AgentPublic/cnil huggingface dataset:
53. L’article 14 du RGPD précise également que les informations doivent être communiquées à la personne concernée " dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées " ou " si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ".
54. En l’espèce, la rapporteure relève que, dans le cadre du contrôle, la société a fourni à la délégation de la CNIL un échantillon composé de soixante-dix enregistrements d’appels téléphoniques effectués par un sous-traitant dans le cadre de campagnes de prospection réalisées à partir de données obtenues par le biais de ses partenaires.
55. Elle relève que l’écoute de ces enregistrements a permis de constater que seize personnes démarchées par téléphone pour le compte de la société n’ont pas bénéficié pas d’une information complète dispensée dans les conditions prévues par l’article 14 précité et, pour quatre autres personnes, aucune information n’a été fournie.
56. En défense, la société indique que, s’agissant des seize appels pour lesquels les mentions seraient incomplètes, les informations sont complètes dans trois cas. Pour six appels, elle affirme que le téléconseiller n’a pas eu le temps de fournir ces informations car le prospect a raccroché trop vite. Pour un cas, l’appel concernait une personne déjà abonnée, qui avait donc déjà reçu, à plusieurs reprises, ces informations. Pour les six derniers cas, la société reconnaît que le prospect n’a pas eu toutes les informations requises, mais qu’elle met en place des procédures précises visant à s’assurer que ces situations ne se produisent pas.
57. S’agissant des quatre appels pour lesquels aucune information n’a été fournie, la société relève qu’il s’agit d’appels très courts, pour lesquels le téléconseiller n’a pas pu fournir ces informations.
58. La société indique, de manière générale, que ces cas ne représentent qu’une minorité au regard du nombre d’appels effectués.
59. La formation restreinte rappelle qu’il résulte de l’article 14 du RGPD que, lorsqu’un prospecteur récupère un numéro de téléphone d’un tiers à des fins de prospection par voie téléphonique, il doit informer la personne prospectée du traitement de ces données pour cette finalité, au plus tard lors de l’appel téléphonique. Lorsqu’une information prévue par le RGPD est fournie dans le cadre d’échanges téléphoniques, il est admis que cette information puisse se limiter aux éléments les plus importants pour l’interlocuteur, afin de rester brève, à condition d’indiquer un moyen d’obtenir les informations complètes (exemples : touche à activer sur le téléphone, courriel reçu par l’interlocuteur, renvoi vers une page web) (voir en ce sens, CNIL, FR, 23 juin 2022, SANCTION, n° SAN-2022-011, publié). L’information sur le traitement des données transmises par les […], notamment les coordonnées téléphoniques des personnes, à des fins de prospection téléphonique, en application de l’article 14 du RGPD, et celle relative à l’enregistrement de la conversation, en application de l’article 13 du RGPD, peuvent par ailleurs être fusionnées.
60. La formation restreinte note que la société a fourni à la délégation de contrôle de la CNIL un échantillon d’enregistrements d’appels effectués dans le cadre des campagnes de prospection et a précisé que les enregistrements étaient effectués de manière aléatoire. La société a également précisé à la délégation que les personnes appelées sont en principe informées, en tout début de l’appel, de leur faculté discrétionnaire de s’opposer à l’enregistrement, conformément aux instructions reçues par les " conseillers d’appels internes et externes ". Or, dans tous les cas visés par le rapport (information incomplète ou absence d’information), la formation restreinte relève que le téléconseiller avait entamé la discussion sur les offres proposées par […]. Ainsi, même si l’appel était bref, le téléconseiller avait initié une démarche de prospection.
61. La formation restreinte observe en outre que, dans certains cas, les personnes contactées à des fins de prospection n’ont bénéficié d’aucune information. Dans d’autres cas, certains points prévus à l’article 14 du RGPD – comme les finalités du traitement ou encore l’existence de différents droits – n’ont pas été portées à leur connaissance, et la société n’a pas mis en place de modalité permettant aux personnes concernées d’obtenir une information plus complète relative au traitement de leurs données, par exemple via l’activation d’une touche sur le clavier téléphonique Or, la formation restreinte relève que tous les appels visés par la rapporteure durent au moins trente secondes, et que le téléconseiller aurait donc eu le temps de procéder, par exemple, à un renvoi vers la politique de confidentialité de […].
62. Enfin, la formation restreinte considère que si les enregistrements communiqués à la CNIL ne révèlent pas l’existence d’un manquement structurel en matière d’information, il n’en demeure pas moins qu’elle a méconnu ses obligations dans le cadre des appels susmentionnés.
63. Dans ces conditions, la formation restreinte considère que le manquement à l’article 14 du RGPD est constitué.
D. Sur le manquement aux obligations relatives aux modalités d’exercice des droits des personnes
64. Aux termes de l’article 12, paragraphe 3, du RGPD, " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement ".
65. Aux termes de l’article 12, paragraphe 4, du RGPD, " Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. "
66. La rapporteure, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 12 du RGPD, se fonde sur les saisines de trois plaignants, M. […] (saisine n° […]) et Mmes […] (saisine n° […]) et […] (saisine n° […]). Les deux premières font état de difficultés rencontrées pour l’effacement de leurs données à caractère personnel, la troisième concerne une demande d’opposition.
67. La rapporteure observe qu’il ressort des constats effectués lors de la procédure de contrôle que ces demandes ont été traitées par la société mais sans que les personnes concernées soient informées des suites apportées à leur demande. Par ailleurs, s’agissant de la demande d’opposition, elle a été traitée par la société en dehors des délais prévus par le RGPD.
68. En défense, s’agissant des deux demandes d’effacement, la société indique que celles-ci concernaient, à chaque fois, une demande de résiliation et une demande d’effacement. En raison d’une erreur de qualification de la demande, l’effacement a bien été traité mais la personne concernée n’en a pas été avisée. La société fait valoir qu’il s’agit de cas isolés et que la demande d’effacement a bien été traitée.
69. S’agissant de la demande d’opposition, la société considère que la demande initiale du plaignant n’a pas été identifiée comme telle par le service client. Mais dans le cadre du contrôle sur pièces, la société a pris connaissance de l’existence de la plainte et a contacté le plaignant. La demande a finalement été identifiée comme une demande d’opposition aux sollicitations commerciales, demande qui a été traitée le jour même.
70. La formation restreinte relève d’abord que les demandes formulées par les plaignants auprès de la société étaient claires, en ce qu’elles visaient une demande de " suppression " ou une demande d’ " opposition " et qu’elles étaient adressées directement au délégué à la protection des données de la société.
71. Ensuite, la formation restreinte observe qu’en vertu de l’article 12, paragraphe 3, du RGPD, le responsable de traitement doit en principe fournir aux personnes concernées des informations sur les mesures prises à la suite d’une demande dans un délai maximal d’un mois. Or, au jour du contrôle sur pièces, réalisé le 25 février 2021, soit largement plus d’un mois après les demandes initiales – adressées respectivement les 30 octobre 2019 et 17 décembre 2020 –, la société n’avait pas informé les personnes concernées des suites données, ce qu’elle ne conteste pas.
72. Enfin, la formation restreinte considère que si les saisines reçues par la CNIL ne révèlent pas l’existence d’un manquement structurel en matière d’exercice des droits, comme le souligne la société, il n’en demeure pas moins que celle-ci a méconnu ses obligations dans le traitement des demandes qui lui ont été adressées.
73. Dans ces conditions, la formation restreinte considère que le manquement à l’article 12 du RGPD est constitué.
E. Sur le manquement en matière de droit d’accès des personnes concernées
74. L’article 15, paragraphe 1, du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi qu’à certaines informations, notamment " lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ". Il est également prévu au paragraphe 3 du même article que " le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement ".
75. La rapporteure, pour proposer à la formation de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD, se fonde sur trois saisines de la CNIL, émanant de MM. […] (n° […]) et […] (n° […]) et Mme […] (n° […]), ces personnes faisant état de l’absence de réponse de la société à leurs demandes.
76. La société reconnaît une erreur ou un dysfonctionnement dans la qualification de l’objet de la demande s’agissant de la saisine n° […] et affirme n’avoir jamais reçu la demande relative à la saisine n° […].
77. En revanche, s’agissant de la saisine n° […], la société considère que la demande de la plaignante n’était pas précisément formulée comme une demande d’accès à ses données à caractère personnel. Elle considère qu’il s’agissait d’une demande de la preuve d’un contrat de souscription, ce qui ne relève pas du RGPD.
78. La formation restreinte relève d’abord qu’il ressort des éléments du dossier que les demandes des plaignants ont bien toutes été reçues par la société.
79. Ensuite, elle considère que les demandes ont été formulées dans des termes suffisamment clairs. S’agissant de la saisine n° […], la plaignante demandait à la société de lui " transmettre les éléments dont vous disposez dans les plus brefs délais, ou à défaut d’annuler ce contrat en cours et également de procéder à la suppression des données personnes personnelles […] conformément aux dispositions de l’article 17.1 du Règlement général sur la protection des données personnelles ". La plaignante exprimait ainsi explicitement le souhait d’obtenir la transmission des éléments dont la société disposait. Cela aurait dû amener la société à traiter la demande comme une demande d’accès puis d’effacement.
80. Enfin, la formation restreinte considère que si les saisines reçues par la CNIL ne révèlent pas l’existence d’un manquement structurel en matière d’exercice du droit d’accès, il n’en demeure pas moins que la société a méconnu ses obligations dans le traitement des demandes qui lui ont été adressées.
81. Dans ces conditions, la formation restreinte considère que le manquement à l’article 15 du RGPD est constitué.
F. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte d’un responsable de traitement
82. L’article 28, paragraphe 3, du Règlement prévoit que le traitement effectué par un sous-traitant pour le compte d’un responsable de traitement est régi par un contrat ou tout autre acte juridique formalisé qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable de traitement. Ce contrat prévoit en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement.
83. La rapporteure a constaté que plusieurs contrats de sous-traitance relatifs à l’hébergement des données à caractère personnel, communiqués par la société, ne contenaient pas toutes les mentions prévues par l’article susmentionné. Elle relève que des contrats avec […] ont été conclus avant l’entrée en vigueur du RGPD et n’ont pas depuis fait l’objet d’une mise à jour pour viser les mentions prévues à l’article 28, paragraphe 3, du Règlement.
84. En défense, la société affirme qu’elle a mis fin aux services d’hébergement fournis par […] à partir de 2016, soit avant l’entrée en vigueur du RGPD. Ce service ayant été transféré à un autre sous-traitant, le contrat n’a pas été mis à jour. S’agissant du contrat avec […], la société affirme que des avenants ont été signés jusqu’en 2022 et que ces avenants sont complétés par des contrats relatifs au traitement des données à caractère personnel contenant l’ensemble des mentions prescrites par le RGPD. La relation contractuelle avec […] a pris fin le 27 juin 2023. S’agissant du contrat avec […], la société indique que le contrat contient plusieurs documents, dont un qui n’a pas été communiqué à la CNIL lors du contrôle sur pièces. La combinaison de ces documents ferait apparaître que les mentions prévues par le RGPD encadrent bel et bien la relation contractuelle entre les deux acteurs. A la suite du rachat de […] par la société […], une nouvelle trame contractuelle incluant une annexe " Traitement des données " est par ailleurs en cours de discussion.
85. La formation restreinte constate que de nombreux éléments ont été communiqués par la société dans le cadre de la procédure de sanction, après la notification du rapport.
86. A la lumière de ces éléments, il apparaît que s’agissant du contrat régissant les relations avec […], celles-ci ont pris fin en 2016, avant l’entrée en application du RGPD, de sorte que le manquement n’est pas constitué
87. S’agissant ensuite des actes encadrant les relations avec la société […], au regard du contrat d’origine conclu avec […] qui a été communiqué en réponse au rapport de sanction, et qui complète celui communiqué par […] lors des contrôles, la formation restreinte relève que l’ensemble des mentions requises par l’article 28 du RGPD figurent bien dans les contrats lorsque les deux documents sont lus conjointement. Le manquement n’est pas donc constitué pour l’encadrement de ces relations.
88. S’agissant enfin du contrat conclu avec […], les avenants au contrat n’ont pas été communiqués aux services de la CNIL dans le cadre de la procédure de contrôle, ce que reconnaît la société. Lors du contrôle sur pièces du 25 février 2021, la société a fourni à la délégation de la CNIL un contrat datant de 2019, conclu pour une durée d’une année, qui ne comportait pas l’ensemble des mentions requises au titre de l’article 28, paragraphe 3, du RGPD. Elle a par la suite fourni, en réponse au rapport de sanction, des avenants qui auraient été conclus à l’expiration de ce contrat, et qui auraient été renouvelés depuis. La formation restreinte relève que ces nouvelles pièces comportent bien à présent toutes les mentions nécessaires. Elle observe toutefois que ces documents fournis ne sont pas signés et semblent être des versions de travail (certains comportent une mention surlignée en jaune indiquant " […] Cloud Service Agreement for INSERT DESCRIPTION OT THE SYSTEM " et " contract number " sans le numéro de contrat). En outre, la seule date indiquée est une version " revised " du 4 mars 2022. Ces observations sur la forme des pièces fournies en défense ayant été soulevées, la formation restreinte considère, en tout état de cause, qu’il n’est pas nécessaire de déterminer si les avenants fournis constituent des justificatifs recevables dans la mesure où le manquement est bien constitué pour les faits passés, au regard des constatations effectuées par la délégation au moment du
contrôle.
89. Dans ces conditions, la formation restreinte considère que le manquement à l’article 28, paragraphe 3, du RGPD est constitué pour les faits passés concernant le contrat régissant les relations avec […].
G. Sur le manquement à l’obligation de sécurité
90. L’article 32, paragraphe 1, du RGPD prévoit que " Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
91. La rapporteure considère que le stockage des mots de passe des collaborateurs de la société dans l’application […] sous une forme hachée au moyen de l’algorithme MD4 n’est pas conforme à l’état de l’art.
92. En défense, la société relève que l’insuffisance de mesures de sécurité visée dans le rapport de sanction n’est pas établie. Elle affirme que le rapport se fonde sur des réponses courtes apportées à des questions ciblées formulées lors du contrôle, qui n’avaient pas vocation à permettre à la CNIL d’être pleinement informée du niveau global de sécurité entourant les mots de passe traités par la société. Elle fait ainsi valoir d’autres mesures qui seraient mises en place par la société et qui permettraient d’assurer un niveau de sécurité approprié, comme par exemple une surveillance permanente de l’activité au sein du réseau informatique ou un nombre limité de comptes administrateurs. Elle précise également qu’une politique de migration vers une nouvelle version de Windows Server l’a incitée à faire évoluer les algorithmes utilisés vers des versions plus robustes, avec une migration achevée en février 2023. Depuis, la chaîne d’algorithme […] est utilisée.
93. La société considère en outre que la rapporteure se fonde à tort sur la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés et abrogeant la délibération n° 2017-012 du 19 janvier 2017, qui n’a pas de caractère normatif, est postérieure au contrôle et admet la mise en œuvre de dispositifs supplétifs aux seuls mots de passe. Sa violation ne pourrait donc pas être passible de sanction.
94. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.
95. La mise en place d’une politique d’authentification robuste constitue une mesure élémentaire de sécurité qui participe généralement au respect des obligations de l’article 32 du RGPD. Ainsi, en matière d’authentification, il est nécessaire de veiller à ce qu’un mot de passe permettant de s’authentifier sur un système ne puisse pas être divulgué. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l'Agence nationale de sécurité des systèmes d’information (ANSSI) alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent " être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 " et que " la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées " (ANSSI, " Bulletin d’actualité CERTA-2013-ACT-046 ", 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/). De même, dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, la CNIL indiquait déjà qu’elle " recommande [que le mot de passe] soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de
vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé ". En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent.
96. Or, la formation restreinte relève que l’algorithme MD4, utilisé par la société pour le stockage des mots de passe de collaborateurs au moment des contrôles, était déjà réputé obsolète et insuffisamment robuste pour assurer la confidentialité des mots de passe à la date des constations faites par la délégation. En effet, la fonction de hachage MD4 fait l’objet d’une vulnérabilité connue depuis plusieurs années et immédiatement exploitable par des attaquants (présentant un risque de collision) (Voir en ce sens ANSSI, " Bulletin d’actualité CERTFR-2014-ACT-028 ", 11 juillet 2014, https://www.cert.ssi.gouv.fr/actualite/CERTFR-2014-ACT-028/). Si la société a fait valoir que les positions prises par l’ANSSI dans des documents de 2014 ont été depuis remplacés par d’autres documents plus récents, il n’en demeure pas moins qu’une fonction de hachage qui n’était plus à l’état de l’art en 2014 ne l’était pas davantage au jour des contrôles. L’utilisation de l’algorithme MD4 suppose en effet d’avoir recours au protocole NTLM pour l’authentification, alors que ce protocole était déjà critiqué par l’ANSSI au moment des contrôles (Voir en ce sens ANSSI, " Recommandations pour la protection des systèmes d’information essentiels ", 18 décembre 2020, https://www.ssi.gouv.fr/uploads/2020/12/guide_protection_des_systemes_essentiels.pdf). L’utilisation de cette fonction de hachage ne permet donc pas de garantir la sécurité des données à caractère personnel concernées. La formation
restreinte considère, par ailleurs, que la robustesse des mesures de sécurité périphériques ne suffit pas à compenser l’utilisation de l’algorithme MD4. En effet, la fragilité inhérente à la fonction de hachage utilisée, sur laquelle se fonde la sécurité du stockage des mots de passe des employés de la société, est telle qu’elle ne peut pas être rectifiée par d’autres mesures.