AgentPublic/cnil huggingface dataset:
S’agissant des pays non signataires de cette convention avec lesquels la France entretient des relations bilatérales, la Commission relève qu’ils ont généralement une représentation consulaire en France et qu’un transfert de données concernant leurs ressortissants est susceptible d’être réalisé sur le même fondement.
Au regard de ces éléments, la Commission recommande l’adoption de mesures supplémentaires de nature à garantir la sécurité et la confidentialité des données à caractère personnel des personnes concernées lors de ces transferts.
Sur les mesures de sécurité
La Commission prend acte des précisions apportées par le ministère concernant les solutions techniques utilisées afin d’assurer la sécurité et la traçabilité des données.
Elle relève que l’accès aux données à caractère personnel, qui n’est permis qu’aux seules personnes ayant le besoin d’en connaître par le biais d’un système de gestion des habilitations et des processus de gestion associés, est conforme au niveau de sécurité attendu.
La Commission observe que les comptes d’accès sont ouverts après une formation de l’utilisateur et sa signature de la charte d’utilisation et qu’une revue des droits d’accès au moins annuelle est réalisée. Elle note que la formation à l’utilisation de l’outil prévoit également une sensibilisation à la protection des données à caractère personnel.
Elle prend acte de ce que le ministère confirme le fait que le traitement en bases de données est assuré dans les centres de données du ministère de la justice et n’est pas sous-traité.
La Commission prend également acte de l’engagement du ministère de ne pas déployer les accès via Internet avant que ne soient mises en œuvre les cartes agents ou bien une authentification multi-factorielle.
Elle relève que le ministère confirme la mise en œuvre de solutions de chiffrements en conformité avec les exigences du RGS.
S’agissant de la traçabilité, la Commission constate la mise en œuvre d’une remontée d’alertes établies à partir des événements redoutés permettant de réagir rapidement à toute anomalie.
Les autres mesures de sécurité n'appellent pas de remarques de la Commission. Elle rappelle toutefois que les exigences de sécurité prévues à l’article 57 de la loi du 6 janvier 1978 modifiée nécessitent la mise à jour de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Bertrand du MARAIS, membre, et de Mesdames Anne DEBET et Christine MAUGÜE, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2019-133C du 26 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la X ;
Vu la décision n° MED 2020-017 du 21 juillet 2020 mettant en demeure la X ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 12 avril 2021 ;
Vu les saisines n° 18011796, 18013215, 18015831, 18016541, 18019128, 18020503, 18020676, 18022147, 18024212, 18024300, 19000390, 19001882, 19003400, 19004724, 19008218 et 19014490 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié à la X le 27 mai 2021 ;
Vu le courriel et les observations adressés par la société le 2 juin et le 6 juillet 2021 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 8 juillet 2021 :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentant de la X :
- […] ;
La X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La X (ci-après la société ou la X ) est une société par actions simplifiée au capital social de 5 000 euros, sise […]. Elle a une activité de régie publicitaire et gère le site web […]. Son président est son unique salarié. Elle a réalisé, en 2018, un chiffre d'affaires d’environ […], pour un résultat net d’environ […]. En 2019, le chiffre d’affaires de la société s’est élevé à […] avec un résultat net […].
2. Le site web [...] est un annuaire professionnel recensant les entreprises françaises et qui dresse, pour chacune d’elles, une fiche de présentation reprenant ses principales informations administratives, notamment le nom et l’adresse de son dirigeant. Ces données proviennent exclusivement de la base publique SIRENE publiée par l’INSEE sur son site web. Environ une fois par mois, le dirigeant de la société télécharge manuellement le fichier mis à disposition par l’INSEE et compare la nouvelle liste avec celle précédemment publiée sur le site web de la société pour mettre à jour sa base de données. Les dirigeants des sociétés peuvent créer un compte sur le site, pour accéder à un espace personnel permettant de souscrire aux offres commerciales de la société proposant une présentation personnalisée de leur entreprise.
3. La Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été destinataire, entre le 1er mars 2018 et le 16 mai 2019, de seize plaintes (n° 18011796, 18013215, 18015831, 18016541, 18019128, 18020503, 18020676, 18022147, 18024212, 18024300, 19000390, 19001882, 19003400, 19004724, 19008218 et 19014490) concernant le site web [...], relatives aux difficultés rencontrées lors de demandes d’effacement et de rectification des données à caractère personnel.
4. Une mission de contrôle a alors été diligentée par la CNIL auprès de la société, en application de la décision n° 2019-133C du 26 juin 2019 de la présidente de la Commission.
5. Cette mission avait notamment pour objet de vérifier la conformité aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection des données (ci-après le RGPD ou le Règlement ) et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier modifiée ou la loi Informatique et Libertés ) des traitements mis en œuvre par cet organisme ou pour son compte.
6. Le président de la société a été convoqué par un courrier du 17 juillet 2019, réceptionné le 20 juillet 2019, à une audition, en application de l’article 19-III de la loi susmentionnée, qui s’est tenue le 5 septembre 2019. En outre, un contrôle en ligne a été effectué le 3 septembre 2019. Le procès-verbal du contrôle en ligne a été notifié à la société par un courrier du 9 septembre 2019.
7. A l’issue du contrôle sur audition, il a été demandé à la société de communiquer à la CNIL, dans un délai de huit jours, tous les échanges intervenus entre les plaignants à l’origine de la procédure de contrôle et la société, ainsi qu’une copie d’un exemple de réponse à une demande d’effacement, un dénombrement du nombre d’entreprises individuelles présentes dans la table PROFESSIONNEL 3 de la base de données de la société, une copie de tout document contractuel encadrant la relation commerciale avec […] et une copie de tout document contractuel encadrant la relation commerciale […]. Le procès-verbal d’audition a été notifié à la société par courrier le 9 septembre 2019.
8. La société n’ayant pas produit les éléments sollicités dans le délai imparti à l’issue de son audition, un courriel de relance lui a été adressé par les services de la CNIL le 23 septembre 2019, lui accordant un délai supplémentaire de huit jours pour apporter les éléments demandés.
9. Le 4 octobre 2019, la société n’a répondu que partiellement aux demandes de la CNIL en ne fournissant que les documents encadrant sa relation commerciale avec […]. En outre, la société a interrogé la CNIL quant à la légalité de la diffusion de données collectées par l’INSEE et sur le caractère personnel des données traitées. Elle a également mis en avant un conflit qui l’oppose à […]. Enfin, elle a précisé avoir exclu les demandes spécifiques transmises par la CNIL sans préciser l’objet de ces demandes et sans communiquer de pièces justificatives.
10. De nombreux échanges sont ensuite intervenus entre la société et les services de la Commission, sans que la société réponde de manière effective aux demandes formulées à l’issue du contrôle. La CNIL a ainsi adressé une relance le 7 octobre 2019 précisant notamment que les documents concernant […] n’étaient que des liens hypertexte. En réponse, la société a adressé un courriel le jour même dans lequel elle indiquait qu’elle allait répondre aux demandes de la CNIL, ce qu’elle n’a toutefois pas fait, ce qui a conduit la CNIL à procéder à une nouvelle relance le 10 octobre 2019. La société a apporté des éléments de réponse les 15 et 16 octobre 2019 en lien avec le traitement des plaintes et sur les contrats sollicités, mais sans transmettre les justificatifs demandés.
11. Le 16 octobre 2019, les services de la Commission ont adressé un courrier constatant que la société n’avait pas apporté de justificatif concernant les échanges entre les plaignants et la société.
12. Par une décision n° MED 2020-017 du 21 juillet 2020, notifiée le 21 juillet 2020 et réceptionnée le 23 juillet 2020, la présidente de la Commission a mis en demeure la X, dans un délai de deux mois, de :
- procéder à l’information des personnes concernées, conformément aux dispositions des articles 12, 13 et 14 du règlement, quant aux traitements de données à caractère personnel mis en place, et en particulier délivrer une information complète aux personnes, et ce, dans un document ou support distinct des conditions générales d’utilisation du site afin d’en assurer le caractère aisément accessible en prévoyant également une information spécifique aux entrepreneurs dont les données ont été collectées à partir des bases de l’INSEE ;
- procéder à la rectification des données du plaignant concerné et mettre en place une procédure permettant de prendre en compte de manière effective toute demande d’exercice du droit de rectification et de mise à jour formulée par des personnes dont les données personnelles figurent dans la base de données de la société ;
- procéder à la suppression des données des plaignants concernés ([…]) et mettre en place une procédure permettant de prendre en compte de manière effective toute demande d’exercice du droit d’effacement des personnes dont les données personnelles figurent dans la base de données de la société ;
- mettre en œuvre un registre des activités de traitement ;
- transmettre les éléments demandés à l’issue du procès-verbal n° 2019-133/2 non encore communiqués ;
- justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
13. Il était indiqué dans la mise en demeure que si, à l’issue du délai de deux mois, la société s’était conformée à la mise en demeure, la procédure serait close et un courrier serait adressé à la société en ce sens. A l’inverse, si la société ne se conformait pas à la mise en demeure, un rapporteur serait désigné par la présidente de la Commission, rapporteur qui pourrait demander à la formation restreinte de prononcer à l’encontre de la société l’une des mesures prévues par l’article 20 de la loi du 6 janvier 1978 modifiée.
14. La mise une demeure étant restée sans réponse, un courrier de relance a été envoyé par la présidente de la CNIL le 19 novembre 2020, accordant à la société un délai supplémentaire de 15 jours pour apporter sa réponse à la mise en demeure.
15. Le 17 décembre 2020, la société a adressé un courriel aux services de la CNIL dans lequel elle indiquait avoir traité toutes les demandes des plaignants individuellement, sans pour autant communiquer de justificatifs. Elle expliquait ensuite ne pas avoir les moyens permettant de gérer automatiquement les demandes de suppression .
16. Le 6 mars 2021, la société a adressé un nouveau courriel aux services de la CNIL dans lequel elle établissait une liste des dossiers correspondants aux différentes saisines reçues par la CNIL et où elle indiquait le traitement accordé à chacune d’entre elles et leur statut actuel. Cette réponse ne comportait pas de justificatif.
17. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 12 avril 2021, désigné Madame Sophie LAMBREMON en qualité de rapporteure, conformément à l’article 39 du décret n° 2019-536 du 29 mai 2019.
18. À l’issue de son instruction, la rapporteure a fait signifier par huissier de justice à la X, le 27 mai 2021, un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce. Le courrier de notification du rapport précisait à la société que le dossier était inscrit à la séance de la formation restreinte du 8 juillet 2021.
19. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative.
20. Le 2 juin 2021, la société a adressé un courriel aux services de la CNIL. Elle a complété son courriel par des observations du 6 juillet 2021.
21. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la notion de donnée à caractère personnel
22. L’article 4.1 du RGPD définit les données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable .
23. La société a émis des doutes quant au caractère personnel des données traitées et, partant, quant à la compétence de la Commission. Selon la société, les données qu’elle publie dans son annuaire ne sont pas soumises au règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 au motif qu’elles ne seraient pas des données à caractère personnel mais des données relatives à des entreprises.
24. La rapporteure considère que les informations présentes sur ces pages contiennent des données qui ont le caractère de données à caractère personnel au sens du RGPD dès lors qu’elles permettent une identification directe d’une personne physique.
25. La formation restreinte relève que les fiches relatives aux entreprises référencées dans l’annuaire accessible à partir du site web de la société font figurer, notamment, les noms, prénoms et adresses des personnes physiques lorsque celles-ci ont le statut d’autoentrepreneur ou lorsqu’elles exercent une profession libérale sans être membre d’une structure d’exercice. Dès lors, des données présentes sur les fiches se rapportent à une personne physique identifiée et ont ainsi le caractère de données à caractère personnel au sens du RGPD.
26. A cet égard, la formation restreinte observe que la CNIL adopte cette position de manière constante, depuis de nombreuses années. Elle indiquait en ce sens, dès 1985, que sont directement nominatives : les informations relatives aux dirigeants, quelle que soit la forme de l'entreprise, de même que les informations relatives aux électeurs dans le cadre de l'organisation des élections consulaires ; les informations relatives à la raison sociale de l'entreprise, dès lors qu'il s'agit d'une entreprise en nom (délibération n° 85-45 du 15 octobre 1985). Le Conseil d’Etat affirme également que sont des données à caractère personnel les données qui permettent une identification directe d’une personne physique (voir en ce sens la décision Conseil d'État, 10ème SSJS, 30 décembre 2015, n° 376845, §8).
27. La formation restreinte considère donc que les données traitées par la X sont des données à caractère personnel au sens de l’article 4.1 du Règlement et que les dispositions du Règlement sont applicables au traitement opéré par la société.
B. Sur la qualification des faits au regard du règlement général sur la protection des données
1. Sur le manquement à l’obligation de respecter les demandes de rectification des données
28. Aux termes de l’article 16 du RGPD la personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes .
29. Il ressort des constations de la délégation de la CNIL que, lorsque la société reçoit des demandes de rectification de la part des entrepreneurs dont les données figurent sur le site [...], une comparaison est effectuée entre les données de la base SIRENE et les données d’entreprise figurant sur le site web de la société. Il a été également établi que la société ne faisait droit aux demandes de rectification des données que lorsqu’une différence était relevée entre la fiche présente sur le site [...] et la base SIRENE. Si les fiches du site et de la base SIRENE étaient identiques, la société refusait de procéder à la rectification des données.
30. Le 13 septembre 2017, […] (saisine n° 18020503) a adressé une demande de rectification de son adresse à la X. Il précisait que l’adresse renseignée sur la fiche était celle de son domicile personnel et non son adresse professionnelle. Constatant que les informations présentes sur la fiche de son entreprise étaient toujours inexactes, […] a de nouveau contacté la société le 23 janvier 2018. Il a par la suite saisi la CNIL d’une réclamation, le 10 octobre 2018, ces données n’étant toujours pas rectifiées.
31. La société a été mise en demeure par la présidente de la Commission, par décision du 21 juillet 2020, dans un délai de deux mois, de procéder à la rectification des données du plaignant ayant saisi la CNIL. Elle a également été mise en demeure, dans le même délai, de mettre en place une procédure permettant de prendre en compte de manière effective toute demande d’exercice du droit de rectification et de mise à jour formulée par des personnes dont les données personnelles figurent dans la base de données de la société.
32. La rapporteure relève dans son rapport de sanction qu’au jour du contrôle, le 3 septembre 2019, soit deux ans après sa demande, la fiche de l’entreprise de […] présentait toujours des informations inexactes, la société méconnaissant ainsi ses obligations au regard de l’article 16 du RGPD.
33. La société indique qu’elle a procédé, le 6 juillet 2021, à la suppression de toutes les données relatives à […].
34. La formation restreinte relève que […] a alerté la X, en septembre 2017, de l’inexactitude de certaines des données mentionnées sur la fiche de son entreprise diffusée sur le site [...].
35. Bien que la société lui ait indiqué, dès le 13 septembre 2017, prendre en compte sa demande, la formation restreinte relève que le plaignant a, en l’absence de rectification de ses données, adressé une relance à la société en janvier 2018, puis saisi la CNIL d’une plainte en octobre 2018. Lors du contrôle réalisé par la délégation en septembre 2019, la société n’avait toujours pas rectifié les données à caractère personnel du plaignant. En juillet 2020, la présidente de la CNIL a par la suite mis en demeure la société de rectifier, dans un délai de deux mois, les données de […]. La formation restreinte relève que cette demande n’a à nouveau pas été suivie d’effet, la société n’ayant pas apporté de réponse satisfaisante à la mise en demeure. En outre, la formation restreinte relève que la rapporteure précise dans son rapport de sanction du 25 mai 2021 que les vérifications informelles effectuées au moment de sa rédaction ont permis de constater que la fiche du plaignant comportait toujours l’adresse de son domicile personnel, la demande de rectification n’ayant donc toujours pas été prise en compte.
36. La formation restreinte a été avisée, par un courrier du 6 juillet 2021, que la société avait finalement fait droit à la demande du plaignant.
37. La formation restreinte retient, en tout état de cause, que malgré les différentes démarches du plaignant et des services de la CNIL, la société ne s’est pas mise en conformité à l’expiration du délai fixé dans la mise en demeure du 21 juillet 2020.
38. Dans ces conditions, et au vu de ce qui précède, la formation restreinte considère que la société a failli à l’obligation prévue par l’article 16 du Règlement.
2. Sur le manquement à l’obligation de respecter les demandes d’effacement des données
39. Aux termes de l’article 17 du RGPD la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique […] la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement .
40. En outre, l’article 21 paragraphe 1 prévoit que la personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice . Enfin, l’article 6, paragraphe 1, point f) dispose que le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant .
41. La délégation de contrôle de la CNIL a établi que la société reçoit des demandes d’exercice de droit à l’effacement par téléphone, par courrier, par courriel et par un formulaire en ligne. Lors du contrôle du 5 septembre 2019, la délégation a été informée que ces demandes étaient normalement traitées au fur et à mesure de leur réception, mais qu’elles ne l’avaient pas été depuis le mois d’avril 2019, en raison de difficultés opérationnelles . Il a été ainsi constaté, lors du contrôle sur audition, dans la boîte de réception des courriels de la société, la présence de 135 demandes d’effacement de données non lues et non traitées par le gérant de la société. La plus ancienne avait été reçue le 3 mai 2019, soit plus de quatre mois avant l’audition.