV de la loi, la Commission estime que le décret devrait en outre le préciser.
En tout état de cause, elle considère qu'en l'absence de dispositions ou de mesures permettant une identification objective des données exclues du droit d'accès direct, l'application des dispositions du titre III de la loi du 6 janvier 1978 modifiée, devraient prévaloir.
Enfin, concernant l'information des personnes concernées, la Commission prend acte que toute personne entendue dans le cadre de la réalisation d'une enquête administrative pour accéder aux fonctions de policier, mais aussi pour les demandes de naturalisation par déclaration, est informée de l'enregistrement de ses données à caractère personnel dans le traitement EASP par la remise d'un formulaire d'information. En outre, et de manière générale, l'information des personnes concernées est réalisée par la publication de l'acte réglementaire ainsi que par la publication sur le site internet du ministère de l'intérieur de la liste de l'ensemble des traitements qu'il met en œuvre.
En deuxième lieu, l'article 5 du projet de décret prévoit que le droit d'opposition ne s'applique pas au présent traitement, ce qui n'appelle pas d'observation.
En troisième lieu, il est souligné que la juridiction compétente pour traiter du contentieux lié à l'exercice des droits diffèrent selon que les données intéressent ou non la sûreté de l'Etat. L'article 7 du projet de décret modifie à ce titre les dispositions de l'article R. 841-2 du CSI afin de prévoir la compétence du Conseil d'Etat, pour les données intéressant la sûreté de l'Etat. S'agissant des autres données, et sans que le texte n'ait à le prévoir, la compétence revient au tribunal administratif de Paris.
La Commission appelle l'attention du ministère sur la complexité de cette répartition et estime qu'une réflexion d'ensemble pourrait être menée afin de clarifier la répartition du contentieux entre le Conseil d'Etat et le tribunal administratif de Paris.
Sur les mesures de sécurité
La Commission relève que la mise en production du traitement est réalisée dans un environnement sécurisé. Elle considère toutefois que, compte tenu de la nature des données, et pour des raisons de défense en profondeur, des mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité doivent être mise en œuvre, tant au niveau des bases de données actives, des communications, des données de journalisation, que des sauvegardes. De plus, pour garantir le cloisonnement mis en place entre le réseau d'exploitation du traitement EASP et de l'Internet, la Commission recommande l'arrêt de l'utilisation de postes d'administrateurs accédant à la fois au réseau d'administration du traitement et à l'Internet, compte tenu du risque que cet usage est susceptible de représenter.
En ce qui concerne les modalités d'authentification, la Commission prend acte de l'utilisation d'une carte agent associée à un code PIN ainsi que de l'engagement du ministère d'assurer un niveau de sécurité répondant aux normes ou aux référentiels d'une authentification forte. Elle recommande en outre, le suivi de sa délibération 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Elle prend également acte des mesure de contrôle qualité des données menées sur leurs fiches enregistrées dans le traitement.
L'article 4 du projet de décret prévoit que les opérations de collecte, de modification, de consultation, de communication, de transfert, d'interconnexion et de suppression des données à caractère personnel et informations font l'objet d'un enregistrement , et que ces données sont conservées pendant un délai de six ans .
A titre liminaire, la Commission souligne que dans la mesure où le traitement ne fait pas l'objet d'interconnexions mais de rapprochements uniquement, dans les conditions précédemment développées, le ministère s'est engagé à modifier les dispositions du projet de décret en ce sens, et ce, aux fins de clarté du dispositif.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Dominique CASTERA et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2019-136C du 26 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 26 mai 2020 ;
Vu le signalement de l’association SIGNAL SPAM reçu par la Commission nationale de l’informatique et des libertés le 12 juin 2019 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 22 octobre 2020 ;
Vu le courriel adressé par la société le 25 novembre 2020 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 3 décembre 2020 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentant de la société […]:
- […]
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après la société ) est une société à responsabilité limitée en activité depuis huit ans. Elle emploie entre un et deux salariés. En 2018, elle a réalisé un chiffre d’affaires de 107 089 € et en 2019 un chiffre d’affaires de 182 672 €.
2. La société a pour activité l’envoi de prospection commerciale par courriers électroniques pour le compte d’annonceurs. À ce titre, elle détient une base de données de 20 millions d’adresses électroniques de prospects, qu’elle indique avoir constituée à partir d’achats effectués auprès de la société […] en 2014 et 2015, avant la liquidation de cette dernière en 2017.
3. Le 12 juin 2019, l’association SIGNAL SPAM – qui recueille les signalements des internautes relatifs à la réception de courriers électroniques non sollicités et avec laquelle la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ) a un partenariat depuis le 30 octobre 2007 – a adressé un signalement à la CNIL concernant les agissements de la société. L’association indiquait ainsi que la société apparaît régulièrement en tête du classement des sociétés émettant le plus de messages signalés comme spam par les internautes français. Ainsi, entre le 1er janvier et le 11 juin 2019, plus de 163 000 signalements d’internautes ont été recensés pour des envois de courriels effectués par cette société.
4. À la suite d’une ordonnance du 11 septembre 2019 du juge des libertés et de la détention du tribunal de grande instance de Pontoise autorisant la CNIL à procéder à un contrôle sur place dans les locaux de la société, situés au domicile privé de son gérant, une délégation de la CNIL a procédé à une telle mission de contrôle, le 18 septembre 2019, en application de la décision n° 2019-136C de la présidente de la Commission du 26 juin 2019.
5. Cette mission avait pour objet de vérifier le respect par la société de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier 1978 modifiée ou la loi Informatique et Libertés ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ). Le gérant étant absent, la délégation a établi un procès-verbal de carence, notifié à la société le 19 septembre 2019 par courrier recommandé avec accusé de réception.
6. Le gérant de la société a été convoqué pour une audition dans les locaux de la CNIL le 15 octobre 2019, en application de l’article 19-III de la loi du 6 janvier 1978 modifiée. Le 14 octobre 2019, le conseil de la société a informé la CNIL que le gérant de la société ne pourrait être entendu en raison de son état de santé et a sollicité un report. Aucun représentant de la société ne s’étant présenté dans les locaux de la CNIL le 15 octobre 2019, un procès-verbal de carence a été dressé et notifié à la société par courrier recommandé avec accusé de réception.
7. Le 15 octobre 2019, la CNIL a adressé au gérant de la société une deuxième convocation pour une audition le 31 octobre 2019. Lors de l’audition, la société était représentée par son conseil, le gérant ne pouvant s’y rendre en raison de son état de santé. Le conseil de la société a fourni à la délégation de la CNIL des éléments relatifs aux conditions d’acquisition de la base de prospects par la société, au recueil du consentement des personnes à la réception de messages de prospection par courrier électronique, au droit d’opposition de celles-ci ainsi qu’aux durées de conservation des données personnelles des prospects.
8. La société a fourni des éléments de réponse complémentaires les 20 novembre et 27 décembre 2019 en lien avec le statut de la société dans la réalisation des traitements relatifs à la prospection commerciale, la preuve du recueil du consentement des personnes prospectées et les durées de conservation des données personnelles traitées.
9. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 26 mai 2020, conformément à l’article 39 du décret n° 2019-536 du 29 mai 2019.
10. À l’issue de son instruction, la rapporteure a fait signifier par huissier de justice à la société […], le 23 octobre 2020, un rapport détaillant les manquements au RGPD et au code des postes et des communications électroniques (le CPCE ) qu’elle estimait constitués en l’espèce.
11. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 14, 21 et 28 du Règlement et de l’article L. 34-5 du CPCE, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le 22 octobre 2020, la société a été convoquée à la séance de la formation restreinte du 3 décembre 2020.
13. Le 25 novembre 2020, la société a adressé un courriel aux services de la CNIL.
14. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la compétence de la CNIL
15. Aux termes de l’article 3, paragraphe 1, du RGPD le présent règlement s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union .
16. L’article 3, paragraphe 2, du RGPD prévoit que Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable de traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque ses activités sont liées :
a) À l’offre de biens ou de services à ces personnes concernées dans l’Union, qu’un paiement soit exigé ou non desdites personnes (…) .
17. Aux termes de l’article 8 I° de la loi Informatique et Libertés, la CNIL (…) est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016 (…) .
18. Aux termes de l’article 3 I° de la loi Informatique et Libertés l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France .
19. Aux termes de l’article L. 34-5, alinéa 6, du CPCE La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'un abonné ou d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. À cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article .
20. Lors du contrôle sur place effectué par la délégation de la CNIL le 18 septembre 2019, le gérant de la société a indiqué à la délégation que les activités opérationnelles de la société étaient mises en œuvre depuis le Maroc et que, dans un futur proche, il comptait mettre un terme aux activités de la société en France pour les réaliser dans leur intégralité depuis le Maroc.
21. La rapporteure considère qu’à supposer que certaines activités opérationnelles de la société soient effectivement menées depuis le Maroc et que les serveurs de la société se trouvent au Maroc, ce dont la société n’apporte pas la preuve, les critères prévus par l’article 3, paragraphes 1 et 2, du RGPD sont remplis – la société en cause étant établie en France et la société adressant ses messages de prospection au seul public français. En conséquence, le RGPD est applicable aux traitements de données à caractère personnel mis en œuvre par la société.
22. En premier lieu, la formation restreinte relève que la société est établie en France. En effet, la société est immatriculée au RCS de Pontoise sous le numéro 789 335 015[…] depuis le 13 novembre 2012 et dispose de locaux en France. La formation restreinte observe que la société ne dispose pas d’autres locaux pour la mise en œuvre du traitement lié à l’envoi de prospection commerciale par voie électronique.
23. La formation restreinte rappelle que la Cour de justice de l’Union européenne (ci-après la CJUE ) considère de façon constante que la notion d’établissement doit être appréciée de manière souple. En effet, selon la CJUE, la notion d’établissement s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable , le critère de stabilité de l’installation étant examiné au regard de la présence de moyens humains et techniques nécessaires à la fourniture de services concrets en question (CJUE Weltimmo, 1er octobre 2015, C 230/14, points 30 et 31). Ainsi, la Cour a considéré que la présence d’un seul représentant peut, dans certaines circonstances, suffire pour constituer une installation stable .
24. En l’occurrence, la formation restreinte relève qu’au jour du contrôle, la société était immatriculée en France, disposait de locaux en France et éditait un site internet rédigé en français ([…]) à destination du public français.
25. Dès lors, la formation restreinte considère que le traitement de données personnelles mis en œuvre par la société était effectué dans le cadre des activités d’un établissement d’un responsable du traitement sur le territoire de l’Union, en l’espèce sur le territoire français, conformément aux critères posés par l’article 3, paragraphe 1, du RGPD et de l’article 3 I° de la loi Informatique et Libertés, de sorte que la CNIL est compétente pour sanctionner les manquements au RGPD et au CPCE commis par la société.
26. En second lieu, la formation restreinte relève que la société a indiqué à la délégation de la CNIL, le 27 décembre 2019, que seule la France a été visée pour [s]es campagnes et qu’elle a acheté une base de données de prospects français aux fins de réaliser des campagnes françaises .
27. Dès lors, la formation restreinte considère que les opérations de prospection de la société ciblent le public français, ce qui rend le RGPD également applicable au titre du critère du ciblage prévu à l’article 3, paragraphe 2, du RGPD.
28. Il en résulte que le RGPD et la loi française sont applicables et que la CNIL est compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction.
B. Sur la détermination du responsable de traitement
29. Aux termes de l’article 4, point 7 du RGPD, le responsable de traitement est défini comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement .
30. La rapporteure considère qu’en l’espèce la société est responsable du traitement de données personnelles lié à la gestion et la mise à disposition de sa base de données pour l’envoi de campagnes publicitaires à des prospects par courriel électronique pour le compte d’annonceurs. Ce constat est notamment établi à partir de l’analyse des relations contractuelles entre la société et ses clients, dont il ressort que la société s’engage vis-à-vis des annonceurs à disposer d’adresses électroniques d’internautes ayant donné leur consentement à recevoir des messages publicitaires de la part de personnes tierces et est rémunérée pour ce faire par ses partenaires, et que la société utilise pour cse faire sa propre base de données de prospects, dont elle définit les données personnelles qu’elle contient, les durées pendant lesquelles elles sont conservées et les éventuelles mises à jour devant être opérées.
31. La formation restreinte relève qu’il ressort d’un faisceau d’indices concordants que la société est responsable du traitement de données personnelles lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique.