AgentPublic/cnil huggingface dataset:
105. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
106. La société soutient tout d’abord n’avoir commis aucune négligence, les manquements relevés découlant, selon elle, d’une application et d’une interprétation différentes des textes. Elle considère qu’en tout état de cause, la proposition de sanction est disproportionnée au regard d’autres décisions rendues par la formation restreinte. Elle estime ainsi que doivent être pris en compte certains critères tels que son niveau de conformité, la longueur de la procédure, l’absence de mise en demeure préalable ainsi que sa coopération totale. Enfin, elle considère que publicité de la décision serait injustifiée, dans la mesure où aucun manquement grave n’a été relevé, qu’aucune plainte n’a été déposée et que, s’il s’agit de créer un précédent dans le secteur de la voyance, la CNIL a déjà rendu une décision le 8 juin 2023.
107. En premier lieu, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21).
108. La formation restreinte considère qu’en l’espèce, les manquements commis par la société révèlent une négligence certaine de sa part. En effet, la formation restreinte souligne, d’une part, que les règles rappelées dans la présente délibération font l’objet d’une interprétation constante de la part de la CNIL. A titre d’exemple, si le référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales a été publié peu de temps après les opérations de contrôle, les recommandations qu’il contient n’apparaissent pas nouvelles, la CNIL ayant déjà adopté, depuis 2005, la norme simplifiée NS-048 (contenant notamment des préconisations sur la durée de conservation des données des clients à des fins de prospection). D’autre part, la formation restreinte relève que la multiplicité des manquements relevés témoigne d’une négligence dans la mise en œuvre des traitements réalisés par la société. 
109. En deuxième lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées.
110. La formation restreinte relève tout d’abord que les manquements aux articles 5-1-e et 9 du RGPD concernent les principes fondamentaux de la protection des données et sont ainsi susceptibles de faire l’objet d’une amende pouvant s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel de l’exercice précédent de la société – soit le montant maximal prévu par les textes –, en application de l’article 83, paragraphe 5 du RGPD. A cet égard, les lignes directrices sur le calcul des amendes administratives adoptées par le CEPD rappellent qu’à " travers cette distinction, le législateur a donné une première indication de la gravité de la violation, de manière abstraite. Plus la violation est grave, plus l’amende est susceptible d’être élevée " (point 50).
111. La formation restreinte note ensuite que les manquements relevés sont susceptibles de concerner un nombre important de personnes, la base de données commune aux sociétés TELEMAQUE et COSMOSPACE comprenant plus de 1,5 million de contacts uniques ayant le statut de prospect ou de client. En particulier, s’agissant du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner que la société TELEMAQUE a massivement recours à l’envoi de messages de prospection commerciale puisqu’elle a indiqué avoir adressé, au cours des trois premiers trimestres 2022, plus de 2,6 millions de SMS et plus de 1,3 millions de courriels à plus de 163 000 personnes dont les coordonnées ont été recueillies par la société COSMOSPACE.
112. Par ailleurs, la formation restreinte relève que certains des manquements en cause ont pour effet de priver de licéité les traitements effectués. Il en va ainsi du manquement à l’article 9 du RGPD, la collecte des données " sensibles " étant, par principe, interdite, ainsi que du manquement à l’article L. 34-5 du CPCE, les opérations de prospection commerciale menées n’étant licites que si le responsable de traitement dispose d’un consentement valide.
113. La formation restreinte souligne en outre que les personnes ayant recours aux prestations de voyance à distance proposées par la société sont susceptibles de se trouver dans une situation de vulnérabilité, pouvant les amener à abaisser leur seuil de vigilance et à communiquer facilement certaines données les concernant, notamment des données sensibles. Dans ces conditions, le respect des exigences relatives au recueil du consentement est primordial. 
114. La formation restreinte entend enfin insister sur le caractère potentiellement très intrusif de certains des traitements en cause, notamment l’envoi de messages de prospection commerciale, dont la fréquence et la multiplicité sont susceptibles d’engendrer une véritable gêne pour les destinataires, pendant une durée particulièrement longue. 
115. En troisième lieu, la formation restreinte entend faire application du critère prévu à l’alinéa g) de l’article 83, paragraphe 2 du RGPD, relatif aux catégories de données à caractère personnel concernées par la violation, dans la mesure où le manquement à l’article 9 du RGPD concerne spécifiquement le recueil de données sensibles.
116. En quatrième lieu, la formation restreinte entend tenir compte du degré de coopération avec l’autorité de contrôle dont la société a fait preuve, en application de l’alinéa f) de l’article 83, paragraphe 2 du RGPD. Il apparait en effet que, à la suite de la réception des observations en réponse de la rapporteure, la société s’est mise en conformité s’agissant du manquement à l’article L. 34-5 du CPCE.
117. La formation restreinte considère que l’ensemble de ces éléments justifient le prononcé d’une amende administrative. 
118. S’agissant du montant de l’amende, la formation restreinte rappelle que les violations relevées sont susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
119. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que la société TELEMAQUE a réalisé, au titre de l’année 2021/2022, un chiffre d’affaires d’environ 9,6 millions d’euros, pour un bénéfice de 973 486 euros. L’année suivante, ce chiffre d’affaires s’est élevé à 9,9 millions d’euros, pour un résultat net de 1,3 million d’euros.
120. Au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de cent cinquante mille (150 000) euros apparaît justifiée.
121. S’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité de certains des manquements en cause, de la position de la société sur le marché, de la portée des traitements et du nombre de personnes concernées.
122. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les traitements mis en œuvre par la société, qu’il s’agisse des prospects ou des clients. Cette information leur permettra, le cas échéant, de faire valoir leurs droits.
123. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer une amende administrative à l’encontre de la société TELEMAQUE d’un montant de cent cinquante mille (150 000) euros pour manquements aux articles 5-1-e) et 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et L. 34-5 du code des postes et communications électroniques, qui se décompose comme suit :
 cent mille (100 000) euros pour manquement aux articles 5-1-e) et 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 
 cinquante mille (50 000) euros pour manquement à l’article L. 34-5 du code des postes et des communications électroniques ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Date de l'avis : 7 mars 2024
N° de la délibération : n° 2024-014
N° de demande d'avis : 23016958
			Organisme(s) à l'origine de la saisine : ministère de l'intérieur
Textes concernés : projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction spécialisé du judiciaire (LRSDJ)
Thématiques : enquêtes de police judiciaire, rédaction des procédures, procès-verbaux des actes judiciaires
Fondement de la saisine :
article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
1. Le logiciel de rédaction spécialisé du judiciaire (LRSDJ) est mis en œuvre à des fins de transmission de procédures non classifiées ni spécialisées à l'autorité judiciaire, en vue de l'enquête et de la poursuite d'infractions visées au code pénal. Ses finalités sont précises et légitimes et relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ).
2. Le LRSDJ enregistre des données sensibles, à l'exception des données génétiques et biométriques. La CNIL recommande de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ et notamment dans les champs libres, afin d'éviter tout détournement de finalités.
3. Le projet de décret prévoit une durée de conservation de cinq ans. Cette durée est proportionnée à la spécificité du champ infractionnel concerné et à la nécessité de suivi des procédures.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le Logiciel de rédaction spécialisé du judiciaire (ci-après LRSDJ ) est un outil d'aide à la rédaction des procédures par les agents chargés de missions de police judiciaire au sein de la Direction générale de la sécurité intérieure (DGSI). Il permet aux enquêteurs de renseigner toutes les informations nécessaires pour générer les procès-verbaux des actes judiciaires qu'ils sont habilités à réaliser dans le cadre de leurs attributions (par exemple, procès-verbal de placement en garde à vue, de perquisition, de réquisition).
Le traitement permet de réduire les risques d'erreurs inhérents à la gestion de certaines procédures complexes et contraignantes (par exemple, les mesures privatives de liberté), ainsi que d'homogénéiser la forme des procès-verbaux. Compte tenu du besoin de confidentialité et de la sensibilité particulière attachée aux procédures judiciaires qu'elle met en œuvre (terrorisme, atteintes aux intérêts fondamentaux de la Nation), la DGSI a développé son propre outil. Le nombre de procédures annuelles ainsi rédigées est estimé à deux cents.
B. - L'objet de la saisine
Le ministère de l'intérieur a saisi la Commission nationale de l'informatique et des libertés (ci-après la CNIL ), sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), d'un projet de décret portant autorisation du traitement LRSDJ.
Le projet de décret reprend la structure des actes d'autorisation des précédents logiciels de rédaction de procédure et prévoit notamment :
- la liste des catégories de données à caractère personnel et informations pouvant être enregistrées dans le traitement et notamment de données sensibles ;
- la durée de conservation de cinq ans des données à caractère personnel et informations collectées dans le traitement à compter de la date de transmission de la procédure à l'autorité judiciaire.
II. - L'avis de la CNIL
A. - Sur le régime juridique applicable et les finalités du traitement
Le traitement LRSDJ a pour finalités de :
faciliter et assurer la clarté et l'homogénéité de la rédaction, par les agents de la DGSI chargés de missions de police judiciaire, des actes de procédure dans le cadre des procédures judiciaires qui leur sont confiées ;
permettre la collecte des informations issues de ces procédures, en vue de leur transmission aux autorités judiciaires chargées de les exploiter.
Il ressort de l'analyse d'impact relative à la protection des données (AIPD) que les procédures rédigées par le service judiciaire de la DGSI ont un champ infractionnel restreint. Elles portent sur des faits susceptibles d'être qualifiés de délits ou de crimes au titre des dispositions suivantes du code pénal (CP) :
les infractions portant atteinte aux intérêts fondamentaux de la Nation visées au titre II du livre IV du CP (trahison, sabotage, espionnage et enquêtes cyber) ;
les infractions relatives au terrorisme visées au titre III du même livre du CP ;
les infractions relatives aux atteintes aux systèmes de traitement automatisés des données visées aux articles 323-1 à 323-8 du CP ;
l'ensemble des infractions de droit commun du CP lorsque les personnes mises en cause sont des agents de la direction.
Le ministère précise que le traitement LRSDJ se limite aux procédures déclenchées sur saisine exclusive de l'autorité judiciaire. Il n'a pas vocation à être utilisé dans le cadre de la rédaction des procédures administratives ou d'enquêtes de renseignement. En outre, cet outil opérationnel ne permet pas l'archivage des procès-verbaux. Il constitue seulement une aide à la rédaction des procès-verbaux des actes d'enquêtes, notamment pour les actes les plus coercitifs, au formalisme exigeant.
Il résulte de ce qui précède que le LRSDJ, en ce qu'il permet exclusivement la rédaction de procédures non classifiées et spécialisées, poursuit des objectifs opérationnels aux contours délimités. La CNIL estime que les finalités sont précises et légitimes.
Le traitement LRSDJ est mis en œuvre à des fins de transmission des procédures aux magistrats de l'ordre judiciaire, en vue de l'enquête et de la poursuite d'infractions visées au code pénal. Dès lors, les finalités poursuivies relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ).
B. - Sur les catégories de données traitées
1. Sur le suivi d'activité
La mise en œuvre du traitement LRSDJ permet également le suivi de l'activité du service judiciaire de la DGSI. Il peut être requêté aux fins de déterminer le nombre de gardes à vue ou d'auditions réalisées au cours d'une période de référence, la durée des gardes à vue, ainsi que la répartition géographique par entité de la DGSI.
Il ressort de l'AIPD que cet outil de suivi de gestion statistique :
ne contient aucune donnée à caractère personnel ;
et ne peut pas être utilisé pour prendre des décisions à l'égard des personnes faisant l'objet de ces procédures.
La CNIL prend acte de ce que le suivi d'activité du service ne peut être réalisé que sur la base de données agrégées ne permettant pas la réidentification les personnes concernées.
2. Concernant la domiciliation à la DGSI et la distinction entre les données des différentes catégories de personnes
L'annexe au projet de décret liste les données à caractère personnel pouvant être enregistrées dans le traitement selon la distinction entre les différentes catégories de personnes (victimes, mis en cause, témoins ou plaignants et personnes morales).
Concernant les personnes victimes, mises en cause, témoins ou plaignants, l'annexe prévoit, dans certaines hypothèses, la collecte de la domiciliation à la direction générale de la sécurité intérieure sur autorisation du procureur de la République ou du juge d'instruction dans les conditions prévues par l'article 706-57 du code de procédure pénale .
Le ministère a précisé que cette information concerne le dispositif d'anonymisation que peut demander un témoin ou une victime susceptibles d'apporter des éléments de preuve intéressant la procédure. Il ne s'applique qu'aux personnes à l'encontre desquelles il n'existe aucune raison plausible de soupçonner qu'elles ont commis ou tenté de commettre une infraction.
La CNIL prend acte de ce qu'une distinction des données susceptibles d'être collectées selon le statut de la personne concernée sera opérée. Elle relève que la référence à l'article 706-57 du CPP permet de clarifier la notion de domiciliation à la DGSI. Le périmètre de cette collecte, limité aux victimes et aux témoins, est ainsi délimité conformément à l'article 98 de la loi informatique et libertés .
3. Concernant la collecte de données sensibles
Le traitement LRSDJ peut enregistrer des données sensibles, à l'exception des données génétiques et biométriques.
La CNIL rappelle que conformément à l'article 88 de la loi informatique et libertés , le traitement de telles données n'est possible qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée .
Le ministère a indiqué que le recours à des champs formatés ou à des menus déroulants sera privilégié. La présence de champs libres demeure toutefois, dans certains cas, nécessaire en raison de l'impossibilité de prévoir les informations recherchées au cas d'espèce dans le cadre des investigations judiciaires.
Concernant les champs libres, la CNIL invite le ministère à prendre des mesures pour s'assurer que seules les données pertinentes et nécessaires au regard des finalités seront collectées (par exemple, formation des agents avec point de sensibilisation spécifique, contrôle hiérarchique, information spécifique relative à la manière de renseigner ces champs, doctrine d'emploi).
Elle prend acte de la garantie selon laquelle aucune requête permettant d'interroger les données figurant dans ces champs libres n'est possible. Néanmoins, la CNIL recommande plus largement de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ afin d'éviter tout détournement de finalités.
L'annexe au projet de décret prévoit notamment la collecte par champs libres des informations relatives aux éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire . C'est une catégorie susceptible de recouvrir une grande variété de données à caractère personnel. Elles sont issues des auditions des personnes concernées, des constatations sur les lieux d'infraction et faisant suite aux diverses investigations des enquêteurs.
La collecte de cette catégorie de données est légitime malgré sa formulation imprécise. En effet, la CNIL rappelle qu'elle est consciente de la difficulté particulière qui s'attache à l'énumération de tous les types de données à caractère personnel pouvant être traitées dans le cadre d'un logiciel devant permettre la rédaction d'actes relatifs aux faits les plus divers, en lien avec l'ensemble des procédures auxquelles participe le service judiciaire de la DGSI (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
S'agissant de la catégorie de données relative au signalement et, le cas échéant, mode opératoire, signes physiques particuliers et objectifs , un menu déroulant est déployé comme cela est décrit dans l'AIPD. La collecte de photographies est également prévue par l'annexe au projet de décret concernant :
la personne mise en cause : elle permet d'alimenter la procédure afin de renseigner sur les caractéristiques physiques et les signes particuliers de la personne. Les photographies peuvent également se révéler nécessaires dans le cadre d'infractions d'atteintes aux personnes (violences) ou aux biens (par exemple pour le procès-verbal de perquisition) ;
ou pour la personne victime : la collecte est limitée aux seules hypothèses d'atteintes aux personnes (par exemple, en cas de violences volontaires, des photographies de la victime peuvent constituer un élément de preuve).
La CNIL prend acte de ce qu'aucun dispositif de reconnaissance faciale n'est appliqué dans l'outil.
C. - Sur les durées de conservation des données
Les données à caractère personnel et les informations enregistrées dans le traitement sont conservées cinq ans à compter de la date de transmission de la procédure à l'autorité judiciaire (clôture initiale).
Le ministère indique que la majorité des procédures traitées par le service sont des procédures criminelles avec instruction préparatoire obligatoire aux délais échelonnés, notamment pour les infractions de terrorisme. Il justifie ainsi cette durée de conservation par la nécessité de :
reprendre l'enquête en cas de faits nouveaux découverts par les enquêteurs ;
ou procéder à des investigations complémentaires commandées par l'autorité judiciaire.
Au regard du nombre d'accédants (200) et d'enquêtes annuelles ouvertes dans le service judiciaire de la DGSI, le ministère estime qu'un système d'archivage intermédiaire n'est pas nécessaire. Les droits d'accès sont distribués par les chefs hiérarchiques en fonction de l'attribution des enquêtes.
Cette durée de cinq ans est proportionnée à la spécificité du champ infractionnel concerné par les procédures traitées par le service judiciaire de la DGSI et à la nécessité de leur suivi.
La CNIL prend acte de ce qu'un dispositif d'effacement automatique à échéance quotidienne des données à caractère personnel sera mis en œuvre à l'expiration des durées réglementaires prévues. Ce dispositif sera effectif dès la publication du décret et doit garantir le respect des durées de conservation.
D. - Sur les rapprochements avec d'autres traitements
Pour les besoins d'investigation, les enquêteurs peuvent être amenés à effectuer des rapprochements manuels avec d'autres traitements. Des consultations ou des comparaisons peuvent être effectuées (sur un ou plusieurs traitements, y compris ceux relevant d'administrations tierces voire d'entreprises privées). Dans ce cadre, seuls les éléments utiles à l'enquête ou à la régularité de la procédure sont intégrés manuellement dans LRSDJ.
Dès lors, le traitement LRSDJ :
ne fait pas l'objet d'une alimentation automatisée par d'autres fichiers (en dehors des codes numériques issus de la nomenclature des natures d'infractions (NATINF) par injection manuelle) ;
et n'alimente de manière automatique aucun autre fichier.
Au regard de la diversité des enquêtes judiciaires et des besoins d'investigation, le ministère indique qu'il est difficile de déterminer de manière exhaustive la liste des traitements qui pourront être consultés par les enquêteurs. Seuls les fichiers susceptibles d'être le plus fréquemment consultés, au regard notamment de la nature des infractions traitées par le service judiciaire de la DGSI, sont listés dans l'AIPD.