AgentPublic/cnil huggingface dataset:
71. En l’espèce, la formation restreinte relève que, selon le contrat conclu entre la société DEEZER et la société MOBIUS SOLUTIONS LTD, cette dernière proposait sa plateforme Optimove (dit aussi " le système ") basée sur l’internet, qui analyse les données fournies par ses clients et recommandait certaines actions marketing. Les services proposés par la société MOBIUS SOLUTIONS LTD concernaient la fourniture et l’intégration des données de la société DEEZER à la plateforme " Optimove ".
72. La formation restreinte souligne que l’article 6 du contrat, portant sur la confidentialité des données transmises par la société DEEZER, insistait sur la nécessité de les protéger. En ce sens, des engagements successifs étaient pris par la société MOBIUS SOLUTIONS LTD pour protéger ces données. Il était ainsi précisé que la société n’avait " aucun droit sur ces données " et que la société DEEZER " rest[ait] le seul propriétaire des données " (article 6.1.3) ; que la société MOBIUS SOLUTIONS LDT " n’utilisera[it] pas les données à d’autres fins que celles de fournir au client les services prévus par le contrat " (6.1.4) et qu’à la résiliation du contrat, la société MOBIUS SOLUTIONS LTD supprimerait les données (6.1.5).
73. La formation restreinte note également que si le contrat, de façon incidente et en vue d’assurer la réparation de la plateforme " Optimove " ou sa mise à jour (articles 4.1 ou 7.2 par exemple), mentionne une coopération de la société DEEZER, il ne prévoit pas que la société MOBIUS puisse faire usage des données des utilisateurs de la société DEEZER en vue d’améliorer la performance des services proposés à la société DEEZER ni de manière générale la performance de ses propres services. 
74. La formation restreinte relève que la société hébergeait les données de la société DEEZER sur ses serveurs. La société MOBIUS SOLUTIONS LTD a indiqué avoir, en cours d’exécution du contrat en avril 2019, copié des données à caractère personnel non anonymisées d’utilisateurs de la société DEEZER d’un environnement de production vers un environnement de non-production qui lui appartenait, afin de développer et tester des améliorations possibles de son système Optimove. Il résulte de ce qui précède que la copie des données réalisée à cette fin n’entrait pas dans le champ du contrat conclu avec la société DEEZER.
75. La société MOBIUS SOLUTIONS LTD reconnait que cet espace de stockage était accessible à des tiers et n’était pas sécurisé au moment de la violation de données. Ultérieurement, la société a indiqué ne pas avoir eu connaissance de la copie réalisée par ses salariés et que celle-ci aurait eu d’après ses salariés pour seule finalité d’améliorer les performances des services proposés à la société DEEZER. 
76. La formation restreinte rappelle que la société est responsable de l’action de ses salariés et qu’elle aurait dû être vigilante, au regard de ses obligations en qualité de sous-traitant, s’agissant de la copie des données de plus de 46 millions d’utilisateurs DEEZER dans le monde dont 9 millions en France, d’un environnement de production à un environnement externe dont les flux lui étaient facturés. La formation restreinte note que les données des utilisateurs DEEZER transmises à MOBIUS SOLUTIONS LTD avaient pour seule finalité la réalisation de campagnes marketing personnalisées par la société DEEZER. La formation restreinte relève que la copie des données des utilisateurs DEEZER a été réalisée pour un usage propre à la société MOBIUS SOLUTIONS LTD, afin d’améliorer la performance de ses services, que ces services soient destinés à la société DEEZER ou non.
77. Il en résulte qu’en copiant les données de plus de 9 millions d’utilisateurs DEEZER en France et en les transférant sur son environnement de non-production, la société MOBIUS SOLUTIONS LTD a traité ces données en dehors des instructions de la société DEEZER. 
78. Par conséquent, la formation restreinte considère qu’un manquement à l’article 29 du RGPD est caractérisé.
G. Sur le manquement à l’article 30 du RGPD
79. En droit, l’article 30-2 du Règlement dispose que : " Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant :
a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ;
b) les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées ;
d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1.
80. L’article 30-5 du Règlement précise que cette obligation ne s’impose pas aux entreprises de moins de 250 salariés, sauf si le traitement comporte un risque pour les droits et les libertés des personnes, n’est pas occasionnel ou porte sur des catégories particulières de données.
81. Le rapporteur considère que la société a commis un manquement à l’article 30-2 du RGPD en ne tenant pas de registre des activités de traitement alors que le traitement des données qu’il réalisait en sa qualité de sous-traitant de la société DEEZER n’était pas occasionnel.
82. En défense, la société considère que le " data processing addendum " (DPA) contient l’ensemble des informations requises dans le cadre de la mise en œuvre d’un registre des activités de traitement.
83. En l’espèce, la formation restreinte relève que, si l’ensemble des documents présentés (contrat et addendum) contiennent des informations requises au titre de l’article 30 du RGPD, il n’en reste pas moins que la société n’a pas tenu de registre d’activités de traitement en tant que sous-traitant, ce qu’elle ne conteste pas, l’information relative au nom et coordonnées du délégué à la protection des données du responsable de traitement étant d’ailleurs manquante. 
84. Il en résulte qu’un manquement formel à l’article 30 du RGPD est caractérisé à l’encontre de la société.
III. Sur les mesures correctrices
85. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
86. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
87. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
88. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publiques les mesures qu’elle prend ".
89. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
90. En outre, la formation restreinte souligne que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C- 683/21). 
91. Enfin, elle rappelle qu’en vertu de l’article 83 du RGPD, les amendes administratives doivent être dissuasives et proportionnées.
A. Sur le prononcé d’une amende administrative et son montant
1. Sur le prononcé d’une amende administrative
92. En défense, la société fait valoir que la copie non autorisée des données des utilisateurs de la société DEEZER présente un caractère accidentel et isolé, ne résultant ni d’une intention ni d’une négligence de sa part. La société ajoute avoir subi des pertes financières nettes à hauteur de […] dollars américains, soit environ […] euros en 2024, et avoir toujours pleinement coopéré avec la CNIL, en dépit de la contestation de sa compétence.
93. En premier lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’article 83, paragraphe 2, a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi. 
94. La formation restreinte relève que la société a manqué à plusieurs de ses obligations en qualité de sous-traitant, ayant conduit à une violation de données à caractère personnel présentant un caractère massif puisque selon la déclaration de violation de données dont la CNIL a été destinataire, plus de 200 millions de personnes dans le monde auraient été concernées, ces données concernant des utilisateurs de DEEZER et des données d'autres clients de MOBIUS. La société a estimé quant à elle que 46,9 millions d’utilisateurs DEEZER étaient concernés dans le monde, entre 12,7 et 21,6 millions au sein de l’Union européenne et 9,8 millions en France, soit un nombre considérable de personnes concernées.
95. La formation restreinte estime que le fait que la société n’ait pas supprimé les données transmises par la société DEEZER au terme de leur relation contractuelle, en violation de l’article 28 du RGPD, et ait traité ces données à caractère personnel au-delà des instructions données par le responsable de traitement, en violation de l’article 29 du RGPD, caractérise des manquements aux obligations du sous-traitant au regard des exigences du RGPD et de la protection des données à caractère personnel. En outre, ces manquements ont contribué à créer les conditions propices à la violation de données, en stockant un grand nombre de données à caractère personnel en dehors des instructions du responsable de traitement. En outre, la société devait tenir un registre des activités de traitement, ce qu’elle n’a pas formellement fait.
96. La formation restreinte considère que la copie irrégulière des données par la société a eu un caractère dommageable pour les personnes concernées, dans la mesure où de nombreuses données ont été divulguées sur le darknet concernant non seulement leur identité (nom, prénom, âge), leurs coordonnées (adresse électronique) mais aussi leurs habitudes d’écoute sur la plateforme DEEZER.
97. La formation restreinte rappelle que les données en cause présentent un risque pour les droits et libertés des personnes, en ce que les personnes dont les données figurent dans les fichiers mis en ligne sur le darknet sont des cibles de choix pour un hameçonnage (" phishing ") personnalisé (envoi de faux messages ou de faux documents pour récupérer des informations personnelles ou de l’argent). Si ces données datent de 2019, elles restent d’actualité puisque certaines d’entre elles présentent un caractère constant (l’identité) ou pérenne (les adresses électroniques ne font pas non l’objet d’un changement régulier).
98. En deuxième lieu, la formation restreinte considère qu’il convient de faire application du critère 
prévu à l’article 83, paragraphe 2, b) relatif à l’intentionnalité ou non des manquements commis.
99. La formation restreinte considère que la société a fait preuve d’une négligence certaine en copiant, en dehors du cadre contractuel avec la société DEEZER, des données non anonymisées de millions de ses utilisateurs et en ne les supprimant pas à l’issue de la relation contractuelle. A supposer que ces données aient été copiées par des salariés en dehors des instructions des dirigeants de la société MOBIUS SOLUTIONS LTD, il n’en reste pas moins que MOBIUS SOLUTIONS LTD est responsable de l’action de ses salariés et aurait dû être vigilante sur les flux de son stockage.
100. La formation restreinte souligne de surcroît que dans le cadre de ses observations en réponse, la société considère que la copie des données des utilisateurs de la société DEEZER, réalisée par ses salariés, pourrait relever de l’exécution normale du contrat avec la société DEEZER, ce qui laisse à penser que la société a pu commettre de manière délibérée le manquement à l’article 29 du RGPD.
101. La formation restreinte note en outre que la société a, dans un premier temps, contesté toute responsabilité avant de reconnaître être à l’origine de la copie non autorisée des données de la société, ne facilitant pas la notification de violation de données par la société DEEZER.
102. La formation restreinte considère dès lors que la société s’est montrée, à tout le moins, très négligente.
103. En troisième lieu, la formation restreinte considère qu’il y a lieu de prendre en compte le critère relatif aux mesures prises par le responsable de traitement pour atténuer le dommage subi par les personnes concernées en application de l’article 83, paragraphe 2, c) du RGPD. 
104. La société a indiqué n’avoir que le 1er octobre 2023, supprimé les données issues de la copie non autorisée des utilisateurs de la société DEEZER.
105. La formation restreinte relève que cette suppression est intervenue tardivement après que la société DEEZER eut notifié le 10 novembre 2022 à la CNIL la violation de données dont elle avait été victime, et n’a pas permis d’éviter la mise en vente des données de plus de 46 millions de personnes utilisatrices des services de la société DEEZER sur le darknet.
106. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre des manquements en cause.
2. Sur le montant de l’amende administrative
107. En défense, la société soutient que la société a enregistré des pertes nettes chaque année et en particulier à hauteur de […] dollars américains, soit environ […] euros en 2024, et conteste la proportionnalité du montant de l’amende proposée.
108. La formation restreinte relève qu’en application des dispositions de l’article 20-IV-7° de la loi Informatique et Libertés, elle peut prononcer à l’encontre d’un responsable du traitement ayant commis les manquements constatés, une " amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ".
109. La formation restreinte relève que dans le cadre de la prise en compte de l’activité de la société et de sa situation financière pour la détermination de l’amende, la société justifie d’un chiffre d’affaires pour 2024 de […] dollars américains. Pour 2023, ce chiffre s’élevait à […] de dollars américains. Ce chiffre est en constante progression.
110. Dès lors, au regard de la responsabilité de la société MOBIUS SOLUTIONS LTD, de ses capacités financières et des critères pertinents de l’article 83 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant d’un million (1 000 000) d’euros, au regard des manquements constitués aux articles 28, 29 et 30 du RGPD apparaît justifiée.
IV. Sur la publicité de la sanction
111. En défense, la société soutient que la publicité de la sanction n’est pas justifiée.
112. La formation restreinte considère qu’une telle mesure se justifie compte tenu de l’important retentissement de la violation de données en cause, de la gravité des manquements constitués et du nombre de personnes concernées, lesquelles doivent être informées.
113. Elle estime en outre que cette mesure apparaît proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société MOBIUS SOLUTIONS LTD, une amende administrative d’un montant d’un million (1 000 000) d’euros pour les manquements aux articles 28, 29 et 30 du RGPD ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.
N° de la saisine : 25007321
Thématiques : Caméras individuelles, exploitants de service de transport
Organisme(s) à l'origine de la saisine : ministère de l'aménagement du territoire et de la décentralisation
Fondement de la saisine : 
article 10 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports
L'essentiel :
1. La CNIL a été saisie pour avis par le ministère de l'aménagement du territoire et de la décentralisation d'un projet de décret visant, d'une part, à prévoir les modalités d'application de l'article L. 2241-6-1 du code des transports qui pérennise l'utilisation des caméras individuelles par les agents assermentés des opérateurs de transport, et d'autre part, à mettre à jour les dispositions du décret n° 2016-1862 du 23 décembre 2016 relatif aux caméras individuelles des services internes de sécurité de la SNCF et de la RATP.
2. Elle considère que le ministère devra guider les opérateurs de transport dans la rédaction des doctrines d'emploi des caméras individuelles afin de garantir leur harmonisation.
3. La CNIL estime que le projet de décret devra être complété sur certains points, notamment sur les motifs permettant le déclenchement d'un enregistrement, et sur les droits des personnes.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la déliberation suivante :
I. - La saisine
A. - Le contexte de la saisine
L'article 2 de la loi n° 2016-339 du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs, a autorisé, à titre expérimental, l'utilisation de caméras individuelles par les agents des services internes de sécurité de la SNCF et de la RATP (article L. 2251-4-1 du code des transports). L'article 64 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés a pérennisé cet usage.
Le présent projet de décret vise à codifier les dispositions du décret n° 2016-1862 du 23 décembre 2016 relatif aux conditions de l'expérimentation de l'usage de caméras individuelles par les agents des services internes de sécurité de la SNCF et de la RATP (CNIL, SP, 8 décembre 2016, délibération, projet de décret, n° 2016-387, publié).
Par ailleurs, l'article 113 de la loi n° 2019-1428 du 24 décembre 2019 d'orientation des mobilités ("LOM") a élargi l'utilisation des dispositifs de caméras individuelles aux agents assermentés des opérateurs de transport public de personnes ferroviaire, guidé ou routier, à titre expérimental, à compter du 1er juillet 2020 et pour une durée initiale de quatre ans (CNIL, SP, 12 novembre 2020, délibération, projet de décret, n° 2020-111, non publié). L'article 13 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques ("JOP") de 2024 a prolongé cette expérimentation jusqu'au 1er octobre 2024.
Les agents assermentés mentionnés au 4° du I de l'article L. 2241-1 du code des transports sont notamment chargés de missions de lutte contre la fraude et les incivilités. Il s'agit des agents commerciaux de contrôle (les contrôleurs), mais également des agents d'accompagnement et d'accueil en gare, des agents de prévention et des agents des services internes de sécurité des opérateurs de transport (autres que ceux de la SNCF et de la RATP).
L'article 10 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports a pérennisé ce dispositif à et l'a rendu également applicable aux agents des exploitants des services de transport exerçant des missions de nature équivalente à celles exercées par les agents assermentés sur les lignes transfrontalières.
B. - L'objet de la saisine
La CNIL a été saisie pour avis d'un projet de décret relatif à l'usage de caméras individuelles par les agents mentionnés au 4° du I de l'article L. 2241-1 du code des transports (agents assermentés), par les agents de l'exploitant du service de transport ou de l'entreprise de transport exerçant des missions de nature équivalente à celles exercées par les agents mentionnés au même 4° et par les agents des services internes de sécurité de la SNCF et de la RATP, pris en application de l'article 10 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports, par le ministère de l'aménagement du territoire et de la décentralisation.
Le projet de décret vise à :
- prévoir les modalités d'application de l'article L. 2241-6-1 du code des transports qui pérennise l'utilisation des caméras individuelles par les agents assermentés des opérateurs de transport public de personnes ferroviaire, guidé ou routier ;
- mettre à jour les dispositions du décret n° 2016-1862 du 23 décembre 2016 relatif aux conditions de l'expérimentation de l'usage de caméras individuelles par les agents des services internes de sécurité de la SNCF et de la RATP, qui n'avait pas été modifié ni codifié à la suite de la pérennisation le 25 mai 2021 de cette expérimentation.
II. - L'avis de la CNIL
A. - Sur la doctrine d'emploi des caméras individuelles