AgentPublic/cnil huggingface dataset:
En quatrième lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard de l’importance des problématiques soulevées concernant les salariés, ainsi que la nature des données en cause, alors que la société est un acteur important du secteur dans lequel elle intervient.
Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du RGPD qu’une amende administrative à hauteur de 250 000 euros, une injonction assortie d’une astreinte ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société X une injonction de mettre en conformité les traitements avec les obligations résultant des articles 5-1 c), article 5- 1 e), 13 et 32 du règlement no 2016/679 du 27 avril 2016 relatif à la protection des données, et en particulier :
s’agissant du manquement au principe de minimisation des données à caractère personnel :
justifier de la fin des enregistrements non ponctuels et non aléaloires des conversations téléphoniques des conseillers lorsque la finalité poursuivie est leur formation ou leur évaluation ;
s’agissant du manquement au principe de limitation de la durée de conservation des données, définir et mettre en œuvre une politique de durée de conservation des données relatives aux clients et aux prospects qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, et notamment :
justifier de la procédure d’archivage intermédiaire des données à caractère personnel des clients mise en place, après avoir opéré un tri des données pertinentes à archiver et une suppression des données non pertinentes, ainsi que du point de départ de cet archivage ;
justifier de la restriction des accès des salariés aux données à caractère personnel présentes en base active aux seules personnes ayant à en connaître;
cesser de traiter les données des prospects au-delà du délai à l’issue duquel la société ne les contacte plus (en l’espèce deux ans) et cesser de prendre en compte, comme dernier point de contact émanant de ces derniers, la simple ouverture d’un courriel ;
cesser de conserver les adresses électroniques et mots de passes hachés des anciens clients à l’issue de la période d’inactivité fixée et procéder à la purge de telles données conservées par la société jusqu’à la date de la délibération de la formation restreinte ;
justifier de la suppression des données concernant les clients au-delà de la période d’inactivité définie, dont il appartiendra à la société de justifier, et concernant les prospects au-delà de deux ans d’inactivité ;
s’agissant du manquement à l’obligation d’informer les personnes :
procéder à l’information des salariés relative à la mise en place d’un dispositif d’enregistrement des conversations téléphoniques concernant notamment les finalités poursuivies, la base légale du dispositif, les destinataires des données issues du dispositif, la durée de conservation des données, les droits des salariés notamment d’accès aux données les concernant, la possibilité d’introduire une réclamation auprès de la CNIL ;
procéder à l’information complète des clients, en fournissant une information relative aux différentes bases légales des traitements mis en œuvre par la société ;
s’agissant du manquement à l’obligation d’assurer la sécurité des données personnelles, prendre toute mesure, pour l’ensemble des traitements de données à caractère personnel mis en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès en application de l’article 32 du RGPD, notamment :
mettre en œuvre une politique de gestion des mots de passe contraignante, s’agissant des comptes clients selon l’une des modalités suivantes ;
les mots de passe sont composés d’au minimum douze caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
les mots de passe sont composés d’au moins huit caractères, contenant trois des quatre catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix) ;
assortir l’injonction d’une astreinte de 250 (deux cent cinquante) euros par jour de retard à l’issue d’un délai de 3 (trois) mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
pour les manquements aux articles 5-1 c), 5-1 e), 13 et 32 du RGPD, prononcer à l’encontre de la société X une amende administrative d’un montant de 250 000 (deux cent cinquante mille) euros ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire relatif à la durée de conservation des données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8 ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé ;
Vu la délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d'information mentionnés à l'article 6 du projet de loi prorogeant l'état d'urgence sanitaire ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie en extrême urgence d'un projet de décret relatif à la durée de conservation de données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19.
Ce projet de décret est pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire, qui complète les dispositions de l'article 11 (troisième alinéa du I) de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
La durée de conservation de certaines données à caractère personnel peut être prolongée, pour la seule finalité de traitement mentionnée au 4° du II et dans la limite de la durée mentionnée au premier alinéa du présent I, par décret en Conseil d'Etat pris après avis publics du comité mentionné au VIII et de la Commission nationale de l'informatique et des libertés. Ce décret précise, pour les données collectées avant son entrée en vigueur, les modalités selon lesquelles les personnes concernées sont informées sans délai de cette prolongation. 
Le projet de décret prévoit ainsi d'allonger la durée de conservation des données pseudonymisées collectées dans le cadre des systèmes d'information SI-DEP et Contact Covid créés par le décret n° 2020-551 du 12 mai 2020 modifié et précise également les modalités d'information des personnes concernées.
Le projet de décret prévoit en outre de modifier les articles 3 et 9 du décret du 12 mai 2020 susvisé afin, notamment :
- de compléter, pour le système d'information Contact Covid , la liste des personnes autorisées à enregistrer et consulter les données ;
- d'ajouter, pour le système d'information SI-DEP , une nouvelle catégorie de données susceptible d'être enregistrée : tout autre numéro permettant d'identifier le patient de manière certaine .
Sur la prolongation de la durée de conservation des données issues des systèmes d'information Contact Covid et SI-DEP
Le premier alinéa de l'article 1er du projet de décret prévoit que : Les données pseudonymisées collectées par les systèmes d'information prévus à l'article 11 de la loi du 11 mai 2020 susvisée [systèmes d'information “Contact Covid” et “SI-DEP”] peuvent être conservées pendant une durée de six mois à compter de la fin de l'état d'urgence sanitaire dans les traitements mis en œuvre par les agences régionales de santé, l'Agence nationale de santé publique et la direction de la recherche, des études, de l'évaluation et des statistiques à la seule fin de surveillance épidémiologique aux niveaux national et local. 
La Commission relève que cette durée est cohérente avec celle prévue par les dispositions de l'article 11 de la loi du 11 mai 2020 telle que modifiée par la loi n° 2020-856 du 9 juillet 2020, et notamment le premier alinéa du I, qui limite également la durée de vie des systèmes d'information Contact Covid et SI-DEP à six mois après la fin de l'état d'urgence sanitaire.
Sur les modalités de réalisation de la surveillance épidémiologique et des recherches sur le virus et les moyens de lutter contre sa propagation
La Commission relève que les finalités envisagées sont identiques à celles encadrées par le 4° du II de l'article 11 de la loi du 11 mai 2020 modifiée susvisée. Cette finalité de surveillance épidémiologique et de recherche sur le virus et les moyens de lutter contre sa propagation est également prévue, s'agissant des données du fichier Contact-Covid , au 4° du III de l'article 1er du décret n° 2020-551 du 12 mai 2020.
La Commission relève cependant que l'article 3-I de ce même décret prévoit que les agents spécialement habilités des agences régionales de santé (ARS) n'accèdent aux données du fichier Contact-Covid que pour assurer les finalités mentionnées aux 1° à 3° du III de l'article 1er. Il en résulte, sauf à ce que le décret soit modifié sur ce point, que les ARS ne semblent pas fondées à traiter les données du fichier Contact-Covid à des fins de surveillance épidémiologique et de recherche sur le virus et les moyens de lutter contre sa propagation, qu'il s'agisse de données directement identifiantes ou de données pseudonymisées.
L'article 11 de la loi du 11 mai 2020 modifiée susvisée prévoit en outre que les données traitées dans le cadre de la surveillance épidémiologique ne peuvent contenir les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et leur adresse.
A cet égard, le projet de décret mentionne la conservation de données pseudonymisées , cependant sans précision complémentaire. Or, la Commission relève que les articles 2 et 9 du décret n° 2020-551 du 12 mai 2020 modifié listent de multiples données pouvant être enregistrées. Dès lors, elle réitère la demande formulée dans son avis sur un projet de décret relatif aux systèmes d'information mentionnés à l'article 6 du projet de loi prorogeant l'état d'urgence sanitaire (délibération n° 2020-051 du 8 mai 2020), afin que le projet de décret dresse la liste exhaustive des données pouvant être collectées en vue du suivi épidémiologique et de la recherche sur le virus.
En tout état de cause, elle rappelle que, conformément au principe de minimisation, prévu à l'article 5 du règlement général sur la protection des données (RGPD), seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées devront être transmises aux organismes en charge de la surveillance épidémiologique ou de la recherche sur le virus.
Sur la conservation des données par la plateforme des données de santé et la Caisse nationale d'assurance maladie
Le second alinéa de l'article 1er du projet de décret prévoit que, dans le cadre des traitements mis en œuvre par la plateforme des données de santé (PDS) et la Caisse nationale de l'assurance maladie (CNAM), ces mêmes données peuvent être conservées pour une durée identique.
Cependant, la Commission avait pris acte, dans sa délibération n° 2020-051 du 8 mai 2020 précitée, que la transmission de ces données auprès de la PDS et de la CNAM interviendrait dans le strict respect des dispositions de l'arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire.
A cet égard, la Commission rappelle que cet arrêté a été abrogé et que les dispositions relatives à la centralisation de données par la PDS et la CNAM sont désormais prévues à l'article 30 de l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé.
A ce titre, l'article 30 de l'arrêté précité prévoit que les données ne peuvent être traitées que […] jusqu'à l'entrée en vigueur des dispositions prises en application de l'article 41 de la loi du 24 juillet 2019 susvisée et au plus tard le 30 octobre 2020 .
La Commission précise, comme elle en a eu l'occasion dans sa délibération n° 2020-051 du 8 mai 2020, que les données issues de ces systèmes d'information n'auront vocation à intégrer le Système national des données de santé (SNDS) ou un entrepôt pérenne au sein de la PDS que dans l'hypothèse où le droit commun l'autoriserait.
Ainsi, sous réserve des modifications qui pourraient être apportées au cadre juridique applicable à la PDS et au SNDS à l'issue de la durée de conservation prévue par le projet de décret, l'ensemble des données collectées pendant cette période devra être détruit.
La Commission considère, de plus, que les traitements réalisés à partir des données transmises à la CNAM et à la PDS ne pourront être mis en œuvre après le 30 octobre 2020 si, au terme de ce délai, la poursuite des traitements ne dispose plus de base légale.
Sur les modalités d'information des personnes
L'article 2 du projet de décret précise les modalités d'information des personnes dont les données ont été collectées avant son entrée en vigueur.
La Commission relève qu'il est prévu que ces personnes soient informées de cette nouvelle durée de conservation des données pseudonymisées, sans délai, par les organismes responsables des traitements mis en œuvre à des fins de surveillance épidémiologique, de recherche sur le virus et les moyens de lutter contre sa propagation.
Les responsables de traitement assureraient cette information sur leurs sites web respectifs ou par tout autre moyen permettant de porter cette information à la connaissance du public.
Afin de respecter pleinement les principes de transparence et de loyauté prévus par le RGPD, la Commission demande que la diffusion d'une information sur le site web du responsable de traitement ne soit pas exclusive de la diffusion de cette même information par tout autre moyen permettant de porter cette information à la connaissance des personnes concernées.
Elle prend acte de l'engagement du ministère de modifier le projet de décret afin qu'il ne limite pas la diffusion de l'information au seul site web du responsable de traitement.
Enfin, elle rappelle en outre que les supports d'information à destination des personnes concernées devront être mis à jour, afin de faire apparaître cette nouvelle durée de conservation.
Sur l'ajout de catégories de personnes autorisées à enregistrer et consulter les données issues du fichier Contact Covid 
L'article 3 du projet de décret envisage de modifier les dispositions de l'article 3-II du décret n° 2020-551 du 12 mai 2020, afin de compléter la liste des personnes pouvant être autorisées à enregistrer et consulter les données issues du fichier Contact Covid , par certains personnels des établissements sociaux et médico-sociaux ainsi que les services de santé au travail et certains dispositifs d'appui de coordination prévus par la loi.
La Commission en prend acte.
Sur l'ajout de numéros d'identification dans la liste des données du système d'information SI-DEP
L'article 3 du projet de décret prévoit de modifier l'article 9 du décret du 12 mai 2020 afin de permettre la collecte de tout autre numéro permettant d'identifier le patient de manière certaine dans le système d'information SI-DEP , en complément des nom, prénoms et date de naissance. Le projet de décret prévoit en outre la possibilité de recueillir soit le NIR, soit un numéro permettant d'identifier le patient de manière certaine.
La Commission rappelle cependant que la volonté du législateur est d'imposer, à court terme, le recours au NIR comme identifiant national de santé (INS).
Le ministère précise que la collecte d'un numéro autre que le NIR est justifiée dans l'attente du déploiement de l'INS, prévu à compter du 1er janvier 2021.
La Commission prend néanmoins acte de l'engagement du ministère de modifier le projet de décret afin qu'il soit expressément mentionné que le numéro permettant d'identifier le patient de manière certaine ne peut être collecté qu'en cas d'impossibilité d'utiliser le NIR.
Elle constate par ailleurs que cet ajout n'est prévu que pour le fichier SI-DEP . Il en résulte que cette donnée ne pourra figurer dans les données traitées dans le cadre du système d'information Contact Covid .
Les autres dispositions n'appellent pas d'observation de la part de la Commission.
La présidente,
M.-L. Denis
La Présidente
X
Paris, le
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : EEE/JDE/MDM201047 – CTX-2020-027
Monsieur X,
Je fais suite à la décision n° MED-2020-015 prise le 15 juillet 2020 mettant en demeure le X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2020-097C.
Concernant le préfiltrage au niveau du téléphone de l’utilisateur des données de l’historique de contacts, je prends acte qu’un écran de mise à jour s’affiche à chaque lancement de la version obsolète de l’application (version v1.0.*) empêchant désormais toute interaction de l’utilisateur avec l’application autrement qu’en procédant à sa mise à jour depuis les magasins d’applications. Par conséquent, les mesures que vous avez mises en place permettent de généraliser progressivement la nouvelle version de l’application, conforme au décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] . Elles répondent à l’injonction de la mise en demeure.
Je prends acte également de l’arrêt des appels au webservice reCaptcha de Google depuis l’application […].
Enfin, les mesures prises par le X quant à l’information des utilisateurs de l’application, aux clauses du contrat de sous-traitance avec INRIA et au contenu de l’AIPD sont conformes aux injonctions de la mise en demeure.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, je pourrais saisir la formation restreinte de la CNIL, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement, afin que soit prononcée, le cas échéant, l’une ou plusieurs des sanctions prévues par les articles 20 et suivants de la loi du 6 janvier 1978
Les services de la Commission (X) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur X, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, et de Mesdames Anne DEBET, Sylvie LEMMET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu l’ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2020-037 du 2 avril 2020 relative à l’organisation des délibérations de la Commission nationale de l’informatique et des libertés pendant l’état d’urgence sanitaire liée au covid-19 ;
Vu la décision n° 2019-213C du 25 octobre 2019 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous les traitements mis en œuvre par ou pour le compte du recorat de Z ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 12 mars 2020 ;
Vu la saisine […] reçue par la Commission nationale de l'informatique et des libertés le 8 août 2019 ;
Vu le rapport de Madame Dominique CASTERA, commissaire rapporteur, notifié à Madame X, députée de la 4ème circonscription de […], le 3 juin 2020 ;
Vu les observations écrites de Madame X, reçues le 7 juillet 2020 ;
Vu les autres pièces du dossier ;
Etaient présents à distance, lors de la séance de la formation restreinte du 16 juillet 2020 qui s’est tenue en visioconférence :
Madame Dominique CASTERA, commissaire, en son rapport ;
En qualité de représentant de Madame X :
- […]
La formation restreinte a adopté la décision suivante :
I.Faits et procédure
Le 5 août 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie d’une plainte concernant l’envoi par Madame X, députée de […], de courriers de félicitations aux lauréats du diplôme du baccalauréat 2019 de sa circonscription.