AgentPublic/cnil huggingface dataset:
L'article 4 du projet d'arrêté mentionne les destinataires des données traitées dans GALAXIE. La Commission considère que l'article 4 du projet d'arrêté pourrait préciser les services parmi les directions de la DGFiP et de la DGDDI habilités à recevoir communication des données traitées et non mentionner seulement les directions dans leur ensemble.
Par ailleurs, la Commission rappelle que, conformément au 6° de l'article 33 de la loi du 6 janvier 1978, les demandes d'avis adressées à la CNIL sur le fondement de l'article 31 doivent préciser les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées. Or, elle relève que l'AIPD transmise ne permet pas de distinguer clairement les accédants aux données du traitement GALAXIE des destinataires. La Commission estime dès lors que l'AIPD devrait être précisée sur ce point conformément à l'article 33 de la loi du 6 janvier 1978.
Sur les durées de conservation des données
L'article 5 du projet d'arrêté prévoit que les données consultables, lesquelles sont issues de CFVR, ont une profondeur historique de dix ans à compter de date de collecte de l'information par la DGFiP. Cette durée correspond à la durée maximale du droit de reprise de l'administration fiscale, qui peut s'exercer, pour le cas d'activités occultes, jusqu'à la fin de la dixième année qui suit celle au titre de laquelle l'imposition est due ou au titre de laquelle la taxe est devenue exigible.
En premier lieu, la Commission relève qu'elle s'était déjà prononcée sur les durées de conservation des données traitées dans le traitement CFVR. A cet égard, elle estime que la durée maximale devrait être adaptée en fonction des types d'erreurs ou de fraudes en cause afin de se conformer aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. Par ailleurs, la Commission considère que l'article 5 du projet d'arrêté devrait préciser que la durée de dix ans est à compter de la collecte dans le traitement CFVR, et qu'il s'agit d'une durée maximale en fonction des impositions concernées, comme indiqué dans l'arrêté du 21 février 2014 relatif au traitement CFVR.
En second lieu, la Commission relève que le ministère a indiqué que GALAXIE est alimenté mensuellement par CFVR d'un fichier comportant des informations ayant une profondeur historique de dix ans. Ce fichier annule et remplace les données transmises le mois précédent. A des fins de clarté, la Commission invite le ministère à mentionner cette périodicité mensuelle de mise à jour dans le projet d'arrêté.
Sur l'exercice des droits des personnes concernées
En premier lieu, la Commission relève que le ministère fonde le traitement sur l'exécution d'une mission d'intérêt public conformément à l'article 6-e du RGPD. Au regard de cette base légale, elle rappelle que le droit à l'effacement n'est pas applicable, conformément à l'article 17-3-b du RGPD. La Commission considère que l'article 7 du projet d'arrêté devrait être modifié pour apporter cette précision.
En second lieu, dans la mesure où le traitement projeté relève pour partie du régime de la directive police-justice , la Commission estime que l'article 7 du projet d'arrêté devrait être complété sur les dispositions relatives aux droits des personnes concernées conformément aux articles 104 et suivants du titre III la loi du 6 janvier 1978.
Sur les mesures de sécurité
La Commission prend acte que les appels à l'API ( Application Programming Interface ) se font via des applications sans exposition vers internet. Elle recommande également d'isoler totalement les terminaux présents d'internet ou, à défaut, de prendre toutes les mesures nécessaires pour éviter toute attaque du type falsification de requête intersite ( Cross-site request forgery ).
La Commission relève positivement la journalisation utilisant des identifiants agents individuels pour participer à la sécurisation des données de journalisation. Cependant, afin de garantir l'intégrité des données de journalisation, elle recommande vivement de mettre en place un système d'authentification permettant d'assurer la véracité de l'identifiant agent transmis lors de l'envoi de chaque requête HTTP à l'API.
L'article 5 du projet d'arrêté prévoit une durée de conservation des traces de quatre ans. Cette journalisation poursuivant des finalités de contrôle interne, la Commission considère qu'il est possible d'avoir une durée de conservation des données supérieure à une année, celle-ci devant être déterminée de manière proportionnée à la finalité poursuivie, notamment en fonction des temporalités décrites dans les processus de gestion. Dans la mesure où le ministère indique que le niveau de risque implique un contrôle de la totalité des agents de toutes les structures utilisatrices sur une périodicité de trois ans, elle considère qu'une durée de conservation de trois années est proportionnée et invite donc le ministère à réduire la durée de conservation actuellement prévue. La Commission appelle de plus le ministère à informer les utilisateurs habilités de la mise en place du dispositif de journalisation, de la nature des données collectées et de la durée de conservation de ces dernières.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE, et de Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no SAN-2020-003 du 28 juillet 2020 prononçant une sanction à l’encontre de la société X ;
Vu les éléments transmis par la société X le 5 novembre 2020, les 7 avril et 16 décembre 2021 et le 2 février 2022 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré lors de sa séance du 10 février 2022, a adopté la décision suivante :
I.Faits et procédure
La société X (ci-après " la société "), est spécialisée dans le secteur de la vente à distance de chaussures. Par sa délibération no 2020-003 du 28 juillet 2020, notifiée le 4 août 2020, la formation restreinte a, entre autres dispositions, prononcé une injonction de mettre en conformité le traitement avec les obligations résultant des articles 5-1 c), 5- 1 e), 13 et 32 du règlement no 2016/679 du 27 avril 2016 relatif à la protection des données (ci-après RGPD)
L’injonction était formulée en ces termes :
s’agissant du manquement au principe de minimisation des données à caractère personnel :
justifier de la fin des enregistrements non ponctuels et non aléaloires des conversations téléphoniques des conseillers lorsque la finalité poursuivie est leur formation ou leur évaluation ;
s’agissant du manquement au principe de limitation de la durée de conservation des données, définir et mettre en œuvre une politique de durée de conservation des données relatives aux clients et aux prospects qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, et notamment :
justifier de la procédure d’archivage intermédiaire des données à caractère personnel des clients mise en place, après avoir opéré un tri des données pertinentes à archiver et une suppression des données non pertinentes, ainsi que du point de départ de cet archivage ;
justifier de la restriction des accès des salariés aux données à caractère personnel présentes en base active aux seules personnes ayant à en connaître;
cesser de traiter les données des prospects au-delà du délai à l’issue duquel la société ne les contacte plus (en l’espèce deux ans) et cesser de prendre en compte, comme dernier point de contact émanant de ces derniers, la simple ouverture d’un courriel ;
cesser de conserver les adresses électroniques et mots de passes hachés des anciens clients à l’issue de la période d’inactivité fixée et procéder à la purge de telles données conservées par la société jusqu’à la date de la délibération de la formation restreinte ;
justifier de la suppression des données concernant les clients au-delà de la période d’inactivité définie, dont il appartiendra à la société de justifier, et concernant les prospects au-delà de deux ans d’inactivité ;
s’agissant du manquement à l’obligation d’informer les personnes :
procéder à l’information des salariés relative à la mise en place d’un dispositif d’enregistrement des conversations téléphoniques concernant notamment les finalités poursuivies, la base légale du dispositif, les destinataires des données issues du dispositif, la durée de conservation des données, les droits des salariés notamment d’accès aux données les concernant, la possibilité d’introduire une réclamation auprès de la CNIL ;
procéder à l’information complète des clients, en fournissant une information relative aux différentes bases légales des traitements mis en œuvre par la société;
s’agissant du manquement à l’obligation d’assurer la sécurité des données personnelles, prendre toute mesure, pour l’ensemble des traitements de données à caractère personnel mis en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès en application de l’article 32 du RGPD, notamment :
mettre en œuvre une politique de gestion des mots de passe contraignante, s’agissant des comptes clients selon l’une des modalités suivantes ;
les mots de passe sont composés d’au minimum douze caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
les mots de passe sont composés d’au moins huit caractères, contenant trois des quatre catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix) ;
Cette injonction était assortie d’une astreinte de 250 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 5 novembre 2020, la société a adressé à la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou " la CNIL ") un courrier par lequel elle présentait les mesures mises en place afin de se conformer à l’injonction. Par courrier du 2 février 2021, le président de la formation restreinte a demandé à la société des éléments complémentaires concernant notamment les modalités de conservation par la société des données relatives à ses clients. La société a répondu à cette demande le 7 avril 2021 puis a complété sa réponse par des envois supplémentaires les 16 décembre 2021 et 2 février 2022.
II.Motifs de la décision
A.Sur les mesures prises en lien avec la minimisation des données
La formation restreinte relève que les réponses et justificatifs fournis par la société font apparaître que celle-ci a cessé d’enregistrer, à des fins de formation de ses salariés, la totalité des appels téléphoniques reçus par les salariés de son service clients et qu’elle a réduit de façon substantielle la proportion des enregistrements auxquels elle procède.
Par conséquent, la formation restreinte considère que la société s’est conformée à ce volet de l’injonction.
B.Sur les mesures prises en lien avec la conservation des données
En premier lieu, s’agissant de la gestion des accès des salariés aux seules données à caractère personnel nécessaires pour l’exercice de leurs fonctions, il ressort des réponses et justificatifs fournis par la société que seules trois personnes, dont les fonctions au sein de la société le justifient, ont désormais accès aux données (par exemple, pour effectuer des recherches et analyses en cas de fraude, de plainte ou de réquisition judiciaire).
La formation restreinte considère que ces mesures satisfont à ce volet de l’injonction.
En deuxième lieu, s’agissant de la conservation des données à des fins de prospection, la formation restreinte relève que dans sa réponse à l’injonction, la société a indiqué avoir modifié le point de départ à partir duquel le délai permettant de déterminer l’inactivité d’un prospect était calculé, pour ne plus prendre en compte la simple ouverture d’un courriel mais par exemple la dernière commande ou la dernière connexion au compte. En outre, la société a justifié avoir supprimé les données qui étaient conservées en application de son ancienne politique de durée de conservation.
La formation restreinte considère que, dans ces conditions, les mesures adéquates ont été mises en place pour se conformer à l’injonction et elle observe qu’une conservation des données des prospects durant trois ans à partir de ces points de départ identifiés pour calculer la durée d’inactivité des prospects, n’est pas excessive au sens de l’article 5(1)(e) du RGPD.
En troisième lieu, s’agissant de la conservation des données au-delà d’une durée de trois ans à compter de l’inactivité des utilisateurs sous une forme ne permettant plus l’identification des personnes auxquelles elles se rapportent, la formation restreinte relève qu’au cours de l’instruction des suites apportées à l’injonction, la société a progressivement fait évoluer les modalités de conservation envisagées afin que les données conservées ne permettent plus de réidentifier les personnes. En ce sens, la société a notamment:
réduit le nombre de champs conservés dans sa base de données ;
cessé de conserver l’identifiant interne attribué à chaque client ;
réparti les données conservées en trois tables distinctes, dans lesquels les données se rapportant à une même personne sont versées à des moments différents, de façon à ce qu’il ne soit pas possible de faire le lien entre les données se rapportant à une même personne entre les trois tables.
La formation restreinte considère que les mesures prises par la société sont de nature à ne plus permettre la réidentification des personnes.
En dernier lieu, s’agissant de la conservation des adresses électroniques et des mots de passe des anciens clients sous forme hachée afin de leur permettre de se reconnecter à leur compte, la société a indiqué cesser de proposer cette fonctionnalité et donc mettre fin à la conservation de ces informations pour cette finalité.
Par conséquent, la formation restreinte considère la société a satisfait à ce volet de l’injonction.
C.Sur les mesures prises en matière d’information des personnes
En premier lieu, s’agissant de l’information des salariés quant à l’enregistrement des appels téléphoniques, il ressort des réponses et justificatifs fournis par la société que cette dernière a fait signer une note d’information à chacun de ses salariés, comportant l’ensemble des informations visées par l’article 13 du RGPD.
En second lieu, la formation restreinte constate que la société a complété la politique de confidentialité accessible sur son site web afin d’y faire figurer une description des bases juridiques sur lesquelles reposent ses traitements.
Par conséquent, la formation restreinte considère que la société s’est conformée à ce volet de l’injonction.
D.Sur les mesures prises en lien avec la sécurité du traitement
La société a produit des justificatifs dont il ressort que les mots de passe permettant d’accéder aux comptes clients doivent désormais être composés d’au moins 8 caractères, dont au moins une minuscule, une majuscule, un chiffre ou un caractère spécial. Elle explique avoir également mis en œuvre une mesure de temporisation d’accès aux comptes.
La formation restreinte considère que ces mesures satisfont à ce volet de l’injonction.
Par conséquent, la formation restreinte considère que la société X a satisfait à l’ensemble de l’injonction.
Cette décision sera rendue publique comme l’avait été la délibération no SAN 2020-003 du 28 juillet 2020.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société X à compter du 5 août 2022.
Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de la relance d’une demande d’avis concernant un projet de décret relatif à la publication des mesures de gel de biens immobiliers prises en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code des relations entre le public et son administration, notamment son article L. 312-1-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie le 21 mars 2022 d’une demande d’avis par le ministère de l’économie et des finances et de la relance, portant sur un projet de décret relatif à la publication des mesures de gel de biens immobiliers prises en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 modifié concernant les mesures restrictives eu égard aux actions compromettant ou menaçant l'intégrité territoriale, la souveraineté et l'indépendance de l'Ukraine. Ces biens sont préalablement inscrits au fichier immobilier ou au livre foncier en application de l’article L. 562-8 du code monétaire et financier.
Le projet de décret vise à permettre la publication, par dérogation au principe d’anonymisation des données publiées, de la liste des biens immobiliers (adresse et références cadastrales) faisant l’objet d’une mesure de gel en application du règlement UE n° 269/2014 susmentionné. Les noms des propriétaires de chaque bien, qui sont ceux mentionnés par ce règlement européen tels qu’indiqués dans l’annexe au règlement précité, ne seraient pas indiqués.
La Commission relève que le projet de décret, d’une part, ajoute une catégorie de documents dérogeant à l’obligation d’anonymisation préalable à la diffusion, en application du deuxième alinéa de l’article L. 312-1-2 du code des relations entre le public et l’administration, et organise, d’autre part, un traitement relatif à la publication de la liste objet du présent décret.
La Commission relève que le présent projet de décret a pour objet d’organiser la publication d’informations parmi lesquelles figurent des données à caractère personnel, lesquelles ne sont pas directement identifiantes. Elle considère dès lors que le présent projet de décret constitue un traitement de données à caractère personnel au sens de l’article 4 du règlement (UE) 2016/679 du 27 avril 2016 susvisé (RGPD).
Sur le traitement de données à caractère personnel 
 
Le présent projet de décret prévoit un traitement des données à caractère personnel que sont l’adresse des biens immobiliers appartenant aux personnes physiques ou morales faisant l’objet d’une mesure de gel en application du règlement UE n° 269/2014 et leurs références cadastrales. La Commission prend acte des précisions du ministère, selon lesquelles l’établissement de la liste objet du présent projet de décret résultera d’une extraction du livre foncier, opérée par les administrations compétentes en matière de gel d’avoir et dans le cadre de leurs missions.
D’une part, il a été déclaré à la Commission que la publication ne concerne que les données visées de manière exhaustive dans le décret, à l’exclusion donc de toute donnée nominative ou immédiatement identifiante. A cet égard, la Commission prend acte de la précision du ministère selon laquelle les informations relatives aux biens ne seront pas mises en relation, rapprochées ou interconnectés dans la publication avec les personnes concernées auxquelles ils appartiennent. La Commission rappelle que, malgré cela, cette liste de biens reste potentiellement identifiante, dans la mesure où la réidentification de leur propriétaire reste possible bien que non prévue par la liste et qu’aucune mesure d’anonymisation n’est prévue dans le traitement. Elle estime que l’absence de possibilité de rapprochement aisé avec les noms des propriétaires doit rester une garantie forte pour la protection des données à caractère personnel.
 
D’autre part, la Commission prend acte de la précision du ministère selon laquelle il s’agit d’une mesure temporaire qui devra être précisée dans le décret.
 
Enfin, le traitement a pour finalité l’information du public sur les mesures de gel mises en œuvre par l’État dans le cadre de l’application du règlement de 2014 susvisé et il a pour base légale l’exécution d’une mission d’intérêt public au sens du e) du 1. de l’article 6 du RGPD.
Dans ces conditions, et au regard du contexte précité, le traitement de données à caractère personnel visé par le présent projet apparait proportionné au but poursuivi.
 
La Commission rappelle cependant que la publication de telles informations constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD et que le responsable du traitement devra, pour la mise en œuvre du décret, s’assurer de sa conformité à la réglementation relative à la protection des données à caractère personnel.
 
Dès lors, elle invite le ministère à réaliser une analyse d’impact relative à la protection des données. Si le niveau de risque résiduel était élevé à l’issue de cette analyse, alors, la Commission devrait être consultée sur celle-ci en application du 1 de l’article 36 du RGPD.
 
Elle appelle notamment le responsable de traitement à une vigilance particulière s’agissant de l’information des personnes, afin de permettre un exercice rapide et efficace des droits, notamment en cas d’erreur dans les informations dont la publication est envisagée.
 
Sur l’ajout d’une catégorie de documents dispensés d’anonymisation préalable à la diffusion
La Commission rappelle, à titre liminaire et de façon générale, que la publication massive de données en ligne a mécaniquement pour effet d’augmenter les risques potentiels pour les personnes concernées. En effet, cette publication présente le risque que des informations publiques puissent, sans même contenir initialement de données directement identifiantes, permettre, par recoupement avec d’autres informations publiques mises à disposition et plus généralement avec d’autres données disponibles, l’identification ou la ré-identification de personnes physiques. Dans cette hypothèse, plus que sa qualité intrinsèque, c’est bien l’usage fait de la donnée initiale qui lui confère son caractère personnel.
 
En l’espèce, la Commission relève que le présent projet de décret vise à répondre à une situation d’urgence particulière liée au contexte international. et que cette nouvelle dérogation prise en application de l’article L. 312-1-2 du CRPA est une mesure temporaire, qui n’a dès lors pas vocation à être codifiée.