AgentPublic/cnil huggingface dataset:
En effet, ces personnes ont encouru le risque que leurs données directement identifiantes fassent l’objet d’un accès illicite, revendues à des tiers et réutilisées dans d’autres schémas d’attaques, notamment l’hameçonnage (ou phishing ), technique consistant à se faire passer pour un organisme officiel (organisme de sécurité sociale, banque, etc.) qui demande à sa proie de confirmer ses données bancaires. En outre, ces personnes sont particulièrement exposées à des risques d’usurpation d’identité.
L’ensemble de ces faits constitue un manquement à l’obligation d’assurer la sécurité des données traitées prévue à l’article 32 du RGPD. Il revient à la société de mettre en place plusieurs mesures visant à garantir la sécurité des données à caractère personnel qu’elle traite pour le compte des pharmacies.
En conséquence, la société X, sise […], est mise en demeure sous un délai de deux (2) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
prendre toute mesure pour garantir la sécurité et la confidentialité des données à caractère personnel traitées et, en particulier, celles visées en annexe de la présente mise en demeure ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
A l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure de mise en demeure est close et un courrier lui sera adressé en ce sens.
A l’inverse, si elle ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des mesures prévues par l’article 20 de la loi du 6 janvier 1978 modifiée au regard du manquement précité et, le cas échéant, d’éventuels autres manquements constatés.
La Présidente
Marie-Laure DENIS
Délibération du bureau de la Commission nationale de l’informatique et des libertés n° MEDP-2021-001 du 11 octobre 2021 décidant de rendre publique la mise en demeure n° MED-2021-093 du 4 octobre 2021 prise à l’encontre de la société X
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 11 octobre 2021 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2021-093 du 4 octobre 2021 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
A la suite d’un signalement anonyme auprès des services de la CNIL le 27 août 2021 faisant état d’une faille de sécurité affectant le site web … , des vérifications en ligne conduites le jour même ont permis de constater l’existence et l’ampleur de la violation de données. Le 9 septembre 2021, une délégation a procédé à un contrôle sur place dans les locaux de la société X (ci-après, la société ) dans le but de vérifier la conformité des traitements de données à caractère personnel mis en œuvre par cette dernière avec le règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel (ci-après, le RGPD ) et la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, la loi Informatique et Libertés ).
La délégation de contrôle a constaté que si la société a pris certaines mesures lorsqu’elle a eu connaissance de la violation de données, le service X souffrait toujours de plusieurs insuffisances en matière de sécurité qui continuaient de faire peser un risque sur la confidentialité des données à caractère personnel traitées.
Par décision du 4 octobre 2021, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de deux (2) mois le manquement constaté à l’obligation d’assurer la sécurité des données à caractère personnel prévue à l’article 32 du RGPD.
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 11 octobre 2021.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison notamment de la sensibilité des données traitées et de la nécessité d’assurer l’entière information de l’ensemble des personnes concernés par les traitements en cause, ainsi que des organismes ayant recours aux services de la société X, sur l’existence de manquements persistants à la sécurité des données.
Le bureau souligne qu’outre les résultats des personnes concernées aux tests antigéniques au SARS-CoV-2, et qui permettent donc de savoir si une personne est porteuse ou non de ce virus, la société X traite un grand nombre de données directement identifiantes, dont le numéro de sécurité sociale (NIR), donnée à caractère hautement personnel.
Le bureau souligne que la publicité de la décision de mise en demeure se justifie également pour alerter l’ensemble des acteurs du monde de la santé, qu’ils soient responsables de traitement ou sous-traitant, sur la nécessité d’assurer au maximum la sécurité des données qu’ils traitent et des risques qu’un manque de vigilance de leur part peut faire peser sur ces données.
Le bureau rappelle à cet égard que figurent, parmi les priorités identifiées par la CNIL pour sa stratégie de contrôle pour l’année 2021, le traitement des données de santé et, plus particulièrement, les mesures mises en œuvre pour assurer leur sécurité.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2021-093 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si la société se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Secrétaire général de la défense et de la sécurité nationale (SGDSN) d'une demande d'avis concernant un projet de décret relatif aux catégories de données conservées par les opérateurs de communication électroniques, pris en application de l'article L. 34-1 du code des postes et communications électroniques ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement a modifié l’encadrement de la conservation des données de connexion par les opérateurs de communications électroniques, les fournisseurs d’accès à internet et les hébergeurs.
Cette évolution visait pour l’essentiel à tenir compte de la décision French Data Network et autres du Conseil d’Etat statuant au contentieux le 21 avril 2021 (n° 393099, 394922, 397844, 397851, 424717, 424718). La Commission souligne que cette décision, faisant suite à une saisine de la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle, est porteuse d’enjeux significatifs tant en matière de libertés publiques, et notamment de préservation de la vie privée des personnes, que d’effectivité de l’action publique pour garantir les intérêts fondamentaux de la Nation, la sécurité publique et la répression des infractions.
 
Dans sa décision, le Conseil d’Etat a notamment enjoint au Premier ministre de procéder à l’abrogation dans un délai de six mois de l’article R. 10-13 du code des postes et des communications électroniques (CPCE) ainsi que du décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne.
 
Ainsi, l’article 17 de la loi du 30 juillet précitée précise les finalités pour lesquelles différentes catégories des données doivent être conservées (identité civile, informations relatives au paiement, données de connexion et de localisation) par les opérateurs de communication électroniques (ci-après les opérateurs ). Il prévoit en outre qu’
un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés […], détermine, selon l'activité des opérateurs et la nature des communications, les informations et catégories de données conservées en application des II bis et III [de l’article L. 34-1 du CPCE] . C’est dans ce contexte que la Commission a été saisie par le Secrétariat général de la défense et de la sécurité nationale (SGDSN) du présent projet de décret.
De manière générale, la Commission considère que le projet de décret, en ce qu’il fait application de dispositions législatives sur lesquelles elle s’est prononcée dans son avis du 3 mai 2021, n’appelle pas d’observations substantielles. Elle rappelle néanmoins que l’article L. 34-1 du CPCE pose un principe d’anonymisation et d’effacement des données relatives aux communications électroniques, dont les exceptions sont strictement encadrées et se doivent d’être entourées de garanties appropriées, compte tenu des enjeux en matière de vie privée des personnes concernées que leur conservation implique.
Si elle relève que le projet de décret détermine les données devant être conservées par les opérateurs, conformément à l’article 17 de la loi du 30 juillet 2021, la Commission s’interroge néanmoins sur la nécessité de conservation de certaines données au regard des finalités de cette conservation et estime en outre que des précisions devraient être apportées concernant certaines des catégories d’informations, afin d’améliorer la lisibilité du décret et de clarifier les obligations incombant aux opérateurs.
 
Observations générales
 
L’article R. 10-12 du CPCE prévoit que les données conservées par les opérateurs 
s'entendent des informations rendues disponibles par les procédés de communication électronique, susceptibles d'être enregistrées par l'opérateur à l'occasion des communications électroniques dont il assure la transmission et qui sont pertinentes au regard des finalités poursuivies par la loi
 .
Les obligations des opérateurs portent donc sur la conservation de certaines catégories de données, les textes n’ayant pas vocation à leur imposer de conserver des données au-delà de celles nécessaires aux communications électroniques dont ils assurent la transmission. Dans la mesure où la conservation de ces données constitue une exception au principe général d'effacement et d'anonymisation prévu à l’article L. 34-1 II du CPCE, la Commission rappelle que le principe de minimisation impose de limiter cette conservation aux données strictement nécessaires au regard des finalités posées par la loi.
La Commission estime que la rédaction actuelle du projet de décret peut conduire les opérateurs de communications électroniques à déduire de l’obligation de conservation des données, une obligation, de collecte de ces données ou, du moins, une incitation forte à cette collecte. Or, il n’est pas certain que les opérateurs collectent l’intégralité des données listées par l’article 2 du projet de décret (par exemple, le pseudonyme). En conséquence, elle invite le SGDSN à préciser au sein du projet de décret que les données qui y sont listées ne devront être conservées que dans la mesure où elles auront été préalablement collectées par les opérateurs dans le cadre de la fourniture de services de communications électroniques.
Elle insiste par ailleurs sur la nécessité d’employer les termes les plus précis possibles pour définir les données conservées et ce, afin de limiter tout risque de collecte excessive.
Ces éléments généraux rappelés, les différentes catégories de données conservées par les opérateurs appellent les observations suivantes.
 
Sur la conservation du lieu de la transaction
 
Le projet de décret prévoit que des informations relatives au paiement peuvent être conservées par les opérateurs lorsque la souscription du contrat ou la création d’un compte est payante  et pour chaque opération de paiement . Ces informations portent sur le type de paiement utilisé , la référence de paiement , le montant et la date, heure et lieu de la transaction .
A cet égard, le SGDSN a précisé que le lieu de la transaction  correspond au lieu physique de souscription du contrat ayant donné lieu à la transaction.
Si le SGDSN s’est engagé à préciser au sein du décret qu’il s’agit du lieu en cas de transaction physique , la Commission est en tout état de cause réservée quant à la conservation de cette donnée par les opérateurs. Elle relève en effet que sa conservation est une obligation nouvelle introduite par le projet de décret et considère que la seule justification apportée par le SGDSN à savoir que ces données pourraient s’avérer utiles dans le cadre de réquisitions judiciaires, n’est pas suffisante pour démontrer la nécessité de leur conservation.
Sur les informations relatives à l’identité civile de l’utilisateur
 
L’article L. 34-1 II bis 1°) prévoit désormais que les opérateurs de communications électroniques sont tenus de conserver des informations relatives à l’identité civile de l’utilisateur jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité de son contrat . L’article 2 du projet de décret prévoit que ces données sont : les nom et prénoms ou la raison sociale ; les adresses postales associées ; les date et lieu de naissance ; les adresses de courrier électronique ou de compte associées et les numéros de téléphone.
 
En premier lieu, le SGDSN a précisé que les adresses de courrier électronique ou de comptes associés et les numéros de téléphone permettent d’entrer en contact avec les personnes et que leur conservation apparaît donc utile à des fins de sécurité nationale ou publique. La Commission relève que la conservation des  adresses postales associées  entre également dans cette justification.
 
Toutefois, la Commission considère que l’emploi du seul pluriel pour ces différentes données (adresses postales, adresses de courrier électronique ou de compte associées et numéros de téléphone) n’apparaît pas justifié dans la mesure où l’utilisateur aura la plupart du temps une seule adresse postale ou électronique et un seul numéro de téléphone, et que la multiplication des données n’apparaît pas nécessaire au regard des finalités poursuivies.
Si elle prend acte de l’engagement du SGDSN de retenir l’usage du singulier concernant la conservation de l’adresse postale de l’utilisateur, elle l’invite également à modifier le projet de décret s’agissant des adresses de courrier électronique ou de comptes associés ainsi que des numéros de téléphone, afin d’inclure la possibilité de ne collecter qu’une seule de ces informations. La Commission estime qu’une telle modification serait de nature à permettre aux opérateurs d’identifier précisément l’obligation qui leur est faite et ainsi d’éviter une conservation systématique de plusieurs données lorsqu’une seule apparaît suffisante au regard des finalités poursuivies. Elle prend acte de l’engagement du SGDSN de modifier le projet de décret en ce sens.
En second lieu, concernant la conservation de la raison sociale, la Commission prend acte de l’engagement du SGDSN de préciser lorsque le compte est ouvert au nom d’une société , permettant de clarifier l’obligation des opérateurs.
 
Sur les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte
 
Conformément à l’article L. 34-1 II bis 2°) du CPCE, le projet de décret précise les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte  conservées par les opérateurs.
En premier lieu, s’agissant de l’identifiant de la connexion , le SGDSN a précisé qu’il correspond à celui lié au compte, qui peut parfois différer d’une adresse courriel ou d’un pseudonyme (par exemple le numéro de compte généré par l’opérateur).
La Commission considère néanmoins qu’en rattachant cet identifiant à la notion de connexion, qui est pourtant déjà visée par l’article R. 10-13 III, le projet de décret n’est pas suffisamment précis. Elle considère également que la proposition du SGDSN de remplacer la notion d’identifiant de connexion par l’expression identifiant utilisé n’apporte pas de clarification suffisante.
Ainsi, dans un objectif de clarté, le SGDSN s’est engagé à la demande de la Commission à viser l’identifiant fourni par ou pour l’utilisateur, au moment de la création du compte dans le projet de décret.
 
En deuxième lieu, en ce qui concerne les données permettant de vérifier le mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour la Commission considère que ce libellé et les données qu’il recouvre ne sont pas suffisamment explicites.
Elle considère en effet que cette rédaction ne permet pas aux opérateurs d’identifier avec précision les données qu’ils sont tenus de conserver. Au contraire, cette notion peut porter à confusion et conduire les opérateurs à conserver des données relatives aux techniques d’authentification, dont l’accès pourrait permettre d’usurper l’identité des abonnés. Or, le SGDSN a précisé que seuls étaient visés les canaux de communication déclarés au préalable par la personne pour permettre la récupération de comptes (adresse électronique alternative, numéro de téléphone d’un proche, etc.). A cet égard, la Commission accueille favorablement la proposition du SGDSN de viser les moyens fournis par l’utilisateur pour le joindre afin de vérifier le mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour . 
Enfin, concernant les pseudonymes utilisés , la Commission prend acte de l’engagement du SGDSN de modifier la rédaction à cet égard en précisant le ou les pseudonymes utilisés , dans la mesure où l’utilisateur n’en définit pas systématiquement plusieurs.
 
Sur les données techniques et les catégories de données de trafic et de localisation
L’article L. 34-1 II bis 3°) du CPCE prévoit que pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés sont conservées par les opérateurs. Le projet de décret précise les données visées.
 
La Commission relève que parmi ces données figurent le numéro d’identifiant de l’utilisateur , le numéro d’identification du terminal ou les données permettant d’identifier le ou les destinataires de la communication . Or, il ressort des précisions fournies par le SGDSN que ces données correspondent à des identifiants techniques spécifiques à la téléphonie mobile (respectivement l’IMSI, l’IMEI et le MSISDN).
A cet égard, la Commission invite le SGDSN à mentionner les identifiants concernés à titre d’exemple.
 
 
 
 
La Présidente
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Secrétaire général de la défense et de la sécurité nationale (SGDSN) d'une demande d'avis concernant un projet de décret relatif à la conservation des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne, pris en application du II de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement a modifié l’encadrement de la conservation des données de connexion par les opérateurs de communications électroniques, les fournisseurs d’accès à Internet et les hébergeurs.
Cette évolution visait pour l’essentiel à tenir compte de la décision French Data Network et autres du Conseil d’Etat statuant au contentieux le 21 avril 2021 (n° 393099, 394922, 397844, 397851, 424717, 424718). La Commission souligne que cette décision, faisant suite à une saisine de la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle, est porteuse d’enjeux significatifs tant en matière de libertés publiques, et notamment de préservation de la vie privée des personnes, que d’effectivité de l’action publique pour garantir les intérêts fondamentaux de la Nation, la sécurité publique et la répression des infractions.
 
Dans sa décision, le Conseil d’Etat a notamment enjoint au Premier ministre de procéder à l’abrogation dans un délai de six mois de l’article R. 10-13 du code des postes et des communications électroniques (CPCE) ainsi que du décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne. C’est dans ce contexte que la Commission a été saisie par le Secrétariat général de la défense et de la sécurité nationale (SGDSN) du présent projet de décret.