AgentPublic/cnil huggingface dataset:
Concernant l'habilitation des personnes pouvant accéder aux données traitées, la Commission accueille favorablement la mise en œuvre de profils d'habilitation permettant des restrictions d'accès à certaines fonctionnalités et à la visibilité des données en fonction du périmètre du profil et de l'opération effectuée.
La Commission relève que des mécanismes de contrôle proactif des comportements malveillants seront mis en place par l'ABM. La durée de conservation des traces fonctionnelles est en cours de définition par le responsable de traitement. La Commission rappelle qu'une conservation des traces fonctionnelles conforme à ses recommandations consiste à conserver ces traces pendant une durée minimum de six mois et maximum d'un an à partir de la génération de la trace fonctionnelle, ou d'apporter une justification particulière démontrant un risque élevé pour les personnes concernées nécessitant de conserver ces traces au-delà de la durée recommandée, notamment en cas de possibilité de détournement de finalité du traitement. Elle prend acte de ce que ces traces ne comporteront pas de données de santé ou de données nominatives.
Sur le traitement de données mis en œuvre par la CAPADD :
L'article L. 2143-6 du CSP prévoit la mise en œuvre par la CAPADD d'un traitement de données à caractère personnel dont elle est responsable, dont les finalités sont précisées par le projet d'article R. 2143-17 du CSP, à savoir l'enregistrement, la conservation, et le suivi des demandes et le recueil et l'enregistrement du consentement de certains tiers. La Commission estime ces finalités déterminées, explicites et légitimes au sens de l'article 5 du RGPD.
Sur les données dont le traitement est envisagé :
Le projet d'article R. 2143-18 du CSP décrit les catégories de données à caractère personnel qui seront traitées par la CAPADD.
En outre, l'AIPD portant sur le traitement de données de la CAPADD détaille les données traitées pour chacune des catégories de personnes concernées. A titre d'exemple, les données relatives à l'identité des personnes nées d'une AMP avec tiers donneur comprendront : la nationalité française, la civilité, les noms de naissance et d'usage, les prénoms, la date et le lieu de naissance ainsi que les coordonnées (postales et électroniques).
La Commission s'interroge sur la nécessité de collecter la nationalité française des personnes concernées, dans la mesure où l'ensemble du dispositif de don de gamètes et d'embryons n'est pas conditionné à la nationalité des personnes concernées.
La Commission prend acte de ce que le ministère s'est engagé à ne pas collecter cette information. Elle demande en outre que la nature exacte des données qui seront collectées soit précisée dans le décret.
S'agissant de la collecte des données des anciens tiers donneurs :
Selon l'AIPD transmise par le ministère, le répertoire national d'identification des personnes physiques (RNIPP) et le répertoire national interrégimes des bénéficiaires de l'assurance maladie (RNIAM) seront consultés dans le cadre de la procédure de recontact des anciens tiers donneurs. Selon le ministère, les numéros d'identification, et plus particulièrement le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) des anciens tiers donneurs, seront échangés entre la CAPADD et l'Institut national de la statistique et des études économiques (INSEE), la Caisse nationale d'assurance maladie ainsi que les caisses primaires d'assurance maladie via des messageries sécurisées. Il est également prévu que les données seront supprimées à l'issue de la procédure de recontact.
La Commission, qui rappelle que tout traitement du NIR doit s'effectuer conformément aux dispositions de l'article 30 de la loi informatique et libertés , invite le ministère à préciser dans le décret que cette donnée sera traitée.
Elle demande également que les anciens donneurs recontactés soient informés que le RNIPP et le RNIAM ont été consultés afin d'utiliser leur NIR pour les retrouver.
Enfin, selon les précisions du ministère, seule la date et le résultat de la procédure de recontact seront conservés (consentement, refus ou absence de réponse du tiers donneur). La Commission demande à ce que cela soit précisé dans le décret.
S'agissant de la collecte des données des nouveaux tiers donneurs :
Le ministère, interrogé sur les personnes concernées par le traitement de données de la CAPADD, a confirmé que seraient également traitées, en cas de demande d'accès aux origines, les données relatives aux nouveaux tiers donneurs. Le ministère s'est engagé à compléter le projet de décret sur ce point. La Commission en prend acte.
Sur les conditions d'information des personnes concernées :
Selon les précisions du ministère, une information générale sera mise à disposition du public sur le site web de la CAPADD et renseignera les caractéristiques du traitement de données mis en œuvre par celle-ci.
La Commission recommande que la campagne d'information collective mette en évidence la possibilité pour les personnes d'obtenir la transmission d'une note d'information complète et les modalités de cette demande, qui ne devront pas renvoyer exclusivement à des moyens électroniques. Les notes d'information spécifiques, conformes aux dispositions du RGPD, devront pouvoir être consultées en amont de toute démarche auprès de la CAPADD.
Sur les durées de conservation des données :
La Commission rappelle que les données à caractère personnel doivent être conservées pour une durée limitée répondant aux finalités du traitement conformément aux dispositions de l'article 5-1-e) du RGPD.
S'agissant des données relatives aux demandes d'accès aux origines par les personnes nées d'AMP avec tiers donneur :
Le premier alinéa du projet d'article R. 2143-20 du CSP prévoit une conservation des données pour une durée de cinquante ans à compter de la date de leur enregistrement. Selon les précisions du ministère, cette durée est fixée en prenant en compte l'espérance de vie résiduelle d'une personne née d'AMP avec tiers donneur pendant laquelle elle peut être amenée à formuler des demandes d'accès, soit de sa majorité à environ 70 ans.
Par ailleurs, la Commission prend acte des précisions du ministère selon lesquelles il est envisagé de faire droit à toute demande des personnes nées d'une AMP avec tiers donneur, y compris dans l'hypothèse où elle aurait déjà été formulée. Rappelant que les données permettant de répondre aux demandes sont par ailleurs conservées par l'ABM, la Commission s'interroge sur la nécessité, pour la CAPADD, de conserver les données relatives aux demandes pendant une telle durée. Elle invite en tout état de cause le ministère à prévoir une stricte application du principe de minimisation des données.
S'agissant des données relatives aux anciens tiers donneurs :
Le second alinéa du projet d'article R. 2143-20 du CSP prévoit une conservation des données relatives aux anciens tiers donneurs pour une durée de cent ans, à compter de la date de leur enregistrement dans le traitement.
Selon les précisions du ministère, cette durée de conservation est justifiée au regard des dispositions de l'article L. 2143-6 (5°) du CSP qui confie à la CAPADD la mission de recueillir et d'enregistrer l'accord des anciens tiers donneurs à la transmission de leurs données non identifiantes et de leur identité aux personnes nées de don. Il précise à cette fin que, pour la réalisation de cette mission, la CAPADD devra conserver l'information selon laquelle l'ancien tiers donneur consent ou non à la transmission de son identité et de ses données non identifiantes aux personnes nées de don, notamment afin de ne pas recontacter à plusieurs reprises les anciens tiers donneurs ayant préalablement refusé une telle transmission.
La Commission invite le ministère à prévoir des cas dans lesquels cette durée de conservation peut être réduite, dans la mesure où certaines situations ne semblent pas nécessiter une conservation si longue au regard des finalités poursuivies.
Sur la sécurité des données et la traçabilité des actions :
Le traitement envisagé, réalisé à grande échelle et incluant notamment des données sensibles, a fait l'objet d'une AIPD. Cette AIPD transmise par le ministère et portant sur le traitement de données mis en œuvre par la CAPADD semble en l'état incomplète, dans la mesure où la vraisemblance des risques n'a pas été évaluée ; la Commission rappelle donc que l'AIPD devra être complétée avant la mise en œuvre du traitement. Par ailleurs, la Commission prend acte de ce que le traitement fera l'objet d'une homologation de sécurité avant sa mise en production.
L'hébergement du traitement sera réalisé par un prestataire externalisé certifié hébergeur de données de santé (HDS) et non soumis à des réglementations extra-européennes.
Des mesures de chiffrement permettant d'assurer l'intégrité et la confidentialité des données traitées seront mises en place dans le cadre du traitement, selon les mêmes modalités que le traitement mis en œuvre par l'ABM. Les données sensibles seront chiffrées au repos. Les mécanismes techniques mis en œuvre pour ces traitements devront être conformes à l'état de l'art, et notamment aux préconisations du référentiel général de sécurité (RGS).
De même que pour le traitement mis en œuvre par l'ABM, la Commission prend acte de ce que les accès des utilisateurs seront protégés par une authentification forte comportant au moins deux facteurs d'authentification différents. La Commission rappelle ses recommandations susmentionnées concernant le choix de ces facteurs d'authentification.
Concernant l'habilitation des personnes pouvant accéder aux données traitées, la Commission accueille favorablement la mise en œuvre de profils d'habilitation permettant des restrictions d'accès à certaines fonctionnalités et un accès aux données uniquement nécessaires à l'utilisateur.
La durée de conservation des traces fonctionnelles est en cours de définition par le responsable de traitement. La Commission rappelle qu'une conservation des traces fonctionnelles conforme à ses recommandations consiste à conserver ces traces pendant une durée minimum de six mois et maximum d'un an à partir de la génération de la trace fonctionnelle, ou d'apporter une justification particulière démontrant un risque élevé pour les personnes concernées nécessitant de conserver ces traces au-delà de la durée recommandée, notamment en cas de possibilité de détournement de finalité du traitement.
Un centre opérationnel de sécurité collectera et analysera les traces et événements produits par les équipements réseau du traitement. La Commission recommande que les traces applicatives et événements collectés et analysés soient conservés pendant une durée conforme à ses préconisations et prend acte de ce que ces traces ne comporteront pas de données de santé ou de données nominatives. Elle recommande également la mise en œuvre d'un mécanisme d'analyse proactive des traces fonctionnelles générées par le traitement.
Enfin, les échanges dématérialisés entre l'ABM et la CAPADD, ainsi qu'entre les différentes entités pouvant intervenir lors d'une demande d'accès aux origines, s'effectueront grâce à des messageries sécurisées de santé assurant la confidentialité des échanges. Lorsque certaines de ces entités ne sont pas éligibles à ce mode de communication, la Commission rappelle que le corps des messages ne devra comporter aucune donnée à caractère personnel et se limiter au strict
nécessaire. Elle prend acte de ce que les pièces jointes seront chiffrées par des algorithmes à l'état de l'art.
Les autres dispositions du décret n'appellent pas d'observations de la Commission.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-032C du 6 janvier 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du site […] ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 21 octobre 2021 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié […] le 16 février 2022 ;
Vu les observations écrites versées par […] le 15 avril 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 12 mai 2022 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants […] :
- […] ;
- […] ;
- […].
[…] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. […] (ci-après l’organisme ou le groupement ), dont le siège social est situé […], est un groupement d’intérêt économique (GIE) […] qui édite depuis 1986 le service de diffusion de l’information légale et officielle sur les entreprises à travers plusieurs canaux, notamment le site web […] depuis 1996.
2. Le site web […] permet de consulter des informations légales sur les entreprises et de commander des documents […]. Les utilisateurs souhaitant visualiser ou commander un acte payant sur le site web doivent obligatoirement disposer d’un compte et sont désignés par […] comme étant des membres . Il est également possible pour les utilisateurs de souscrire un abonnement annuel, permettant notamment aux abonnés d’accéder à certains services dans la rubrique de consultations d’affaires. Lors de la création d’un compte, membre ou abonné, l’utilisateur doit renseigner les champs obligatoires suivants : nom, prénom, adresses postale et électronique, téléphone fixe ou portable et choix d’une question secrète et de sa réponse. Les données bancaires des abonnés (IBAN et BIC) sont également traitées par […].
3. Pour l’année 2019, l’organisme a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. En 2020, il a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros.
4. Le 12 décembre 2020, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie d’une plainte à l’encontre de l’organisme, d’une personne indiquant que le site web […] conserve les mots de passe des utilisateurs en clair et qu’elle a été capable d’obtenir son mot de passe par téléphone en donnant simplement son nom à l’interlocutrice du service d’assistance téléphonique.
5. En application de la décision n° 2021-032C du 6 janvier 2021 de la présidente de la CNIL, une mission de contrôle a été réalisée afin de vérifier la conformité de tout traitement accessible à partir du domaine […], ou portant sur des données à caractère personnel collectées à partir de ce dernier, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier 1978 modifiée ou la loi Informatique et Libertés ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ).
6. Ainsi, un contrôle en ligne a été effectué le 4 mars 2021 sur le site […] mis en œuvre par le groupement. Le procès-verbal n° 2021-032/1 dressé à l’issue du contrôle a été notifié à l’organisme par courrier recommandé, réceptionné le 10 mars 2021.
 
7. La délégation de la CNIL s’est notamment attachée à vérifier la procédure de transmission des mots de passe des utilisateurs lors de la création d’un compte ou en cas d’oubli ou de perte du mot de passe.
8. Par courriers des 19 mars, 25 mai et 24 juin 2021, l’organisme a transmis à la CNIL les éléments sollicités par le procès-verbal n° 2021-032/1 et a répondu à ses demandes de complément d’informations adressées par courriels les 17 mai et 18 juin 2021. L’organisme y confirme notamment qu’il détermine les finalités et les modalités de mise en œuvre des traitements de données à caractère personnel du site […] . Il précise également les durées de conservation des données qu’il collecte et les mesures prises afin d’assurer leur sécurité. […] a également indiqué à la délégation qu’au cours de l’année 2020, le site a été consulté par plus de 24 millions de personnes dans le monde et que, sur les 3,7 millions de personnes disposant d’un compte, plus de 8 000 comptes européens n’étaient pas français. 
9. Conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par […], résultant de ce que l’établissement unique du groupement se trouve en France. Après échange entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, celles-ci sont toutes concernées par le traitement puisque des comptes utilisateurs ont été créés par les résidents de tous les États membres de l’Union européenne.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 21 octobre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée, et en a informé l’organisme par courrier daté du 26 octobre 2021.
11. Le 2 décembre 2021, le rapporteur demandait à l’organisme de fournir ses trois derniers bilans comptables, ce que l’organisme a fait par courrier daté du 15 décembre 2021.
12. À l’issue de son instruction, le rapporteur a, le 16 février 2022, fait notifier à l’organisme un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce, accompagné d’une convocation à la séance de la formation restreinte du 21 avril 2022. Le courrier de notification du rapport indiquait à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites en réponse, conformément à l’article 40 du décret n° 2019-536 du 29 mai 2019 modifié.
13. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative au regard des manquements aux articles 5, paragraphe 1, e) et 32 du RGPD. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de sa publication.
14. Le 22 février 2022, l’organisme a sollicité une extension du délai d’un mois pour produire des observations en réponse au rapport de sanction. Le 25 février 2022, le président de la formation restreinte a fait droit à cette demande et reporté la séance de la formation restreinte. 
15. Le 15 avril 2022, l’organisme a produit ses observations en réponse au rapport de sanction et sollicité le huis clos de la séance de la formation restreinte. Cette demande a été rejetée par le président de la formation restreinte, l’organisme en étant avisé par courrier daté du 21 avril 2022.
16. L’organisme et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
 
II. Motifs de la décision
17. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis à l’ensemble des autorités de protection des données européennes le 19 juillet 2022. 
18. Au 16 août 2022, aucune autorité de contrôle n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6 du RGPD, ces dernières sont réputées l’avoir approuvé. 
A. Sur le manquement à l’obligation de conserver les données pour une durée proportionnée à la finalité du traitement en application de l’article 5, paragraphe 1, e) du RGPD
19. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
20. Dans le cadre du contrôle, la délégation a constaté que la Charte de confidentialité du site web […] prévoit que les données à caractère personnel des membres et des abonnés sont conservées 36 mois à compter de la dernière commande de prestation et/ou documents.
21. Toutefois, l’organisme a fourni à la délégation de la CNIL un fichier de tableur dont il ressort qu’au 1er mai 2021, il conservait les données à caractère personnel de 946 023 membres et de 17 558 abonnées dont la dernière commande, la dernière formalité ou encore la dernière facture pour les abonnés, date de plus de 36 mois, sans que l’organisme soit en mesure de justifier d’un contact récent avec lesdits membres ou abonnés.
22. Le rapporteur relève qu’aucune procédure de suppression automatique des données à caractère personnel n’a été mise en place par l’organisme et que les données étaient conservées pour des durées excessives par rapport à leur finalité et la propre politique fixée par l’organisme.
23. En défense, l’organisme admet que des données à caractère personnel ont été conservées plus longtemps que la durée indiquée au sein de sa Charte mais conteste le fait que la durée indiquée dans cette Charte soit prise comme seule référence alors qu’au regard d’autres finalités, comme par exemple celle relative aux opérations de recouvrement, il serait justifié que certaines données soient conservées pour une durée supérieure à 36 mois. S’agissant de l’anonymisation des données à caractère personnel, l’organisme admet que 25% des comptes ont été conservés au-delà de 36 mois après la dernière commande, formalité ou facture, sans être anonymisés. Il admet également le retard pris dans l’automatisation de l’anonymisation mais conteste le fait qu’il n’y ait eu aucune anonymisation des comptes.
24. En premier lieu, la formation restreinte relève que la finalité relative aux opérations de recouvrement, citée par l’organisme, et la durée de conservation afférente ne pourraient a priori concerner que les données des abonnés et non des membres, ces derniers payant immédiatement en échange de la réception d’un acte. En outre, la formation restreinte relève que, pour cette finalité comme pour les finalités comptables et fiscales, l’organisme n’avait pas identifié ces finalités et les durées correspondantes dans sa Charte de confidentialité à la date du contrôle. En tout état de cause, la formation restreinte relève que si la conservation de certaines données pour ces finalités peut apparaître justifiée, elle requiert que différentes actions soient réalisées. Ainsi, la formation restreinte rappelle qu’une fois la finalité du traitement atteinte, la conservation de certaines données pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses est possible, mais les données doivent être alors placées en archivage intermédiaire, pour une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont conservées, conformément aux dispositions en vigueur. Seules les données pertinentes doivent être placées en archivage intermédiaire, soit dans une base de données d’archive dédiée, soit en effectuant une séparation logique au sein de la base active, permettant que seules les personnes habilitées puissent y accéder. La formation restreinte
relève qu’au jour du contrôle, aucune de ces actions n’était mise en œuvre par l’organisme.