AgentPublic/cnil huggingface dataset:
40. En deuxième lieu, s’agissant du manquement à l’article 14 du RGPD, la formation restreinte relève que, sur le premier courrier de prospection adressé aux plaignants (saisines n° […] , n° […] et n° […]), dont les données ont été obtenues indirectement, la mention suivante figure : […], responsable de traitement, met en œuvre un traitement de données personnelles à des fins de prospection […]. Vos données ont été collectées auprès d’un organisme spécialisé dans l’enrichissement de données . 
41. La formation restreinte considère que la seule mention que les données ont été collectées auprès d’un organisme spécialisé dans l’enrichissement de données , figurant dans le premier courrier de prospection commerciale adressé par […], n’est pas suffisamment précise quant à la source d’où proviennent les données. Cette information n’est ainsi pas de nature à garantir un traitement équitable et transparent à l’égard du prospect, en particulier dans un contexte de reventes successives de données entre de multiples acteurs et dans l’hypothèse où le prospect souhaiterait exercer ses droits auprès du courtier en données dont il ignore l’identité.
42. La formation restreinte estime que l’absence d’un préjudice important pour les personnes invoquée par la société et la possibilité de contacter […] afin d’obtenir davantage d’informations est sans influence sur la caractérisation du manquement à l’information des personnes, laquelle est une obligation distincte du droit d’obtenir toute information disponible quant à la source des données en application de l’article 15, paragraphe 1, g) du RGPD. 
43. Dès lors, la formation restreinte considère que les faits précités constituent un manquement à l’article 14 du RGPD.
44. La formation restreinte relève qu’au cours de la procédure, la société a modifié les mentions d’information figurant dans les courriers de prospection, afin d’y faire apparaître le nom du courtier en données concerné. 
C. Sur les manquements en lien avec l’exercice des droits des personnes
45. Aux termes de l’article 12 du RGPD :
1. Le responsable du traitement prend des mesures appropriées […] pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […]. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. […]
3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. […]
4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. […] .
46. L’article 15, paragraphe 1, du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux données à caractère personnel la concernant, notamment g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source . Il est également prévu au paragraphe 3 du même article que le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. […] .
47. L’article 21, paragraphe 2, du RGPD dispose que, Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. […] 
1. Sur le manquement à l’obligation de transparence
48. La rapporteure, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 12 du RGPD, se fonde sur deux saisines de la CNIL, émanant de Monsieur […] (saisine n° […]) et de Monsieur […] (saisine n° […]). S’agissant de la première saisine, la rapporteure a relevé que la société […] avait contacté le plaignant par téléphone pour lui apporter une réponse, sans lui adresser d’écrit, en violation de l’article 12, paragraphe 1, du RGPD. En outre, la réponse qui lui a été apportée sur l’organisme à l’origine des données était erronée. Enfin, la société a répondu à ses questions, de nouveau par téléphone, plus de neuf mois plus tard. S’agissant de la seconde saisine, la rapporteure a relevé que la société avait clôturé la demande du plaignant au lieu de la transmettre au service en charge des demandes d’exercice de droits et n’avait pas répondu à Monsieur […]. Ce n’est que six mois après sa demande initiale – dans le cadre de la procédure de contrôle – qu’une réponse a été apportée au plaignant.
49. En défense, la société indique que la politique de la société […] a toujours été de répondre par écrit à l’ensemble des demandes d’exercice de droits de ses prospects et clients. Elle précise que, pour toute réclamation écrite, le conseiller tente de contacter le prospect ou le client par téléphone, avant de lui envoyer une réponse documentée sous forme écrite. La société ajoute que l’absence de réponse écrite à Monsieur […] relève d’une simple erreur humaine commise par le conseiller, lequel n’a pas suivi les procédures internes. La société ajoute que le traitement des demandes d’exercice de droit des plaignants s’est inscrit dans le contexte particulièrement difficile à la fois de la crise sanitaire, qui a conduit à un accroissement du nombre de demandes d’exercice de droit, et de report de la fin de la trêve hivernale au 1er septembre 2020, ce qui peut expliquer que leur courrier n’ait pu être correctement traité dans les délais usuels.
50. La formation restreinte note que la société reconnaît une erreur d’orientation des demandes des plaignants ayant entraîné soit une absence de réponse dans le délai imparti, soit une mauvaise qualité de réponse . Un manquement aux obligations de l’article 12 du RGPD est constitué dès lors que la société n’a pas apporté de réponse par écrit et a donné au plaignant des informations erronées s’agissant de la saisine de Monsieur […]. En outre, la société n’a pas traité ces demandes d’exercice de droits dans le délai imparti s’agissant des deux saisines.
51. Par conséquent, la formation restreinte considère que le manquement à l’article 12 du RGPD est constitué.
2. Sur le manquement à l’obligation de respecter le droit d’accès
52. La rapporteure, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD en matière de droit d’accès, se fonde sur deux saisines de la CNIL, émanant de Monsieur (saisine n° […]) et de Madame (saisine n° […]). S’agissant de la saisine de Monsieur […], la première réponse apportée par voie téléphonique au plaignant sur la source des données collectées était erronée. Quant à la saisine de Madame […], la société précise qu’une réponse lui a été adressée le 17 juillet 2020, lui indiquant qu’elle n’avait aucune autre donnée la concernant que son prénom et son nom dans ses bases de données. La rapporteure a considéré qu’une telle affirmation était inexacte et que la société avait au moins son adresse – ou ancienne adresse – pour effectuer le rapprochement avec les nom et prénom de la plaignante puisque la société […] lui a adressé un courrier au domicile de ses parents. 
53. En défense, s’agissant de la saisine relative à Monsieur […], la société reconnaît que la réponse du conseiller au plaignant était en partie inexacte en raison d’une erreur s’agissant de la source des données. Quant à la saisine relative à Madame […], la société considère que la réponse qui lui a été apportée par le conseiller était correcte puisque les seules données rattachables à la plaignante étaient ses nom et prénom.
54. Au vu des éléments apportés par la société, la rapporteure propose à la formation restreinte de ne pas retenir le manquement à l’article 15 du RGPD s’agissant de la saisine relative à Madame […]. 
55. La formation restreinte relève que les faits relevés par la rapporteure ne sont pas contestés par la société s’agissant de la saisine de Monsieur […] et qu’il est avéré qu’une réponse inexacte lui a été apportée dans le cadre de sa demande de droit d’accès. Elle considère qu’un manquement aux obligations de l’article 15 est constitué s’agissant de cette plainte, dès lors que la société lui a apporté une information erronée sur la source des données collectées dans le cadre de sa demande de droit d’accès. En revanche, s’agissant de la plainte de Madame […], la formation restreinte prend acte des éléments apportés par la société et considère que le manquement invoqué n’est pas caractérisé.
3. Sur le manquement à l’obligation de respecter le droit d’opposition
56. La rapporteure, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 21 du RGPD, se fonde sur la saisine de Monsieur […] (n° […]). La rapporteure indique que la société n’a pas pris en compte l’opposition du plaignant au traitement des données à caractère personnel de son fils mineur à des fins de prospection commerciale. En effet, le fils mineur de Monsieur […] a reçu un second courrier de prospection commerciale, en dépit de la demande de ce dernier visant à la suppression des données à caractère personnel relatives à son fils.
57. En défense, la société explique que, dans le guide Réclamation de mai 2020 à destination de l’ensemble des conseillers, ces derniers avaient pour consigne, pour toute demande d’effacement des données d’un prospect, de systématiquement collecter l’opposition du prospect . Concernant la saisine de Monsieur […], le conseiller a bien procédé à l’effacement des données comme il l’avait indiqué par téléphone au plaignant mais n’a pas complètement suivi la procédure interne en ne procédant à l’opposition avant d’effacer les données. La société ajoute avoir simplifié cette procédure d’effacement. Ainsi, depuis juillet 2021, lorsque le conseiller traite une demande d’effacement, une mise en opposition est automatiquement mise en œuvre.
58. La formation restreinte relève que les faits relevés par la rapporteure s’agissant de la situation du plaignant ne sont pas contestés par la société et constituent un manquement aux obligations découlant de l’article 21 du RGPD. Elle note qu’au cours de la procédure de sanction, la société a amélioré sa procédure de gestion des demandes d’effacement.
D. Sur le manquement à l’obligation d’assurer la sécurité des données
59. Aux termes de l’article 32, paragraphe 1, du RGPD, Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) […] ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) […] ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. .
• Sur la fonction de hachage des mots de passe du portail […]
60. Compte tenu des déclarations initiales de la société lors de la procédure de contrôle, la rapporteure a relevé que les mots de passe à l’espace client du portail […] étaient stockés au moyen de la fonction de hachage MD5. La rapporteure a ensuite pris acte des nouvelles affirmations de la société et du fait que, depuis janvier 2018, la fonction de hachage SHA-256 est utilisée. Elle a néanmoins relevé que, jusqu’à juillet 2022, les mots de passe de plus de 25 800 comptes étaient conservés de manière non sécurisée, avec la fonction de hachage MD5.
61. En défense, la société explique que, depuis janvier 2018, toutes les inscriptions ou les modifications d’un mot de passe utilisateur sont enregistrées dans l’annuaire associé au portail […] en SHA-256 avec un mécanisme d’aléas associé (salage). Le hachage MD5 correspond uniquement au niveau de hachage mis en place historiquement par la société […], sous-traitant […], et pour lequel seuls quelques milliers de comptes étaient encore concernés en avril 2021. La société ajoute que ces mots de passe étaient tout de même stockés avec la robustesse du mécanisme supplémentaire d’aléa (salage), empêchant les attaques par tables précalculées. Elle en conclut que les mots de passe étaient sécurisés. En outre, la société indique que, depuis le début de l’année 2022, une ultime purge des mots de passe qui étaient encore stockés au moyen de la fonction de hachage MD5 (environ 3,2% du nombre total de clients […] ) a été réalisée. Elle précise ainsi que tous les mots de passe des utilisateurs du site […] sont aujourd’hui stockés avec un sel et un algorithme fort.
62. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures. La mise en place d’une politique d’authentification robuste constitue une mesure élémentaire de sécurité qui participe généralement au respect des obligations de l’article 32 du RGPD. Ainsi, il est nécessaire de veiller à ce qu’un mot de passe permettant de s’authentifier sur un système ne puisse pas être divulgué. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 et que la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées . En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne
permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent. Dans la mesure où un grand nombre d’internautes utilisent le même mot de passe pour s’authentifier à leurs différents comptes en ligne, des attaquants pourraient exploiter les données compromises pour multiplier les intrusions sur leurs autres comptes pour commettre par exemple des vols ou des escroqueries.
63. De même, la Commission précise également dans sa délibération n° 2017-012 du 19 janvier 2017, s'agissant des modalités de conservation, que le mot de passe ne doit jamais être stocké en clair. Elle recommande qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé. La Commission estime de plus que le sel ou la clé doit être généré au moyen d'un générateur de nombres pseudo-aléatoires cryptographiquement sûr (c'est-à-dire basé sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), et ne pas être stocké dans le même espace de stockage que l'élément de vérification du mot de passe .
64. Outre ces recommandations, la formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traitées. Elle a ainsi eu l’occasion de rappeler que le recours à la fonction de hachage MD5 par la société n’est plus considérée depuis 2004 comme à l’état de l’art et son utilisation en cryptographie ou en sécurité est proscrite. Ainsi, l’utilisation de cet algorithme permettrait à une personne ayant connaissance du mot de passe haché de déchiffrer celui-ci sans difficulté en un temps très court (par exemple, au moyen de sites internet librement accessibles qui permettent de retrouver la valeur correspondante au hash du mot de passe) (délibération SAN-2021-008 du 14 juin 2021).
65. Or, la formation restreinte constate que, jusqu’à juillet 2022, les mots de passe de plus de 25 800 comptes étaient conservés de manière non sécurisée, avec la fonction de hachage MD5. Dans ces conditions, eu égard aux risques encourus par les personnes, la formation restreinte considère que la société a manqué aux obligations qui lui incombent en vertu de l’article 32 du RGPD. 
66. Elle relève néanmoins que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD.
• Sur la fonction de hachage des mots de passe à l’espace client […]
67. Compte tenu des déclarations initiales de la société lors de la procédure de contrôle, la rapporteure a relevé que les mots de passe à l’espace client […], accessible à l’URL […] , étaient stockés sous forme hachée et salée au moyen de la fonction SHA-1, pourtant réputée obsolète. Elle a donc considéré que les modalités de stockage des mots de passe ne permettent pas de garantir la sécurité et la confidentialité des données à caractère personnel des clients.
68. En défense, la société indique que l’algorithme de hachage utilisé pour stocker les mots de passe dans l’annuaire […], qui gère l’authentification des espaces clients, est en réalité SHA-512 complété d’un mécanisme d’ajout d’aléa (salage) depuis le 17 mai 2017, et non SHA-1, contrairement à ce qu’elle avait pu indiquer à la délégation de contrôle. La société ajoute que le renouvellement des mots de passe et la purge des anciens mots de passe ont été réalisés de manière progressive.
69. Dans le dernier état de ses écritures, la rapporteure relève que, si 11 241 166 mots de passe de comptes sont bien hachés et salés, 2 414 254 mots de passe de comptes sont hachés uniquement, sans avoir été salés.
70. En défense, la société rappelle qu’elle déploie des moyens importants tant humains que matériels en matière de cybersécurité. Elle ajoute que, depuis ses dernières observations, la société a mis en œuvre le mécanisme d’ajout d’aléa (salage) sur la fraction des mots de passe de l’annuaire […] qui n’en disposaient pas, mais qui étaient toutefois déjà hachés avec SHA-512. Ainsi, il n’existe plus à ce jour aucun mot de passe haché en SHA-512 sans mécanisme d’ajout d’aléa (salage). 
71. La formation restreinte renvoie aux développements ci-dessus s’agissant de la nécessité de faire intervenir un sel aléatoire pour la transformation des mots de passe (§§ 62 et 63). Elle relève en outre que, dans son guide Recommandations relatives à l’authentification multifacteur et aux mots de passe du 8 octobre 2021, l’ANSSI écrit : Il est recommandé d’utiliser un sel choisi aléatoirement pour chaque compte et d’une longueur d’au moins 128 bits .
72. La formation restreinte relève que, là encore, la société ne conteste pas le manquement en lui-même mais demande à ne pas être sanctionnée dans la mesure où elle a dorénavant remédié au manquement. La formation restreinte considère que la société a manqué aux obligations qui lui incombent en vertu de l’article 32 du RGPD, dès lors qu’elle n’a pas pris les mesures nécessaires pour assurer la sécurité de la totalité des données qu’elle traite et qui sont accessibles à partir des comptes des utilisateurs à l’URL […] , en n’utilisant pas systématiquement un sel dans la transformation des mots de passe.
73. Elle note néanmoins que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD.
III. Sur les mesures correctrices et leur publicité
74. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 .
75. L’article 83 du RGPD prévoit quant à lui que chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.