AgentPublic/cnil huggingface dataset:
Le premier cas fait reposer la sécurité principalement sur le mot de passe ; il impose par conséquent des exigences importantes en termes de niveau d'entropie, et donc de taille et de complexité du mot de passe. Dans les cas suivants, l'existence de mesures complémentaires visant à assurer un niveau de sécurité similaire permet le recours à des mots de passe d'entropie plus faible.
Dans tous les cas, comme indiqué en introduction, les niveaux d'entropie décrits ci-dessous sont des limites basses. En fonction des risques, un niveau minimal plus élevé peut être nécessaire.
- Cas n° 1 : mot de passe seul
La robustesse de cette authentification reposant exclusivement sur la qualité intrinsèque du mot de passe de l'utilisateur, la complexité à fixer dans la politique de mots de passe doit permettre d'assurer l'équivalent d'une entropie d'au moins 80 bits. Les trois exemples ci-dessous correspondent à cette entropie.
Exemple 1 : les mots de passe doivent être composés d'au minimum 12 caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux à choisir dans une liste d'au moins 37 caractères spéciaux possibles.
Exemple 2 : les mots de passe doivent être composés d'au minimum 14 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire.
Exemple 3 : les phrases de passe fondées sur des mots de la langue française doivent être composées d'au minimum 7 mots.
- Cas n° 2 : mot de passe et restriction d'accès au compte
Quand l'authentification prévoit un mécanisme de restriction de l'accès au compte (voir exemples ci-dessous), la complexité à fixer dans la politique de mots de passe doit permettre d'assurer l'équivalent d'une entropie d'au moins 50 bits.
Exemple 1 : la taille du mot de passe doit être au minimum de 8 caractères et comporter 3 des 4 catégories de caractères (majuscules, minuscules, chiffres et caractères spéciaux), les caractères spéciaux devant être pris dans un ensemble d'au moins 11 caractères.
Exemple 2 : les phrases de passe fondées sur des mots de la langue française doivent être composées d'au minimum 5 mots.
Exemple 3 : les mots de passe doivent être composés d'au minimum 16 chiffres.
L'authentification doit alors faire intervenir un mécanisme de restriction d'accès au compte. Celui-ci peut prendre une ou plusieurs des formes suivantes :
- une temporisation de l'accès au compte après plusieurs échecs, dont la durée augmente exponentiellement en fonction du nombre de tentatives dans un laps de temps déterminé ; cette durée soit supérieure à une minute après cinq tentatives échouées, et permette de réaliser au maximum 25 tentatives par 24 heures ; et/ou
- un mécanisme déterminant un nombre maximal de tentatives autorisées dans un délai donné (par exemple, 10 essais par heure) ; et/ou
- un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (par exemple : mise en œuvre de captcha ) ; et/ou
- un blocage du compte après un nombre d'authentifications échouées consécutives au plus égal à 10, assorti d'un mécanisme de déblocage proportionnel aux risques que les personnes fassent l'objet d'une usurpation d'identité.
Le choix de la solution doit être opéré en prenant en compte la vraisemblance d'une attaque par déni de service, qui aurait pour objet de rendre les comptes inaccessibles, et de sa gravité pour les utilisateurs.
- Cas n° 3 : code de déverrouillage
Quand l'authentification s'appuie sur un matériel détenu par la personne, la complexité à fixer dans la politique de mots de passe doit permettre d'assurer l'équivalent d'une entropie d'au moins 13 bits.
Exemple : la taille du code personnel doit être au minimum de 4 chiffres décimaux.
L'authentification ne peut concerner qu'un dispositif matériel détenu en propre par la personne, à savoir uniquement les cartes à puce et dispositifs contenant un certificat électronique ou une paire de clés déverrouillable par mot de passe, ou tout autre mécanisme technique apportant un même niveau de sécurité.
Un blocage du dispositif doit être mis en œuvre après un nombre d'authentifications échouées consécutives au plus égal à 3.
3.3. Modalités de conservation des mots de passe
Le mot de passe ne doit jamais être stocké en clair par le responsable de traitement. Lorsqu'il est conservé, tout mot de passe utile à la vérification de l'authentification doit être préalablement transformé au moyen d'une fonction cryptographique spécialisée, non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant un sel et des paramètres relatifs aux coûts en temps et/ou en mémoire nécessaires à son attaque. On entend par sel une donnée supplémentaire ajoutée systématiquement aux données devant être hachées (ici, les mots de passe) afin d'empêcher que deux informations identiques donnent la même valeur hachée sur deux systèmes informatiques différents. Utiliser un sel limite la possibilité qu'un attaquant déduise le mot de passe d'un utilisateur en consultant l'une des nombreuses bases de données de couples mot de passe sans sel/valeur hachée précalculés qui sont disponibles sur internet.
Le sel devrait être généré aléatoirement et avoir une longueur minimale de 128 bits. Il est généré pour chaque utilisateur et stocké dans la même base de données que les mots de passe. Les différents éléments (taille de sel, algorithmes et paramètres) devront être régulièrement mis à jour en fonction des risques et avancées technologiques.
La mise en œuvre d'un protocole de type PAKE ( Password Authenticated Key Exchange ), public et prouvé sûr, garantissant la vérification du mot de passe sans qu'il soit transmis en clair au serveur pour vérification est conseillée : ce type de solution permet, d'une part, de ne jamais exposer le mot de passe lors de la transaction et, d'autre part, de ne pas stocker les mots de passe sur le serveur, seule une fonction de vérification étant conservée à leur place.
Dans le cas particulier des mots de passe stockés dans une application, leur stockage devrait être limité aux applications de gestion de mots de passe (ou remplissant ce rôle). Les mots de passe devraient alors être stockés sous une forme chiffrée et un mécanisme de déverrouillage (par exemple via une phrase de passe maître) devrait être proposé. Dans les autres cas, un mécanisme de jeton à durée de vie limitée et révocable à tout moment par l'utilisateur est conseillé.
3.4. Modalités de changement du mot de passe et d'information des personnes
Le responsable de traitement doit permette à la personne concernée de procéder elle-même, de façon autonome, au changement de son mot de passe. Dans ce cas, les règles afférentes à la création de mots de passe s'appliquent.
Les modalités décrites plus haut quant à l'envoi de mots de passe à l'utilisateur par voie postale ou électronique, s'appliquent également à son renouvellement.
3.4.1. Renouvellement périodique du mot de passe
Les responsables de traitement ne devraient plus imposer de modification périodique des mots de passe à l'ensemble de leurs utilisateurs. Une procédure de modification périodique reste cependant nécessaire pour les comptes à privilège (comptes d'administration) ; une périodicité pertinente et raisonnable sera à définir en fonction des risques.
3.4.2. Renouvellement du mot de passe sur demande de l'utilisateur
Si le renouvellement implique l'envoi d'une information (par exemple : lien web, mot de passe temporaire communiqué par courriel ou téléphone), celui-ci doit s'effectuer via un canal préalablement validé (par exemple : adresse courriel, moyen d'identification électronique de secours). Afin d'empêcher la compromission du mot de passe par un usage malicieux de la phase de renouvellement, il ne doit pas être possible d'envoyer le nouveau mot de passe sur un canal de communication récemment modifié. La durée d'embargo sur les canaux récemment modifiés doit être proportionnée aux risques d'usurpation. Toute modification du canal doit être notifiée à l'utilisateur sur l'ensemble des canaux de communication validés, y compris celui ayant fait l'objet d'une modification, afin qu'il puisse être alerté si cette modification n'est pas de son fait.
Lorsqu'une réinitialisation demandée par l'utilisateur déclenche l'envoi d'une information sur un canal préalablement validé, l'utilisateur devrait simplement être informé du fait qu'une demande de validation sera envoyée, sans lui confirmer l'existence du compte la validité du canal.
Si le renouvellement fait intervenir un ou plusieurs éléments supplémentaires (numéro de téléphone, adresse postale, réponse à une question, etc.), il convient que :
- les modalités permettant d'identifier que la personne demandant le renouvellement est la personne détentrice du compte ne reposent pas sur une réponse à une question relative à des informations habituellement publiques (par exemple : des informations accessibles à de nombreuses personnes sur les réseaux sociaux telles que le nom des parents, le lieu d'études, le nom des animaux de compagnie, etc.) ;
- ces éléments ne sont pas conservés dans le même espace de stockage que l'élément de vérification du mot de passe, à moins d'être conservés sous forme chiffrée à l'aide d'un algorithme public réputé fort, et que la sécurité de la clé de chiffrement soit assurée ;
- afin de prévenir les tentatives d'usurpation s'appuyant sur le changement de ces éléments, la personne doive être immédiatement notifiée de leur modification par les moyens de communications identifiés.
La personne concernée devrait avoir accès à une interface lui permettant de saisir un nouveau mot de passe. La validité de la session de cette interface ne doit pas excéder 24 heures, et les liens de renouvellement doivent être à usage unique. Tout nouveau lien généré devrait révoquer les liens précédents.
3.4.3. Renouvellement des mots de passe et information des usagers en cas de compromission
Lorsqu'une atteinte à la confidentialité des mots de passe ou, plus généralement une atteinte à la sécurité susceptible d'engendrer la compromission de comptes utilisateurs, a été détectée, le responsable de traitement informe sans délai la personne concernée et lui permet de renouveler son mot de passe immédiatement.
Le responsable de traitement doit évaluer le risque d'usurpation de compte et ses impacts afin de décider de la nécessité de mesures particulières (par exemple : blocage temporaire des comptes concernées ou mise en œuvre d'un mécanisme supplémentaire d'identification de l'usager).
Dès lors qu'il existe une suspicion de violation de son mot de passe, le responsable de traitement doit imposer à la personne concernée de le modifier lors de sa prochaine connexion, et lui recommander de veiller à changer les mots de passe des éventuels services pour lesquels elle aurait utilisé ce même mot de passe.
Lorsqu'une information complémentaire est utilisée (cas n° 3), celle-ci doit également être renouvelée dès lors que sa confidentialité n'est plus garantie.
Enfin, concernant les données de renouvellement, les questions secrètes et leurs réponses doivent également être renouvelées en cas d'atteinte à leur confidentialité.
3.5. Journalisation
Les activités d'authentification des utilisateurs et de manipulation de leurs secrets, par eux-mêmes ou des tiers, doivent normalement faire l'objet d'une journalisation respectant les recommandations de la CNIL en la matière. Les mots de passe ainsi que les identifiants non reconnus ne doivent pas apparaître dans les journaux.
Article 2
La délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe est abrogée.
Le cas d'usage n° 3 qui y était prévu (c'est-à-dire, le cas correspondant à une information secrète de 7 caractères et un mot de passe d'au moins 5 caractères) n'est plus recommandé par la Commission. Les responsables de traitement qui auraient mis en œuvre ce cas d'usage devraient faire évoluer leur politique de mots de passe vers un autre cas. La Commission tiendra compte du délai nécessaire pour mettre en œuvre les changements nécessaires.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2020-116C de la présidente de la Commission nationale de l’informatique et des libertés du 26 août 2020 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ;
Vu la décision n° MED 2021-134 du 26 novembre 2021 mettant en demeure la société […];
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 juin 2022 ;
Vu le rapport de Monsieur Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société […] le 14 juillet 2022 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 13 octobre 2022 ;
Vu les autres pièces du dossier ;
Était présent, lors de la séance de la formation restreinte, Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport.
Dûment convoquée, par pli remis contre signature le 20 septembre 2022, la société […] n’était pas représentée lors de la séance de la formation restreinte.
Après en avoir délibéré, la formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après la société ou […]), établie aux États-Unis, a été créée en […]. Elle a développé un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration d’images publiquement accessibles sur Internet, qui permet d’identifier une personne à partir d’une photographie la représentant.
A. L’origine de la procédure
2. La Commission nationale de l’informatique et des libertés (ci-après la CNIL ) a été saisie entre mai et décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société.
3. En application de la décision n° 2020-116C du 26 août 2020 de la présidente de la CNIL, une délégation de la Commission a procédé à une mission de contrôle sur pièces par l’envoi d’un questionnaire le 27 octobre 2020, auquel la société a répondu par un courrier du 27 novembre suivant. Ce questionnaire portait sur les différents traitements mis en œuvre par la société, les organismes utilisateurs des services de la société (actuels ou anciens) ayant leur établissement principal en France ou au sein de l’Union européenne ainsi que les réclamations n° […] et n° […].
4. Le 27 mai 2021, la CNIL a été saisie d’une plainte de l’organisme Privacy International (saisine n° […]).
5. Dans le cadre de l’assistance mutuelle prévue à l’article 61 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ou le Règlement), la CNIL s’est vu communiquer des informations utiles par ses homologues européens.
B. La mise en demeure adressée à la société […] par la présidente de la CNIL
6. Par décision n° 2021-134 du 26 novembre 2021, la présidente de la CNIL a mis en demeure la société […] de se conformer sous un délai de deux mois aux dispositions des articles 6, 12, 15 et 17 du RGPD.
7. En l’absence de réponse à la mise en demeure de la présidente de la CNIL et à deux relances, la présidente de la Commission a, le 2 juin 2022, désigné M. Claude CASTELLUCCIA en qualité de rapporteur, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
8. À l’issue de son instruction, le rapporteur a fait notifier à la société, le 14 juillet 2022, un rapport détaillant les manquements aux dispositions du RGPD qu’il estimait constitués en l’espèce.
9. La société n’a pas produit d’observation écrite en réponse à ce rapport et le dossier a été inscrit à l’ordre du jour de la séance de la formation restreinte du 13 octobre 2022.
10. Le rapporteur a présenté des observations orales lors de la séance de la formation restreinte.
C. Le traitement en cause
11. Il ressort des informations transmises dans le cadre de la coopération entre autorités de contrôle, d’informations publiquement accessibles ainsi que des réclamations reçues par la CNIL que la société utilise une technologie propre pour indexer les pages web librement accessibles. Elle collecte toutes les images sur lesquelles apparaissent des visages, sur des millions de sites web. Des photographies sont ainsi extraites notamment de réseaux sociaux (par exemple, Twitter ou Facebook), de sites professionnels contenant des photographies de leurs salariés, de blogs et de tous sites web sur lesquels des photographies de personnes sont publiquement accessibles. Des images sont également extraites de vidéos disponibles en ligne, par exemple sur le site www.youtube.com. Cette collecte concerne des images de personnes majeures comme mineures, aucun filtre n’étant appliqué à cet égard. Seules des centaines d’URL, associées aux sites pour adultes ayant des audiences parmi les plus importantes, sont bloquées et exclues de la collecte.
12. La collecte de ces images sur des réseaux sociaux porte sur l’ensemble des images accessibles au moment de la collecte à une personne non connectée au réseau en cause. En dehors des réseaux sociaux, la collecte concerne l’ensemble des images accessibles au moment de la collecte à un moteur de recherche. La société a ainsi collecté plus de vingt milliards d’images à travers le monde.
13. À partir de chaque photographie collectée, la société calcule un gabarit biométrique. Une empreinte numérique unique, propre au visage tel qu’il apparaît sur la photographie (basée sur les points du visage) est ainsi générée. Les milliards d’images sont ensuite enregistrées dans une base de données sous une forme permettant de les rechercher (à l’aide de l’empreinte numérique). 
14. La société commercialise l’accès à une plateforme en ligne sur laquelle se trouve un moteur de recherche. Cet outil fonctionne en y téléchargeant une photographie d’un visage. À partir de cette photographie, l’outil calcule l’empreinte numérique correspondante à celle-ci et effectue, dans la base de données, une recherche des photographies auxquelles sont liées des empreintes similaires. Le logiciel produit un résultat de recherche, composé de photographies, auxquelles est associé l’URL de la page web à partir de laquelle elles ont été extraites (réseau social, article de presse, blog …). Ce résultat de recherche compile ainsi l’ensemble des images collectées par la société au sujet d’une personne ainsi que le contexte dans lequel ces images sont en ligne, tel que, par exemple, un compte de réseau social ou un article de presse.
15. Ce traitement vise à identifier la personne de façon unique à partir d’une photographie de l’individu. Il s’agit donc d’un dispositif de reconnaissance faciale.
16. La société décrit le service qu’elle offre comme un outil de recherche utilisé par les forces de l’ordre ( law inforcement ) pour identifier des auteurs et des victimes d’infractions à partir d’une photographie. Il est indiqué sur son site web que cet outil permet par exemple à des analystes d’effectuer une recherche en téléchargeant des images de scènes de crime afin de les comparer à celles qui sont publiquement accessibles. D’après la société, les forces de l’ordre peuvent ainsi utiliser cet outil afin d’identifier une personne pour laquelle elles disposent d’une image (par exemple, issue d’un enregistrement de vidéosurveillance) mais dont elles ne connaissent pas l’identité.
17. Il y a lieu de relever que les opérations de traitement mises en œuvre par la société afin de collecter des données et constituer une base de données, à laquelle un moteur de recherche accède pour fournir un résultat, sont ici analysées dans leur ensemble, au regard de leur finalité commune, qui est de commercialiser un moteur de recherche fondé sur la reconnaissance faciale (ci-après le traitement en cause ).
II. Motifs de la décision
A. Sur l’applicabilité du RGPD
18. En vertu de l’article 3, paragraphe 2 du RGPD : Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées : […] b) au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l'Union. . La formation restreinte souligne que le RGPD n'exige pas, pour être applicable, que la finalité du traitement soit le suivi du comportement, mais qu’il soit lié au suivi du comportement de personnes résidant en Europe.
19. Le considérant 24 du RGPD précise à cet égard que Le traitement de données à caractère personnel de personnes concernées qui se trouvent dans l’Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’Union devrait également être soumis au présent règlement lorsque ledit traitement est lié au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union. Afin de déterminer si une activité de traitement peut être considérée comme un suivi du comportement des personnes concernées, il y a lieu d’établir si les personnes physiques sont suivies sur internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit .
20. À titre d’éclairage, dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD dans leur version du 12 novembre 2019, le Comité européen de protection des données (ci-après le CEPD ) relève que, contrairement à la disposition de l’article 3, paragraphe 2, point a), ni l’article 3, paragraphe 2, point b), ni le considérant 24 n’introduisent expressément un degré nécessaire d’ intention de cibler de la part du responsable du traitement ou du sous-traitant pour déterminer si l’activité de surveillance déclencherait l’application du RGPD aux activités de traitement. Toutefois, l’utilisation du mot suivi implique que le responsable du traitement poursuit un objectif spécifique en vue de la collecte et de la réutilisation ultérieure des données pertinentes relatives au comportement d’une personne au sein de l’Union. Le comité n’estime pas que la collecte ou l’analyse en ligne de données à caractère personnel relatives à des personnes dans l'Union serait automatiquement considérée comme un suivi . Il sera nécessaire de tenir compte de la finalité du traitement des données par le responsable du traitement et, en particulier, de toute analyse comportementale ou technique de profilage ultérieure impliquant ces données. Le comité tient compte du libellé du considérant 24, qui indique que pour déterminer si le traitement implique le suivi du comportement d'une personne concernée, le suivi des personnes physiques sur l’internet, y compris l’utilisation
ultérieure potentielle de techniques de profilage, constitue un facteur important .