AgentPublic/cnil huggingface dataset:
Le législateur a ainsi expressément autorisé l'utilisation de cette donnée dans ce cadre, tout en précisant que les opérations d'échange d'informations entre le tiers collecteur et l'administration fiscale et les données recueillies, détenues ou transmises dans ce cadre le sont aux seules fins de gestion du prélèvement à la source. A cet égard, la commission prend acte de la précision apportée par le projet d'arrêté qui dispose que le [NIR] est utilisé pour fiabiliser l'identification des individus .
La commission considère que les données traitées dans le système SRE-SZU sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'article 4 du projet d'arrêté prévoit que les données à caractère personnel traitées sont conservées trois ans et l'année en cours, à l'exclusion du NIR.
Cette durée de conservation tient compte du délai de reprise dont dispose l'administration pour rectifier les omissions constatées dans l'assiette de l'impôt, les insuffisances, les inexactitudes ou les erreurs d'imposition. Pour l'impôt sur le revenu, ce délai de reprise s'exerce jusqu'à la fin de la troisième année qui suit celle au titre de laquelle l'imposition est due, conformément aux dispositions de l'article L. 169 du livre des procédures fiscales.
S'agissant du NIR, celui-ci n'est conservé dans le dispositif SRE-SZU que le temps nécessaire à la réalisation du traitement de fiabilisation et de reconnaissance de l'individu, étant précisé qu'il est par ailleurs traité par la DGFiP dans le cadre du référentiel PERS d'identification des personnes physiques et morales.
La commission considère que ces durées n'excèdent pas la durée nécessaire au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 6 du projet d'arrêté prévoit que les agents habilités de la direction générale des finances publiques sont destinataires des données traitées dans le dispositif SRE­ SZU , à l'exclusion du NIR. En effet, la reconnaissance des bénéficiaires de revenu sur la base de leur NIR est réalisée directement par le système d'information de la DGFiP et ne nécessite aucune intervention humaine.
Ces catégories de destinataires n'appellent pas d'observation particulière de la commission.
Sur l'information et les droits des personnes :
La commission rappelle que les mentions d'information prévues à l'article 32 de la loi Informatique et Libertés doivent obligatoirement être portées à la connaissance des personnes concernées. Il convient en particulier d'informer les contribuables quant à l'utilisation faite de leur NIR afin de procéder à leur reconnaissance dans le système d'information de la DGFiP.
S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés , l'article 7 du projet d'arrêté dispose que ceux-ci s'exercent auprès du centre des finances publiques compétent.
Le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la commission.
Sur la sécurité des données et la traçabilité des actions :
La commission prend acte que le ministère entend recourir au système de gestion de base de données Postgre, dans sa version 9-4.
Le traitement ne sera accessible qu'aux agents habilités de la DGFiP, via le réseau interne au ministère, ce qui n'appelle pas de remarque particulière de la commission.
S'agissant de leur authentification par un système impliquant un mot de passe, la commission rappelle que cette authentification doit être conforme à l'état de l'art, tel que précisé dans les recommandations de la commission en la matière.
La commission observe que le NIR fait l'objet de mesures de sécurité renforcées. Ainsi, il ne sera pas sauvegardé dans le traitement projeté, il sera systématiquement transmis de manière chiffrée entre les différentes applications et la maintenance des ressources traitant le NIR sera spécifiquement encadrée.
Concernant les mesures de traçabilité, l'article 3 du projet d'arrêté prévoit que les consultations effectuées par les agents de la DGFiP font l'objet d'une journalisation qui se traduit par la conservation, pour chaque connexion, des éléments d'identification de l'auteur, des références ainsi que des date et heure. L'article 4 précise que ces données sont conservées un an. La commission prend acte que le ministère s'engage à modifier l'article 6 du projet d'arrêté, qui prévoit que sont destinataires des données relatives à la journalisation des consultations menées l'encadrement, les responsables de sécurité informatique et les agents habilités à consulter les traces , afin de préciser qu'il s'agit du personnel de la DGFiP.
Sous ces réserves, la commission considère que les mesures de sécurité envisagées par l'administration fiscale apparaissent cohérentes avec le niveau de sécurité attendu au regard de la nature des données traitées et des risques présentés par le traitement, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des sports d'une demande d'avis concernant un projet de décret modifiant le décret n° 2013-1212 du 23 décembre 2013 relatif aux déclarations de situation patrimoniale et déclarations d'intérêts adressées à la Haute Autorité pour la transparence de la vie publique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 2013-906 du 11 octobre 2013 relative à la transparence de la vie publique ;
Vu le code du sport, notamment ses articles L. 131-14 et L. 132-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la loi n° 2013-907 du n octobre 2013 relative à la transparence de la vie publique, notamment son article 11-III bis ;
Vu la loi n° 2017-261 du 1er mars 2017 visant à préserver l'éthique du sport, à renforcer la régulation et la transparence du sport professionnel et à améliorer la compétitivité des clubs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2013-1212 du 23 décembre 2013 relatif aux déclarations de situation patrimoniale et déclarations d'intérêts adressées à la Haute Autorité pour la transparence de la vie publique ;
Vu la délibération n° 2013-394 du 12 décembre 2013 portant avis sur un projet de décret relatif aux modalités d'établissement, de conservation et de publication des déclarations de situation patrimoniale et d'intérêts adressées à la Haute Autorité pour la transparence de la vie publique ;
Vu la délibération n° 2016-117 du 21 avril 2016 portant avis sur un projet de décret relatif à la dématérialisation de la transmission à la Haute Autorité pour la transparence de la vie publique des déclarations de situation patrimoniale et déclarations d'intérêts ;
 
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie pour avis sur le fondement de l'article 11 (4°, a) de la loi Informatique et Libertés, par le ministère des sports d'un projet de décret modifiant le décret n° 2013-1212 du 23 décembre 2013 relatif aux modalités d'établissement, de conservation et de publication des déclarations de situation patrimoniale et d'intérêts adressées à la Haute autorité pour la transparence de la vie publique, sur lequel la commission a rendu un avis par la délibération n° 2013-394 du 12 décembre 2013.
La loi n° 2017-261 du 1er mars 2017 visant à préserver l'éthique du sport, à renforcer la régulation et la transparence du sport professionnel et à améliorer la compétitivité des clubs, a inséré à l' article 11 de la loi n° 2013-907 relative à la transparence de la vie publique, une nouvelle disposition III bis qui impose aux présidents des fédérations sportives délégataires, des ligues professionnelles, du Comité national olympique et sportif français et du Comité paralympique et sportif français, de déclarer leurs intérêts et leur situation patrimoniale à la Haute Autorité pour la transparence de la vie publique.
Aussi, le projet de décret soumis à la commission étend aux présidents des organismes susvisés, les obligations de déclarations fixées par le décret n° 2013-1212 du 23 décembre 2013, dans les mêmes conditions.
En outre, le projet de décret prévoit que les fédérations sportives délégataires, les ligues professionnelles, le Comité national olympique et sportif français, et le Comité paralympique et sportif français, transmettent à la Haute Autorité pour la transparence de la vie publique le procès-verbal de l'assemblée générale au cours de laquelle est élu leur président.
La commission prend note que les informations collectées sont celles prévues par les annexes du décret susvisé.
Les modifications susvisées n'appellent pas d'observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, de M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2017-015C du 4 janvier 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X accessibles à partir des domaines […],[…],[…],[…] et […] ;
Vu la décision n° 2017-044C du 27 janvier 2017 de la Présidente de la Commission de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification sur place des traitements mis en œuvre par la société X ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 22 juin 2017 ;
Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié par porteur à la société X le 4 juillet 2017 ;
Vu les observations écrites de la société X reçues le 23 août 2017, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 7 septembre 2017 :
Monsieur Éric PÉRÈS, Commissaire, en son rapport ;
En qualité de représentants de la société X :
	
M. X, président ;
M. Y, directeur général ;
En qualité de conseils de la société X :
	
M. Z ;
Mme XY ;
 
M. Michel TEIXEIRA, Commissaire du Gouvernement adjoint, n’ayant pas formulé d’observations ;
 
Les représentants de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) est une société par actions simplifiée ayant pour activité principale l’édition de sites internet permettant aux particuliers d’effectuer des démarches administratives en ligne. Elle emploie quatre salariés et a réalisé en 2016 un chiffre d’affaires de 759 758,77 euros.
Le 17 décembre 2016, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été alertée par l’éditeur d’un site web spécialisé dans la sécurité des systèmes d’information de la découverte d’un incident de sécurité sur les sites […], […] et […]. Il était indiqué à la CNIL qu’il était possible d’accéder librement aux données renseignées par les utilisateurs sur les formulaires présents sur ces sites internet, sans processus d’authentification.
En application de la décision n° 2017-015C de la Présidente de la Commission du 4 janvier 2017, plusieurs délégations de la CNIL ont procédé à des missions de contrôle en ligne les 11,12 et 13 janvier 2017. Les procès-verbaux de constats n° 2017-015/1, n° 2017-015/2, n° 2017-015/3, n° 2017-015/4 et n° 2017-015/5 dressés à l’issue de ces missions, ont été adressés à la société le 18 janvier 2017.
Au cours des contrôles, les délégations ont suivi le parcours de démarches administratives en renseignant les formulaires présents sur les sites […], […], […], […] et […]. À la fin de chaque démarche, les délégations ont constaté qu’une page récapitulative contenant des données à caractère personnel était affichée ainsi que la présence dans le navigateur des adresses URL suivantes :
[…]
[…]
[…]
[…]
[…]
S’agissant des quatre premières adresses URL, les délégations ont constaté qu’en modifiant les derniers numéros, correspondant à l’identifiant attribué à une démarche, les informations renseignées par d’autres utilisateurs du site étaient accessibles. S’agissant du site […], les vérifications n’ont pas conduit à constater que l’URL contenait un numéro de demande modifiable.
L’absence de système d’authentification des utilisateurs, lors de la démarche en ligne, a ainsi permis à la délégation d’avoir accès notamment aux données d’identification des personnes, ainsi qu’à leur adresse électronique, adresse postale, numéro de téléphone, nom et prénom de leurs parents lorsque la demande portait sur un acte de naissance, ainsi qu’aux descriptifs des faits dans le cadre des dépôts de plainte.
Le 13 janvier 2017, la délégation a pris contact avec la société par courrier électronique (courriel) pour l’informer de l’existence de cette violation de données à caractère personnel. La société a indiqué à la CNIL, par courriel du même jour, qu’elle allait entreprendre les démarches nécessaires. Par courriel du 16 janvier 2017, la société a informé la Commission que le site […] avait été modifié afin de protéger les données à caractère personnel des utilisateurs et que les mesures correctrices allaient être répercutées sur les autres sites internet.
La société a indiqué avoir mis en place un système d’authentification lui permettant de s’assurer que la personne accédant à la page récapitulative de la demande était à l’origine de la démarche. Elle a précisé qu’un jeton authentificateur ( token ) était inséré dans les courriels de confirmation envoyés aux personnes à l’origine des demandes et que celui-ci constituait l’unique moyen d’accéder à la page récapitulative de la demande contenant les données à caractère personnel.
Par courrier du 18 janvier 2017, les procès-verbaux de contrôle en ligne ont été notifiés à la société. Il lui était également demandé de bien vouloir communiquer à la CNIL le nombre d’utilisateurs présents en base de données pour chaque site internet.
La société a fourni à la Commission, par courriel du 30 janvier 2017, les copies du comptage réalisé permettant d’identifier le nombre d’utilisateurs présents en base de données. Il ressortait des pièces communiquées que 9 962 lignes avaient été créées pour le site […], 148 929 pour le site […], 64 867 pour le site […], 52 018 pour le site […] et 506 984 pour le site […].
En application de la décision n° 2017-044C du 27 janvier 2017 de la Présidente de la CNIL, une délégation de la Commission a procédé à une mission de contrôle dans les locaux de la société X le 6 février 2017, notamment afin de vérifier les mesures correctrices prises à la suite de la révélation de la violation de données. Le procès-verbal de contrôle n° 2017-044/1 a été notifié à la société le 9 février 2017.
La société a informé la délégation avoir eu recours, pour éviter la survenance d’un nouvel incident de sécurité, à un cookie fourni par le cadre applicatif CAKEPHP ( framework ) utilisé pour la conception de ses sites. Elle précisait que ce cookie de session, contenant un identifiant unique, était désormais déposé sur l’équipement terminal de l’utilisateur. Celui-ci permet de s’assurer que la personne souhaitant accéder à une demande pré-enregistrée sur l’un des sites gérés par la société est bien celle qui est à l’origine de la démarche administrative.
La société a également indiqué qu’un utilisateur n’ayant plus le cookie CAKEPHP sur son terminal – en raison d’un changement de poste informatique ou de suppression du cookie – peut accéder à son formulaire grâce au token présent dans le courriel de confirmation qui lui est envoyé.
À l’issue de son instruction, le rapporteur a fait notifier à la société le 4 juillet 2017, par porteur, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une sanction pécuniaire qui ne saurait être inférieure à 200.000 euros et qui serait rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 7 septembre 2017 indiquant à la société qu’elle disposait d’un délai courant jusqu’au 24 août 2017 pour communiquer ses observations écrites.
Le 23 août 2017, la société X a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 7 septembre suivant.
Lors de la séance, la proposition de sanction pécuniaire du rapporteur a été ramenée à la somme de 120.000 euros, au vu des éléments fournis par la société dans ses observations écrites.
Motifs de la décision
1. Sur les motifs de nullité de la procédure soulevés par la société
 
En premier lieu, la société soutient que la procédure de sanction est entachée de nullité dès lors qu’elle méconnaît le I de l’article 45 de la loi du 6 janvier 1978 modifiée par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ).
 
Le I de l’article 45 de la loi du 6 janvier 1978 modifiée prévoit que :
I. - Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.
Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure.
 
Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :
1° Un avertissement ;
2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;
3° Une injonction de cesser le traitement, lorsque celui-ci relève de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
 
Lorsque le manquement constaté ne peut faire l'objet d'une mise en conformité dans le cadre d'une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévues au présent I.
La société fait valoir qu’en application de cette disposition, la formation restreinte ne peut prononcer une sanction contre un responsable de traitement sans que celui-ci n’ait été préalablement mis en demeure par la Présidente de la CNIL de faire cesser le manquement constaté.
La société relève, en outre, que le courriel qui lui a été adressé par la CNIL le 13 janvier 2017 par lequel elle l’informait de l’existence d’une violation de données sur ses sites internet ne constitue pas une mise en demeure. Elle précise qu’en tout état de cause, si ce courriel était considéré comme une mise en demeure, aucune sanction ne pourrait être adoptée à son encontre dès lors qu’elle avait apporté les correctifs nécessaires dans un délai de cinq jours ouvrés et s’était ainsi conformée à la mise en demeure adressée par courriel.
La société estime donc que, dans la mesure où le manquement constaté le jour du contrôle pouvait faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure et compte tenu du fait qu’elle y a mis un terme avant qu’une mise en demeure ne lui soit adressée, la procédure de contrôle engagée par la Commission aurait dû être clôturée.
La formation restreinte prend acte de ce que la société a mis fin à la violation de données après les contrôles en ligne de la CNIL, sans qu’une mise en demeure de la Présidente de la Commission ne lui ait été notifiée.
La formation restreinte relève que le I de l’article 45 précité dans sa rédaction issue de la loi pour une République numérique du 7 octobre 2016, vise à permettre la sanction des manquements constatés mais ne pouvant plus faire valablement l’objet d’une mise en demeure, soit que le manquement, de portée ponctuelle, ne puisse être corrigé, soit que la mise en conformité ait été entre-temps opérée sans attendre une mise en demeure. Les faits susceptibles d’être directement sanctionnés peuvent donc correspondre, soit comme en l’espèce à des manquements achevés sans intervention d’une mise en demeure, soit, dans d’autres hypothèses, à la partie passée d’un comportement ultérieurement mis en conformité à la suite d’une mise en demeure.
Le législateur a ainsi entendu permettre à la formation restreinte de la CNIL de prononcer une sanction, notamment pécuniaire, en cas de manquement dûment constaté mais pour lequel une mise en demeure, laquelle ne peut avoir d’effets que pour l’avenir, et non pour le passé, serait sans objet. En effet, dans sa version antérieure à la loi du 7 octobre 2016, seul un avertissement pouvait être prononcé dans ce type d’hypothèse.
Dès lors, la formation restreinte considère que les mesures prises par un responsable de traitement pour faire cesser un manquement constaté, s’ils justifient qu’aucune mise en demeure ne lui soit adressée pour l’avenir, ne la privent pas de la possibilité de prononcer une sanction, dans la mesure où la mise en conformité spontanée du responsable de traitement n’a pas pour effet de faire disparaître les manquements passés.
En l’espèce, il ressort du courriel reçu le 16 janvier 2017 que la société a pris des mesures correctives visant à faire cesser le manquement constaté lors du contrôle. La formation restreinte considère que le manquement constaté à la date du contrôle ne pouvait plus faire l’objet d’une mise en demeure, qui aurait donc été sans objet. En revanche, ce manquement a bien été dûment constaté, non contesté et a conduit à priver, pendant toute la durée de son existence, les utilisateurs des sites concernés de leur droit à ce que la confidentialité et la sécurité de leurs données soient assurées.
Ainsi, il peut être fait application du dernier alinéa du I de l’article 45 de la loi du 6 janvier 1978 modifiée, permettant à la formation restreinte de prononcer, sans mise en demeure préalable, les sanctions prévues au I.