AgentPublic/cnil huggingface dataset:
58. Enfin et en tout état de cause, s’agissant de l’analyse d’impact mentionnée à l’article 131 du projet de décret, qui concerne uniquement les traitements relevant de la Directive, la Commission rappelle qu’elle doit fournir un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant dans le cas où elle estime que le traitement constituerait une violation des dispositions des titres Ier et III de la loi du 6 janvier 1978 modifiée, et non de son seul titre III. Par exemple, les manquements aux principes relatifs au traitement de données (finalité, pertinence, durée de conservation appropriée, etc.), établis au sein du Titre Ier de la loi précitée et applicables aux traitements relevant de la Directive, peuvent en effet naturellement justifier l’adoption d’un tel avis par la formation plénière de la Commission. Le quatrième aliéna de l’article 131 du projet de décret doit dès lors être modifié sur ce point.
Sur les droits des personnes concernées
59. S’agissant des droits des personnes, et outre les observations déjà formulées concernant le mandat, pour les seuls traitements relevant de la Directive, et la notion de demande imprécise, pour les mêmes traitements ainsi que ceux intéressant la sûreté de l’Etat et la défense, la Commission estime que la lisibilité du titre IV du projet de décret devrait être améliorée. Il convient en effet de mieux distinguer, par exemple en créant deux sous-sections distinctes, les dispositions applicables aux traitements pour lesquels les demandes d’exercice d’un droit ne peuvent être réalisées que de manière indirecte, par l’intermédiaire de la Commission, ce qui représente en pratique l’immense majorité des cas, des dispositions applicables aux traitements pour lesquels aucune restriction des droits, y compris l’exercice indirect de ces droits, n’est prévue. 
60. Enfin, il serait utile de clarifier la rédaction du dernier alinéa de l’article 144 du projet de décret, relatif à la mention, par la Commission, des voies et délais de recours ouverts aux personnes concernées par les traitements intéressant la sûreté de l’Etat. La rédaction actuelle conduit en effet à reprendre in extenso les dispositions de l’article R. 841-2 du code de la sécurité intérieure dans les courriers de notification adressés aux demandeurs, alors même que la référence auxdites dispositions pourrait être formulée dans un langage plus compréhensible pour ces personnes.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre du travail d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif à diverses dispositions relatives au détachement de travailleurs et au renforcement de la lutte contre le travail illégal;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel, notamment ses articles 102 et 103 ;
Vu le code du travail ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Eve JULLIEN, adjointe au commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie par le ministre du travail, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif à diverses dispositions relatives au détachement de travailleurs et au renforcement de la lutte contre le travail illégal.
Le projet de décret prévoit les mesures d’application de la loi du 5 septembre 2018 susvisée. Les articles 102 et 103 de cette loi précisent que ces mesures sont prises, dans des conditions fixées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés.
En premier lieu, l’article 8 du projet de décret vise à mettre en cohérence des articles relatifs à la liste noire des entreprises condamnées pour travail illégal, conformément aux nouvelles dispositions de l’article 102 de la loi susvisée.
Cet article a en effet modifié les conditions dans lesquelles le juge pénal prononce la peine complémentaire d’affichage et de diffusion d’informations relatives à des personnes physiques ou morales condamnées pour travail illégal sur le site Internet du ministère du travail. Il a rendu obligatoire, sauf si le juge en décide autrement par une décision spécialement motivée, le prononcé de cette peine complémentaire lorsque la personne reconnue coupable est condamnée pour des faits de travail dissimulé commis avec des circonstances aggravantes (bande organisée, victimes mineures, victimes en état de vulnérabilité). Dans ce cas, la loi a prévu que la durée d’affichage et de diffusion est fixée par le juge et ne peut excéder un an.
Le projet de décret tire les conséquences de la modification législative en corrigeant les renvois faits aux articles de la partie législative du code du travail. Il supprime également la condition tenant à ce que le juge ait prononcé une amende pénale pour que la peine complémentaire soit exécutée, les infractions de travail dissimulé en cause pouvant donner lieu tant à des peines d’amende qu’à des peines d’emprisonnement. Ces modifications n’appellent pas d’observations particulières.
En deuxième lieu, l’article 9 du projet de décret prévoit les mesures d’application de l’article 103 de la loi relatif au renforcement des pouvoirs d’enquête et du droit de communication des agents de contrôle de l’inspection du travail en matière de lutte contre le travail illégal.
Il prévoit que le droit de communication de documents ou d’informations auprès de tiers prévu à l’article L. 8113-5-2 du code du travail est exercé, dans le cadre d’une enquête visant une ou plusieurs infractions constitutives de travail illégal, par les agents de contrôle de l’inspection du travail ou par le groupe national de veille, d’appui et de contrôle défini à l’article R.8121-15 ou dans l’une des unités régionales d’appui et de contrôle définie à l’article R.8122-8 du même code.
A titre liminaire, la Commission rappelle qu’elle a toujours entendu poser le principe selon lequel le droit de communication doit s’exercer de manière ponctuelle et motivée. En outre, les demandes d’information formulées dans le cadre de ce droit doivent en principe ne porter que sur des personnes identifiées.
La Commission relève que lorsque la communication porte sur des informations relatives à des personnes non identifiées, le projet de décret prévoit que la demande doit comporter les mentions suivantes :
- La nature de la relation juridique ou économique existant entre la personne à qui la demande est adressée et les personnes qui font l'objet de la demande ;
- Des critères relatifs à l'activité des personnes qui font l'objet de la demande, dont l'un au moins des trois critères suivants : lieu d'exercice de l'activité ; niveau d'activité ou niveau des ressources perçues, ces niveaux pouvant être exprimés en montant financier ou en nombre ou fréquence ou durée des opérations réalisées ou des versements reçus ; mode de paiement ou de rémunération ;
- La période, éventuellement fractionnée, mais ne pouvant excéder dix-huit mois, sur laquelle porte la demande.
La Commission souligne que ces éléments ont un caractère cumulatif afin d’identifier le plus précisément possible les personnes concernées.
Elle observe que les critères utilisés sont similaires à ceux qu’elle avait examinés dans sa délibération n° 2017-053 du 9 mars 2017 portant avis sur un projet de décret en Conseil d’Etat relatif aux conditions d’exercice du droit de communication mentionné au cinquième alinéa de l’article L.114-19 du code de la sécurité sociale.
La Commission relève que dans le cadre d’une enquête visant une ou plusieurs infractions constitutives de travail illégal les informations communiquées sont conservées pendant un délai de trois ans à compter de leur réception et jusqu'à l'épuisement des voies et délais de recours contre les sanctions administratives ou condamnations pénales consécutifs aux contrôles réalisés sur la base de ces informations .
La durée de conservation retenue dans le projet de décret doit donc permettre le traitement des contentieux pouvant intervenir dans le cadre des procédures mises en œuvre suite à l’exercice du droit de communication. 
Au regard de l’ensemble de ces éléments, la Commission estime que les modalités prévues par le projet de décret pour la mise en œuvre de ce droit de communication relatif à des personnes non identifiées repose sur des éléments suffisamment objectifs permettant la transmission des seules informations pertinentes.
Enfin, le projet de décret précise que sur demande des agents, les informations sont communiquées sur un support informatique, par un dispositif sécurisé .
Au regard de la possibilité pour des tiers non autorisés d’intercepter les communications entre les organismes sollicités et les agents habilités, de prendre connaissance et d’altérer les documents et données qui seraient transmis, la Commission rappelle que des risques importants pèsent sur les personnes concernées. Elle rappelle de ce fait que des mesures de nature à limiter ces risques doivent mises en œuvre telle que recourir à des méthodes de chiffrement des supports (par exemple chiffrement asymétrique) afin d’assurer la confidentialité des informations et de mettre en œuvre des méthodes de signature numérique et de calcul d’empreinte permettant de garantir l’authenticité et l’intégrité des documents et données échangés.
La Commission rappelle en outre l’importance de mettre en œuvre des mesures techniques et organisationnelles garantissant que seules les personnes habilitées auront accès aux documents transmis. Elle rappelle qu’une politique générale de gestion des mots de passe doit être mise en œuvre conformément à sa recommandation en la matière ainsi que des mesures de traçabilité adéquates sur les accès, modifications et destructions de ces documents et données.
Pour La Présidente
Le Vice-Président délégué
 
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Sylvie LEMMET et Mme Christine MAUGÜE, membres ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la décision n° 2018-186C du 5 septembre 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 1er février 2019 ;
Vu le rapport de M. Éric PÉRÈS, commissaire rapporteur, du 4 février 2019 ;
Vu les observations écrites versées par la société X le 4 mars 2019 ;
Vu les observations en réponse du commissaire rapporteur du 15 mars 2019 ;
Vu les observations en réponse versées par la société X le 2 avril 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 11 avril 2019 :
M. Éric PÉRÈS, commissaire, entendu en son rapport ;
 
En qualité de représentants de la société X :
[…]
La société ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
1.La société X (ci-après la société ) est spécialisée dans la promotion immobilière, l’achat, la vente, la location et la gestion immobilière. Elle emploie 486 personnes et a réalisé en 2017 un chiffre d’affaires d’environ 43 millions d’euros.
2.Pour les besoins de son activité, la société édite le site web www.[...].com (ci-après le site ) qui permet notamment aux candidats à la location d’un bien de télécharger les pièces justificatives nécessaires à la constitution de leur dossier.
3.Le 12 août 2018, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été saisie d’une plainte d’un utilisateur du site. Le plaignant indiquait qu’une modification du caractère X dans l’adresse URL composée comme suit :  https://www.crm.[...].com/documents/upload/eresa/X.pdf , où X représente un nombre entier, lui avait permis d’accéder aux pièces justificatives qu’il avait lui-même téléchargées via le site mais également à celles téléchargées par d’autres candidats à la location. Dans sa plainte, le plaignant a fourni plusieurs exemples d’ adresses URL à partir desquelles il a pu accéder à des pièces téléchargées par des tiers. Il a indiqué avoir informé la société de ces faits dès le mois de mars 2018.
4.En application de la décision n° 2018-186C du 5 septembre 2018 de la Présidente de la Commission, une mission de contrôle en ligne puis une mission de contrôle au sein des locaux de la société ont été effectuées respectivement les 7 et 13 septembre 2018. Ces missions ont eu pour objet de vérifier la conformité à la loi du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après RGPD ou le Règlement ) des traitements de données à caractère personnel accessibles à partir du domaine [...].com ou portant sur des données à caractère personnel collectées à partir de ce dernier.
5.Au cours de la mission de contrôle en ligne, la délégation a constaté que la saisie de l’une des adresses URL fournies par le plaignant permettait de télécharger un avis d’imposition établi à un nom différent du sien. La délégation a ensuite procédé au téléchargement de 9 446 documents au moyen d’un script, parmi lesquels des copies de cartes d’identité, de cartes Vitale, d’avis d’imposition, d’actes de décès, d’actes de mariage, d’attestations d’affiliation à la sécurité sociale, d’attestations délivrées par la caisse d’allocations familiales, d’attestations de pension d’invalidité, de jugements de divorce, de relevés de compte, de relevés d’identité bancaire et de quittances de loyers.
6.La société a été informée le 7 septembre, par la délégation, de l’existence d’un défaut de sécurité sur son site et un courrier électronique contenant le type d’adresses URL concernées par ce défaut de sécurité lui a été adressé.
Le 13 septembre 2018, au cours de la mission de contrôle dans les locaux de la société, la délégation de la CNIL a constaté que les adresses URL fournies par le plaignant dans sa saisine permettaient toujours d’accéder aux documents en question. La société a indiqué à la délégation que les pièces justificatives téléchargées par les candidats à la location sont enregistrées dans un répertoire dédié. Il a été précisé que l’ensemble du répertoire avait été rendu accessible par le défaut de sécurité. Il ressort des constatations effectuées que ce répertoire contenait 290 870 fichiers au jour du contrôle. La société a en outre indiqué que les documents fournis par les candidats ne faisaient l’objet d’aucune purge et qu’ils n’étaient pas réutilisés ultérieurement, les documents des candidats ayant accédé à la location étant déplacés dans un autre répertoire de la base de données.
8.La société a confirmé à la délégation qu’un signalement l’informant de ce que des documents étaient librement accessibles depuis le site, sans authentification préalable, lui était parvenu en mars 2018. Elle a précisé qu’à la suite de ce signalement, elle avait procédé à une première phase d’analyse du défaut de sécurité, qui a donné lieu à un plan d’action mis en œuvre à partir de juin 2018. Elle a également indiqué qu’une première action permettant de ne plus afficher les adresses URL telles qu’elles apparaissaient au moment de la violation avait été déployée quelques jours avant le contrôle du 13 septembre. La société a ensuite expliqué qu’une mesure mettant définitivement un terme au défaut de sécurité devait être mise en production le 17 septembre 2018. Les procès-verbaux des 7 et 13 septembre ont été notifiés à la société le 17 septembre.
9.Aux fins d’instruction de ces éléments, la Présidente de la CNIL a désigné, le 1er février 2019, M. Éric PÉRÈS en qualité de rapporteur sur le fondement de l’article 47 de la loi du 6 janvier 1978. Par courrier du 1er février 2019, la Présidente de la CNIL a informé la société de cette désignation.
10.A l’issue de son instruction, le rapporteur a fait notifier à la société X, le 5 février 2019, un rapport détaillant les manquements relatifs aux articles 5 et 32 du RGPD qu’il estimait constitués en l’espèce.
11.Ce rapport proposait à la formation restreinte de la CNIL de prononcer à l’encontre de la société X une sanction pécuniaire de 900 000 euros et qui serait rendue publique.
12.Etait également jointe au rapport une convocation à la séance de la formation restreinte du 11 avril 2019. La société disposait d’un délai d’un mois pour communiquer ses observations écrites. Le 11 février 2019, la société a formulé une demande pour que la séance se tienne à huis-clos. Il a été fait droit à cette demande par courrier du 22 février 2019 dans la mesure où certains éléments versés aux débats sont protégés par le secret des affaires, tel que prévu par l’article L 151-1 du code du commerce.
13.Le 4 mars 2019, la société a produit des observations écrites sur le rapport. Ces observations ont fait l’objet d’une réponse du rapporteur le 15 mars 2019. Le 2 avril 2019, la société a produit de nouvelles observations en réponse à celles du rapporteur.
14.L’ensemble des observations ont été réitérées oralement par la société et le rapporteur lors de la séance de la formation restreinte du 11 avril 2019.
II.Motifs de la décision
Sur la demande de nullité des constatations en ligne du 7 septembre 2018
15.La société fait valoir qu’au cours du contrôle en ligne du 7 septembre 2018, les agents de la CNIL ont procédé à l’extraction des fichiers accessibles depuis des adresses URL composées comme suit :  https://www.crm.[...].com/documents/upload/eresa/X.pdf alors que les dispositions de l’article 44 de la loi Informatique et Libertés n’autorisent les agents de la CNIL qu’à consulter des données librement accessibles ou rendues accessibles et qu’elles ne rendent, en aucun cas, possible le maintien dans un système de traitement automatisé de données en vue d’extraire des données en procédant au téléchargement de celles-ci.
16.La société demande en conséquence à la formation restreinte de prononcer la nullité des constations contenues dans le procès-verbal n° 2018-186/1 du 7 septembre 2018.
17.La formation restreinte rappelle qu’aux termes de l’alinéa 3 du III de l’article 44 de la loi Informatique et Libertés , les agents de la Commission 
peuvent notamment, à partir d'un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d'un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations ; ils peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle .
18.En téléchargeant les fichiers à partir des adresses URL susmentionnées, les agents de la CNIL ont bien procédé à une retranscription des données et non pas à une extraction, dans la mesure où les fichiers n’ont pas été déplacés de la base de données de la société mais ont simplement été copiés. La formation restreinte considère qu’en téléchargeant les fichiers rendus librement accessibles par le défaut de sécurité, les agents de la CNIL ont agi dans le strict respect des dispositions de l’article 44 précité, qui n’énumère au demeurant pas limitativement les formes que peuvent prendre les retranscriptions des agents habilités.
19.En conséquence, la demande de nullité sera rejetée.
Sur l’utilisation d’éléments issus de la réponse de la société Y
20.La société note que dans le rapport notifié le 5 février 2019, le rapporteur a indiqué avoir tenu compte d’informations qui avaient été transmises par sa filiale, la société Y, personne morale distincte de la société X, dans le cadre d’une procédure de sanction préalablement ouverte à l’encontre de cette dernière. La société X fait valoir que ni le rapport, ni la réponse du rapporteur n’indiquent clairement quelles sont les informations fournies par la société Y sur lesquelles le rapporteur s’est appuyé dans le cadre de la présente procédure. La société indique ainsi ne pas savoir de quelle manière le rapporteur a tenu compte de ces éléments dans l’élaboration de sa proposition. Elle demande dès lors à la formation restreinte de statuer sur la seule base des observations et pièces qu’elle a fournies et d’exclure les informations fournies par la société Y.
La formation restreinte constate tout d’abord que, dans son rapport du 4 février 2019, le rapporteur a clairement fait état de ce qu’une première procédure de sanction avait été initiée à l’encontre de la société Y mais que les investigations menées dans le cadre de cette procédure avaient révélé que Y n’était pas le responsable de traitement auquel des manquements pouvaient être reprochés. La formation restreinte note qu’au demeurant, la procédure de sanction initiée à l’encontre de la société Y a été close le 31 janvier 2019.
22.La formation restreinte relève ensuite que, dans sa réponse aux observations de la société, le rapporteur a indiqué que les éléments dont il avait tenu compte pour établir son rapport étaient les informations relatives au fait que X avait procédé à la notification de la violation de données aux personnes concernées, au fait que le nombre de personnes concernées par la violation de données a été clarifié et au fait que les documents transmis par les candidats étaient conservés à des fins précontentieuses et contentieuses.
23.Elle considère que les indications données par le rapporteur permettaient à la société d’identifier sans ambiguïté les informations en question et les développements du rapport les comportant.
24.Enfin, la formation restreinte souligne que l’ensemble des informations sur lesquelles le rapporteur a fondé sa proposition de sanction, quelle qu’en soit la source, ont été portées à la connaissance de la société X dans le cadre de la procédure et soumises à un débat contradictoire. Ce faisant, la société a eu connaissance de la prise en compte de ces informations et a été mise en mesure de remettre en cause l’exactitude des faits développés dans le rapport et d’en contester leur portée.
25.En conséquence, il convient de rejeter la demande de la société de ne pas prendre en considération les éléments issus de la procédure suivie contre la société Y.
3. Sur l’absence de mise en demeure préalable