AgentPublic/cnil huggingface dataset:
L’association a indiqué que pour intégrer l’école, chaque élève doit réussir des tests d’admissibilité qui se déroulent en deux phases. Les candidats doivent tout d’abord se créer un compte sur le site de l’école puis passer un premier test sur internet. Ceux qui réussissent sont ensuite invités à passer une série de tests au sein de l’école. […]. La délégation a constaté qu’aucune information relative au traitement des données n’est délivrée aux candidats, ni au moment de leur inscription aux différents tests, ni à l’occasion de leur entrée dans l’école. 
Il a été indiqué à la délégation que les comptes crées par les étudiants ne sont jamais supprimés, quel que soit les résultats obtenus aux tests […]. L’école a expliqué qu’une personne ayant réussi les tests d’admission peut s’inscrire lorsqu’elle le souhaite et non pas nécessairement à la prochaine rentrée scolaire. La délégation a été informée de ce que les données des étudiants relatives à leur suivi administratif sont conservées sans limite de temps. 
Par ailleurs, il a été constaté dans la partie de la base de données dédiée à la gestion des étudiants, des commentaires tels que :  diagnostiqué de plusieurs maladies graves […] ou  très lourdement endetté […].
La délégation a enfin constaté que les mots de passes des étudiants leur permettant d’accéder à leur espace personnel sont générés automatiquement et leur sont adressés en clair dans un courriel sans obligation de modification ni de renouvellement. Dans le cas d’un changement de mot de passe, celui-ci doit être composé de 8 caractères alphanumériques comprenant des lettres majuscules et minuscules.
 
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée 
 
 
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
 
En premier lieu, s’agissant du dispositif de vidéosurveillance, l’association a indiqué à la délégation de contrôle que le dispositif de vidéosurveillance a été mis en œuvre pour assurer la protection des biens et des personnes, conformément à la déclaration n°1747150 effectuée auprès de la CNIL le 27 février 2014.
La délégation a constaté que les caméras composant le dispositif permettent de visualiser l’ensemble des espaces de travail dédiés aux étudiants (par exemple, la caméra E1-SM-SE ) ainsi que des espaces de pause telle que la cafétéria (par exemple, la caméra KFET-RESTO-SO ) ou encore l’accès aux sanitaires (caméra EO-WC). La délégation a également constaté que certaines caméras permettent de visualiser en continu des postes de travail des salariés (par exemple, la caméra E3-BOCAL ) et les espaces de pauses qui leur sont dédiés (par exemple, la caméra E3-TERRASSE ).
Or, si la CNIL considère de manière constante que des caméras peuvent filmer les accès de l’établissement (entrées et sorties) et les espaces de circulation, il est toutefois exclu de filmer les lieux de vie pendant les heures d’ouverture de l’établissement, sauf circonstances exceptionnelles, non démontrées en l’espèce. De même, le fait de filmer en continu les postes de travail de certains employés est disproportionné, sauf circonstance particulière, par exemple lorsqu’un employé manipule des fonds ou des objets de valeur ou lorsque le responsable de traitement est à même de justifier de vols ou de dégradations commises sur ces zones.
 
En l’espèce, aucun élément apporté par l’association ne permet de justifier que les étudiants et le personnel soient placés sous surveillance permanente.
En second lieu, l’association a indiqué que les profils des étudiants au sein de la base de données comportent un champ libre qui permet aux membres du personnel de renseigner des informations permettant de justifier les choix pédagogiques effectués pour les étudiants tels que le report d’une période d’examens ou la prolongation de la scolarité. L’association a indiqué qu’aucune procédure quant à l’utilisation de champ libre n’a été mise en place. 
La délégation a constaté, dans ces champs libres, la présence de commentaires tels que  il a enfin été diagnostiqué de plusieurs maladies graves […],
 Entre le procès avec son ancien employeur, […]et sa dépression, [X] n'a pas du tout pu se consacrer à Y , il a à nouveau rechuté dans la dépression , Sa mère a eu un cancer juste avant sa rentrée […] .
 
Or, l’inscription au sein de la base de données, à laquelle l’ensemble de l’équipe administrative accède, d’informations relatives à l’état de santé de l’étudiant ou à sa situation familiale, apparait disproportionnée au regard de la finalité du traitement, en l’espèce, la gestion pédagogique de l’étudiant.
 
Il résulte de ce qui précède que l’ensemble de ces faits constitue un manquement aux obligations prévues au 3° de l’article 6 de la loi n°78-17 du 6 janvier 1978 qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
Un manquement à l’obligation de définir une durée de conservation des données proportionnée à la finalité du traitement
La délégation a été informée qu’aucune durée de conservation n’a été définie par l’association s’agissant des données renseignées par les candidats, qu’ils aient échoué aux tests d’admissibilité ou qu’ils aient intégré l’école.
Tout d’abord, l’association a indiqué que les données concernant les candidats ayant échoué aux tests sont conservées en base active sans limite de temps afin de s’assurer que ces candidats ne puissent plus s’inscrire mais également à des fins statistiques. S’agissant ensuite des données relatives aux étudiants ayant intégré l’école, l’association a expliqué qu’elles étaient conservées afin de permettre une analyse, à des fins pédagogiques, des différents parcours des étudiants.
Or, la CNIL rappelle que les données à caractère personnel doivent être conservées uniquement le temps nécessaire à l’accomplissement de la finalité qui était poursuivie lors de leur collecte. En l’espèce, si la conservation des données des candidats ayant échoué aux tests apparait légitime, il revient à l’association de s’assurer que seules les données permettant l’identification des candidats soient conservées.
Par ailleurs, la conservation pour une durée indéfinie des comptes des candidats aux tests et des dossiers pédagogiques des étudiants même lorsque ceux-ci ont quitté l’école n’est pas proportionnée à la finalité du traitement, en l’occurrence l’analyse des parcours suivis au sein de l’école.
Ces faits constituent un manquement à l’article 6-5 de la loi du 6 janvier 1978 modifiée, applicable au jour des constats, qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
 
Un manquement à l’obligation d’informer les personnes
En premier lieu, s’agissant du dispositif de vidéosurveillance, la délégation a constaté que le règlement intérieur, destiné aux étudiants et aux membres du personnel comporte la mention suivante :  Les locaux de Y sont placés sous vidéo surveillance. Conformément à la loi n°95-73 du 21 janvier 1995, l’exercice du droit d’accès aux enregistrements vidéo peut s’effectuer auprès de la Direction de l’Etablissement . Par conséquent, les personnes concernées ne sont pas informées des destinataires des données et de la durée de conservation des images. Par ailleurs, l’information délivrée ne vise pas le régime juridique applicable, en l’occurrence la loi Informatiques et Libertés .
En deuxième lieu, la délégation a constaté la présence sur les portes d’entrée de l’école d’autocollants indiquant  Etablissement sous vidéo surveillance . Par conséquent, les personnes extérieures à l’école qui seraient amenés à s’y rendre (comme par exemple, un intervenant ou un prestataire) ne sont donc pas informées de l’identité du responsable du traitement, des destinataires, de la durée de conservation des images et des droits dont elles disposent.
 
En troisième lieu, la délégation a constaté que lors de leur inscription sur le site internet […] et de leur entrée à l’école, les étudiants sont amenés à renseigner des données personnelles telles que leur nom, leur prénom et leur numéro de téléphone mobile à des fins de gestion administrative et pédagogique de leurs dossiers. Néanmoins, il a été constaté qu’aucune information relative au traitement de leurs données n’est fournie aux étudiants.
 
Ces faits constituent un manquement au I de l’article 32 de la loi n°78-17 du 6 janvier 1978 modifiée, applicable au jour des constats, qui imposait de fournir à la personne concernée un certain nombre d’informations quant au traitement de données mis en œuvre et notamment l’identité du responsable de traitement, sa finalité, ses destinataires, l’indication des droit des personnes.
Il est rappelé qu’en application des articles 131-41 et R625-10 du Code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7 500 €.
 
 
 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
 
En premier lieu, la délégation a été informée que grâce à une application disponible sur le réseau intranet de l’école, les étudiants ont accès, en temps réel aux images issues des caméras filmant les zones qui leur sont accessibles. Par ailleurs, les membres du personnel administratif ont quant à eux accès, grâce à une autre application, à l’ensemble des images. L’association a indiqué que le dispositif permet aux étudiants de retrouver leurs camarades au sein de l’école et que le choix de leur ouvrir l’accès aux images permet de les rassurer sur ce que visualisent les caméras.
Or, la CNIL considère que l’accès aux images issues du système de vidéosurveillance doit être strictement réservé aux personnes habilitées au regard de leur fonction, par exemple, les agents en charge de la sécurité ou certains membres du personnel administratif. Permettre l’accès aux images issues de la vidéosurveillance à toute personne non habilitée, conduit à compromettre la confidentialité des données traitées.
 
En deuxième lieu, la délégation a constaté que les mots de passe permettant aux étudiants d’accéder à leur espace personnel sont d’une robustesse insuffisante car composés de 8 caractères alphanumériques comprenant des lettres majuscules et minuscules. 
 
La CNIL rappelle qu’une authentification reposant sur l’utilisation d’un mot de passe insuffisamment complexe peut conduire à une compromission des comptes associés et à des attaques par des tiers non autorisés, par exemple des attaques par force brute qui consistent à tester successivement et de façon systématique de nombreux mots de passe.
 
En troisième lieu, Ces mots de passe leur sont adressés dans un courriel en clair. Enfin, la délégation a été informée de ce qu’il n’est pas exigé de la part des étudiants la création d’un nouveau mot de passe lors de leur première connexion. Cela implique que dans le cas où l’étudiant ne procède pas lui-même au renouvellement de son mot de passe, celui-ci ne sera jamais renouvelé et restera connu des administrateurs de l’école.
En dernier lieu, l’association a indiqué que les agents de sécurité ont accès au dispositif de vidéosurveillance en utilisant leur propre identifiant associé à un mot de passe de 5 caractères alphanumériques. 
L’ensemble de ces mesures ne permet pas au responsable du traitement de s’assurer de la sécurité des données, notamment d’empêcher des tiers non autorisés d’y accéder.
 
Ces faits constituent donc un manquement à l’article 34 de la loi 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
 
Il est rappelé qu’en application des articles 226-17 et 131-41 du Code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi 78-17 du 6 janvier 1978 modifiée précitée est puni d’une peine d’amende pouvant atteindre 1 500 000 €.
 
En conséquence, X, sise[…], est mis en demeure sous un délai de deux (2) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
cesser de traiter des données inadéquates, non pertinentes ou excessives, au regard des finalités poursuivies, conformément aux dispositions du c) de l’article 5 du Règlement (UE) 2016/679 désormais applicable, notamment en :
 
modifiant le dispositif de vidéosurveillance afin qu’il soit proportionné au regard de la finalité poursuivie, et en particulier :
cesser de filmer les espaces de travail des étudiants ainsi que les espaces de pause, cafétérias, et sanitaires pendant les heures d’ouverture de l’école ;
cesser de placer le personnel administratif sous surveillance constante, par exemple, en réorientant ou en déplaçant les caméras ou encore en procédant à la mise en œuvre de masques dynamiques lors de la visualisation des images.
prenant des mesures pour éviter que des commentaires excessifs ne soient enregistrés par le personnel administratif dans les profils des étudiants, par exemple, en mettant en place un système de détection automatique de ces derniers et en attirant l’attention du personnel sur la nécessité de n’enregistrer que les données adéquates et pertinentes ;
 
définir et mettre en œuvre une politique de durée de conservation des données qui n’excède pas la durée nécessaire aux finalités pour lesquelles ces données sont collectées, conformément à l’article 5-e) du Règlement 2016/679 du 27 avril 2016 relatif à la protection des données à caractère personnel, en particulier :
ne conserver parmi les données relatives aux candidats ayant échoués aux tests d’admission, que celles strictement nécessaires à leur identification ;
ne conserver que les données relatives au suivi administratif et pédagogique des étudiants que durant le temps de leur scolarité et procéder, si nécessaire, à l’archivage de ces données.
procéder à la purge des données relatives aux étudiants ayant quitté l’établissement;
 
procéder à l’information des personnes dont les données sont traitées, conformément aux dispositions des articles 12 et 13 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, désormais applicable, et en particulier :
 
s’agissant du dispositif de vidéosurveillance :
en complétant la mention d’information dans le règlement intérieur en ajoutant notamment l’identité du responsable du traitement, la durée de conservation des données et l’indication des droits des personnes ;
en complétant le dispositif présent à chacune des entrées de l’école, de l’identité du responsable du traitement, des destinataires des données, de la durée de conservation, des droits dont ils disposent et des modalités d’exercice de ces droits.
 
s’agissant de l’inscription des candidats aux tests d’admissions sur le site […] et des étudiants lors de leur entrée à l’école :
en fournissant directement aux personnes, au moment où les données à caractère personnel sont collectées sur la page d’inscription, à minima une information relative à l’identité du responsable du traitement, à la finalité poursuivie par le traitement, aux droits des personnes. 
en complétant cette information, par exemple dans les conditions générales d’utilisation du site […] et s’agissant des étudiants, au moyen d’une notice d’information, l’ensemble des informations prévues par l’article 13 du Règlement 2016/679.
prendre toute mesure, pour l’ensemble des traitements de données à caractère personnel mis en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès en application de l’article 32 du Règlement (UE) 2016/679 désormais applicable, notamment :
	
en s’assurant que les étudiants ne puissent accéder aux images issues du dispositif de vidéosurveillance ;
en cessant d’adresser dans un courriel en clair leur mot de passe aux étudiants ;
en obligeant les étudiants à modifier leur mot de passe lors de leur première connexion ;
en mettant en œuvre une politique de gestion des mots de passe contraignante, s’agissant des postes de travail des agents de sécurité et de l’accès des étudiants à leur espace personnel selon l’une des modalités suivantes ;
les mots de passe sont composés d’au minimum 12 caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
les mots de passe sont composés d’au moins 8 caractères, contenant 3 des 4 catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme la temporisation d’accès au compte après plusieurs échecs, (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum 10).
	
prévoir, s’agissant des postes de travail des agents de sécurité, un renouvellement régulier des mots de passe.
À l’issue de ce délai, si X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
 
À l’inverse, si X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
 
 
 
 
La Présidente
 
 
 
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 18 octobre 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Siégeaient, outre la Présidente de la Commission, Madame Marie-France MAZARS, Vice-présidente déléguée, et Monsieur Éric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED 2018-041 du 8 octobre 2018 de la Présidente de la Commission mettant en demeure X ;
A adopté la délibération suivante :
Par décision du 8 octobre 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure X de faire cesser sous un délai de deux mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment ceux relatifs à la mise en œuvre d’un dispositif de vidéosurveillance.
En application du dernier alinéa du II de l’article 45 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 18 octobre 2018.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la nature des manquements constatés.
Le bureau relève d’une part le caractère excessif du système de vidéosurveillance qui filme en continu l’ensemble des espaces de travail occupés par les étudiants, les espaces de pauses ainsi que les bureaux du personnel administratif, plaçant ainsi l’ensemble des personnes concernées sous une surveillance constante.
D’autre part, le bureau souligne la mise en place d’un dispositif inédit au sein de l’école en ce que les étudiants peuvent accéder en temps réel à la plupart des images issues de la vidéosurveillance, ce qui permet à tout moment de savoir où se trouve chacun d’entre eux, ce qu’il fait et avec qui il se trouve.
Enfin, le bureau relève que l’information diffusée aux personnes filmées est incomplète.
Le bureau considère aussi que la publicité de la mise en demeure a vocation à informer les personnes concernées de l’existence de systèmes de vidéosurveillance dans les établissements d’enseignement et du risque d’atteinte à la vie privée.
Enfin, d’une manière générale, le bureau souhaite sensibiliser les professionnels du secteur sur cette difficulté alors que le nombre de plaintes relatives à l’usage de la vidéosurveillance connaît une forte croissance et révèle ainsi une préoccupation grandissante des personnes.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2018-041 de la Présidente de la CNIL mettant en demeure X
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
La Présidente
 Isabelle FALQUE-PIERROTIN
DELIBERATION N°91-098 DU 8 OCTOBRE 1991 PORTANT SUR UNE VERIFICATION SUR PLACE AUPRES DE BRIGADES DE GENDARMERIE D'ILE-DE-FRANCE
La Connnission Nationale de l'Informatique et des Libertés;
Vu la Convention du Conseil de l'Europe pour la Protection des Personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 21 alinéa 2;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;
Vu le règlement intérieur de la Connnission et notamment ses articles 55 et 56 ;
Après avoir entendu Monsieur Jean-Pierre MICHEL en son rapport et Madame Charlotte-Marie PITRAT en ses observations ;
Considérant que les brigades de gendarmerie collectent et conservent des informations relstives aux personnes dans des fichiers manuels en application du décret du 20 mai 1903 et de l'instruction n° 52000 du 13 décembre 1971 susvisés
Considérant qu'il convient donc de vérifier sur place les conditions de collecte et de conservation des données par les brigades de gendarmerie ;
DECIDE :
- de procéder à des vérifications sur place auprès de brigades de gendarmerie d'Ile-de-France ;
- d'en charger le Commissaire-Rapporteur et les agents de la
Connnission que le Président désignera,
LE PRESIDENT
Jacques FAUVET