AgentPublic/cnil huggingface dataset:
80. S’agissant du manquement au principe de limitation de la durée de conservation des données à caractère personnel, la société a fait preuve de négligence, en se bornant à inactiver les comptes utilisateurs qu’elle conservait au lieu d’anonymiser ou de supprimer les données qu’ils contenaient. Quoi qu’il en soit, à la supposer appliquée, la durée de conservation de dix ans déclarée lors des contrôles n’était assortie d’aucun tri entre les données à conserver et celles à supprimer, comme l’a confirmé la société lors de l’audience. La formation restreinte relève que ce manquement concerne potentiellement un nombre important de personnes, la société revendiquant environ 700 000 utilisateurs disposant d’un compte à la date des contrôles. 
81. S’agissant du manquement à l’obligation d’information des personnes concernées et à la transparence, la formation restreinte relève que la société a manqué à l’exigence de fourniture d’une information complète et transparente aux personnes concernées, qui constitue pourtant un préalable indispensable à ce type de traitement de données à caractère personnel.
82. S’agissant du manquement à l’obligation d’assurer la sécurité des données à caractère personnel, la formation restreinte souligne le nombre de manquements constatés aux obligations élémentaires de sécurité, à savoir, le recours à un mot de passe insuffisamment robuste pour des comptes utilisateurs contenant pour certains des coordonnées bancaires et le hachage des mots de passe au moyen d’une fonction obsolète. La formation restreinte estime, à l’instar du rapporteur, que l’accumulation de ces défauts de sécurité par une société proposant des solutions de paiement en ligne et collectant des catégories de données hautement personnelles, a contribué à accentuer le fait que lesdites données n’ont pas suffisamment bénéficié de la protection offerte par le RGPD.
83. S’agissant du manquement relatif aux cookies déposés sur le terminal de l’utilisateur lors de la visite du site web de la société, la formation restreinte considère que l’absence de recueil du consentement a concerné chacune des personnes qui ont visité le site web en question, soit nécessairement plusieurs centaines de milliers personnes, compte tenu du fait que la société revendiquait environ 328 186 visiteurs uniques de son site web entre les mois de septembre 2020 et septembre 2021. Elle relève également que le recours au module reCaptcha de Google sans recueil préalable du consentement de l’utilisateur concernait au moins potentiellement les 700 000 titulaires de comptes à la date des contrôles.
84. Enfin, tout en tenant compte de ce que la société a mis en place des mesures à la suite de la notification du rapport de sanction, la formation restreinte relève que ces actions n’exonèrent pas la société de sa responsabilité pour les manquements constitués pour le passé.
85. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 5- 1-e), 12, 13 et 32 du RGPD et 82 de la loi Informatique et Libertés.
2. Sur le montant de l’amende administrative
86. La formation restreinte relève d’abord que les manquements aux articles 5-1-e), 12 et 13 du RGPD constituent des manquements à des principes clés du RGPD susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
87. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois effectives, proportionnées et dissuasives. Elle souligne que la société X a réalisé, en 2020, un chiffre d’affaires d’environ […] euros pour un résultat net de […] euros. La formation restreinte prend note de ce que le rapporteur a écarté le manquement relatif au partage des comptes d’accès à la base de données et de ce que la société ne conteste pas les autres manquements visés dans le rapport.
88. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du Règlement, la formation restreinte estime qu’une amende administrative d’un montant de 90 000 (quatre-vingt-dix mille) euros pour les manquements aux articles 5-1-e), 12, 13 et 32 du RGPD et une amende administrative d’un montant de 15 000 (quinze mille) euros pour les manquements à l’article 82 de la loi Informatique et Libertés, apparaissent justifiées.
B. Sur la publicité
89. La société conteste la proposition du rapporteur de rendre publique la présente délibération, en invoquant notamment la protection des secrets d’affaires dont relèveraient ses obligations contractuelles au titre du contrat conclu avec l’établissement émetteur de monnaie électronique.
90. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et du nombre de personnes concernées. Elle considère également que la publicité de la sanction permettra notamment d’informer l’ensemble des personnes concernées par les manquements. Enfin, s’agissant de l’argument lié à la divulgation de secret d’affaires, elle rappelle que les informations relevant des secrets d’affaires sont occultées de ses décisions publiées.
91. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de quatre-vingt-dix mille euros (90 000 €) pour manquements aux articles 5-1-e), 12, 13 et 32 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
• prononcer à l’encontre de la société X une amende administrative d’un montant de quinze mille euros (15 000 €) pour manquement à l’article 82 de la loi du 6 janvier 1978 modifiée ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines 2019-2020 " (TEO2) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; 
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 23 janvier 2019 complétant l'arrêté du 15 octobre 2018 portant approbation du programme d'enquêtes statistiques d'initiative nationale ou régionale des services publics pour 2019 (enquêtes auprès des ménages et des collectivités territoriales) ; 
Vu la délibération n° 2008-055 du 6 mars 2008 de la Commission nationale de l'informatique et des libertés autorisant l’Institut national de la statistique et des études économiques et l’Institut national d’études démographiques à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines ";
 
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
 
 
Émet l’avis suivant :
À titre liminaire, elle relève que ce projet d’enquête, qui s’inscrit dans la continuité de l’enquête " Trajectoires et origines " menée en 2008-2009 (TeO1) sur lequel elle s’est déjà prononcée, vise principalement à mettre à jour les résultats obtenus.
La Commission relève également que le traitement projeté poursuit des finalités de statistique et de recherche publiques. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le " RGPD ") et prend acte que l’INED entend se prévaloir de la base légale de " l’exécution d’une mission d’intérêt public " mentionnée à l’article au e) du 1) de l’article 6 du RGPD.
 
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6° de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement, l’analyse d’impact relative à la protection des données (AIPD) transmise devant quant à elle faire l’objet d’une mise à jour. 
 
Sur le contexte général de réalisation de l’enquête (" TeO2 ")
La Commission prend acte que le projet d’enquête vise à collecter, à partir d’un échantillon de 48 600 personnes, des données relatives aux facteurs de différenciation entre individus (origines, genre, classe sociale, âge, quartier, niveau d’instruction, revenu etc.) auprès de personnes âgées de 18 à 59 ans résidant en métropole afin d’analyser les processus d’intégration, de discrimination et de construction identitaire concernant toute la population dans la société française.
 
Elle relève que cet échantillon sera tiré au sort dans une base de sondage constituée pour l’occasion par l’Institut national de la statistique et des études économiques (INSEE) à partir des données collectées lors du recensement de 2018 et répartie en six sous échantillons. Un appariement de ces données avec celles issues des bulletins de l’état civil sera effectué par l’INSEE pour identifier spécifiquement les personnes de la deuxième génération. 
 
L’échantillon final sera ensuite constitué par tirage aléatoire au sein de chacun des six sous-échantillons de la base de sondage, de façon à obtenir le nombre de répondants visés pour chacun d’entre eux. Le nombre de répondants effectifs attendu est de 26 500 personnes.
La maîtrise d’ouvrage de ce projet d’enquête est assurée par l’INSEE et l’INED, les deux responsables de traitement déterminent ensemble les finalités du traitement ainsi que les modalités de sa mise en œuvre. À cet égard, la Commission rappelle qu’il appartiendra à chacun de ces responsables de traitement, conformément aux dispositions de l’article 26 du RGPD, de définir notamment de manière transparente par voie d’accord leurs obligations respectives notamment en ce qui concerne l’exercice des droits des personnes concernées, les modalités de la communication des informations visées aux articles 13 et 14 du RGPD et leurs obligations respectives vis-à-vis de la mise en œuvre de mesures de sécurité et des violations de données.
 
L’enquête sera réalisée en face à face par des enquêteurs de l’INED et de l’INSEE à partir d’un outil permettant la saisie des données informatiques en direct. A titre exceptionnel, il est prévu d’interroger les personnes par téléphone lorsque la distance entre enquêteur et enquêté est trop importante, la couverture du territoire par les enquêteurs en langue étrangère étant limitée.
La Commission prend acte que l’INED sera plus spécifiquement chargé de la mise en œuvre de la partie de l’enquête principale administrée aux personnes non francophones, la mise en œuvre des autres traitements étant à la charge de l’INSEE. Elle relève que le présent avis porte sur le traitement mis en œuvre par l’INED pour la seule finalité recherche dudit traitement et rappelle qu’il appartiendra aux co-responsables de traitement de s’assurer de la conformité à la réglementation relative à la protection des données à caractère personnel de l’ensemble du traitement envisagé. En particulier, la Commission rappelle qu’il conviendra de s’assurer, indépendamment de la répartition des responsabilités choisie, de l’effectivité des mesures mises en place pour assurer le respect des droits des personnes.
 
Elle observe que le projet d’enquête principale a reçu l’avis de conformité du Comité du Label de la statistique publique le 14 novembre 2018 permettant, par délégation du Conseil national de l’information statistique (CNIS), l’attribution du label d’intérêt général et de qualité statistique. Le projet d’enquête complémentaire auprès des petits-enfants d’immigré(s) (dits de " troisième génération ", 3G) a reçu un avis d’examen favorable du Comité du Label de la statistique publique le 20 décembre 2018.
Ces deux projets d’enquête sont inscrits au programme d'enquêtes statistiques des services publics et des autres services producteurs d'information statistique pour 2019 tel qu'approuvé par l'arrêté du 15 octobre 2018 et complété par l’arrêté 23 janvier 2019 du ministre de l’économie et des finances. Ils ont reçu le visa du ministre de l’économie et des finances conformément à l’article 2 de la loi n° 51-711 du 7 juin 1951 susvisée et se sont vu conférer à cette occasion le caractère d’enquête obligatoire.
 
Ce projet d’enquête est scindé en quatre volets distincts :
une enquête principale auprès de personnes vivant en ménage ordinaire en France métropolitaine avec une surreprésentation de certaines populations ;
une enquête complémentaire menée spécifiquement auprès des personnes dites de " 3è génération "  (3G) ayant au moins un grand parent immigré ;
la constitution d’un fichier contextuel à partir de la base permanente des équipements ainsi que des données non publiques du recensement de 2016 et l’appariement de ce fichier avec les données issues des enquêtes susvisées ;
la réalisation de post-enquêtes qualitatives qui fera l’objet d’une saisine ultérieure de la Commission par l’INED.
 
Sur les finalités du traitement
La Commission relève que le projet d’enquête vise à permettre la production d’analyses et de publications statistiques par les coresponsables du traitement ainsi que la mise à disposition de données indirectement identifiantes à la communauté scientifique en vue de leur réutilisation à des fins de recherche scientifique.
 
Elle estime que ces finalités répondent aux besoins publics de connaissance sur les processus d’intégration, de discriminations et de construction identitaire de l’ensemble de la population dans la société française ainsi que sur les évolutions intergénérationnelles de ces processus.
 
La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD.
 
Sur la nature des données traitées
En premier lieu, la Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de nature très variée auprès des personnes enquêtées dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD. Le questionnaire comprend ainsi seize modules relatifs à la description du ménage, les revenus, la nationalité et l’origine des parents, les langues, la trajectoire migratoire et le rapport au pays d’origine, les relations familiales et transmissions, la vie de couple, les enfants, l’image de soi et le regard des autres, l’éducation, la vie professionnelle, la religion, le logement et le cadre de vieillesse, la vie citoyenne, la santé, les discriminations et les relations et pratiques culturelles.
 
La Commission rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que " si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race ".
Elle observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur la prétendue origine raciale ou ethnique des personnes interrogées. Si certaines questions telles que celles figurant dans le module " image de soi et regard des autres " et celles relatives aux expériences de discrimination impliquent la collecte de données subjectives, la Commission estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, elle estime que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel. 
 
En deuxième lieu, la Commission relève qu’il est prévu de collecter auprès des répondants de l’enquête principale les coordonnées de leurs enfants majeurs (adresses postales et électroniques, téléphone) lorsque ces derniers sont identifiés comme appartenant à la troisième génération d’immigrés. Ces coordonnées devront permettre de contacter ultérieurement ces enfants dans le cadre de l’enquête " 3G " précitée afin de leur administrer un questionnaire comprenant les mêmes modules que celui de l’enquête principale.
À cet égard, la Commission prend acte que le recours à cette collecte est justifié par l’absence d’une base de sondage nationale permettant de tirer aléatoirement les personnes appartenant à la 3è génération d’immigrés. Elle rappelle néanmoins que, compte tenu de son caractère expérimental et des interrogations méthodologiques soulevées par le comité du label dans son avis d’examen, ce mode d’échantillonnage indirect devra faire l’objet d’un bilan spécifique à l’issu de l’enquête permettant de vérifier son efficience et sa pertinence.
 
Sur les droits des personnes
 
En premier lieu, la Commission relève qu’une information conforme aux dispositions de l’article 13 du RGPD sera délivrée aux personnes concernées. En particulier, elle prend acte que cette information, qui sera délivrée de manière individuelle (par courrier au domicile de la personne interrogée ou, le cas échéant, par voie électronique), sera également rendue publique sur un site internet spécifiquement dédié à l’enquête. 
 
La Commission rappelle que les enfants contactés grâce aux données collectées auprès de leur parent devront faire l’objet d’une information spécifique dans les conditions prévues par l’article 14 du RGPD.
Elle prend acte, au regard de la spécificité liée à la réalisation de cette enquête, que cette information précisera notamment que les personnes disposent d’un droit d’accès, de rectification, d’effacement et de limitation pour les données les concernant qu’elles pourront exercer au choix auprès de l’INSEE ou de l’INED pendant la période de conservation des données permettant leur identification directe.
 
La Commission relève également qu’une version allégée de la lettre avis traduite en dix langues sera également envoyée à l’ensemble des personnes concernées afin que les personnes non francophones puissent bénéficier d’un premier niveau d’information. Ces dernières bénéficieront d’une traduction orale de la version française de la lettre avis par un enquêteur parlant leur langue au plus tard avant le début de la collecte des données. 
 
En deuxième lieu, la Commission toutefois relève que " les fiches de contact non francophones " rédigées dans vingt-deux langues qui seront présentées par les enquêteurs de l’INSEE lors de leur premier passage au domicile des personnes, font état d’une enquête à caractère anonyme. 
 
Au regard des caractéristiques de l’enquête, la Commission estime que ces fiches devraient être modifiées afin d’y préciser que l’anonymat ne sera garanti qu’au stade de la diffusion des résultats.
En troisième lieu, la Commission relève que, compte tenu du caractère obligatoire de l’enquête, les personnes seront tenues de répondre à l’enquête avec exactitude et dans les délais fixés conformément aux dispositions de l’article 3 de la loi n° 51-711 du 7 juin 1951.
 
Elle rappelle à cet égard que si, conformément à l’article 21-6 du RGPD, les personnes concernées ne peuvent s’opposer à la collecte de leurs données pour les traitements nécessaires à l’exécution d’une mission d’intérêt public et poursuivant notamment des finalités de recherche scientifique et statistiques, une telle dérogation au droit d’opposition doit cependant être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD.
 
En l’espèce, la Commission relève qu’ à l’exception des questions dédiées au tronc commun des ménages, il est prévu de permettre aux personnes concernées de ne pas répondre ou de répondre qu’elles ne savent pas pour chacune des questions qui leur sera posée. En outre, il est également prévu que les enquêteurs rappellent expressément aux personnes le caractère facultatif des réponses aux questions contenues dans les modules " santé ", " image de soi et regard des autres ", " religion ", dans la section " intérêt pour la politique et opinions " ainsi que dans le module dédié à la collecte des coordonnées des enfants éligibles à l’enquête 3G.
Si la Commission estime que cet aménagement du caractère obligatoire de l’enquête constitue une garantie pour les droits et libertés des personnes qui seront a minima tenues d’y participer, elle demande cependant à ce que le protocole de l’enquête soit modifié afin que soit expressément rappelé aux personnes concernées le caractère facultatif des réponses aux questions des sections " association ",
" intérêt pour la politique et opinions ", " attitudes et opinions " et du module " discriminations " dans la mesure où elles constituent des données sensibles.
 
Sur les destinataires des données
 
La Commission relève que l’INSEE et l’INED seront les dépositaires exclusifs de l’ensemble des fichiers de l’enquête qui seront accessibles à leurs équipes de recherche respectives habilitées à procéder à l’exploitation des résultats.
À l’issue d’un délai de dix-huit mois suivant la fin de la collecte des données, un " fichier d’étude " pseudonymisé comprenant, à l’exception des noms patronymiques et de l’adresse des enquêtés, les données issues de l’enquête enrichies de nouvelles variables d’études, de variables redressées et des poids finaux sera mis à disposition des chercheurs n’appartenant pas à la maîtrise d’ouvrage depuis le CASD. Ce fichier sera accompagné d’une version exhaustive du " fichier contextuel " précité comprenant les données du recensement agrégées au niveau de l’IRIS (Ilots Regroupés pour l'Information Statistique) de telle sorte qu’il ne sera pas possible de procéder à la ré-identification des personnes.
 
La Commission relève en outre qu’un " fichier de production et de recherche " pseudonymisé intégrant des données issues du " fichier contextuel " avec un très faible risque d’identification sera accessible aux chercheurs n’appartenant pas à la maîtrise d’ouvrage ayant signé un engagement individuel de confidentialité via le réseau Quetelet PROGEDO dans un délai de deux ans après la fin de la collecte des données.