AgentPublic/cnil huggingface dataset:
75. La formation restreinte relève que la réponse communiquée par la société à la demande est, tout d’abord, partielle. En effet, celle-ci ne contient que le résultat de la recherche dans l’outil commercialisé par la société, c’est-à-dire les images et les informations qui leur sont associés. Font ainsi défaut l’ensemble des informations prévues à l’article 15.1 du RGPD, la société s’étant contentée de fournir un lien vers sa politique de confidentialité.
76. Ensuite, la formation restreinte estime que, en n’acceptant de répondre à la demande d’accès de la plaignante qu’à l’issue de sept courriers et plus de quatre mois après sa demande initiale et en exigeant une copie de sa pièce d’identité alors que la plaignante avait déjà fourni des informations permettant de l’identifier ainsi qu’une photographie la représentant, […] n’a pas facilité l’exercice des droits de la plaignante.
77. Enfin, il ressort de la politique de confidentialité de la société que celle-ci limite l’exercice du droit d’accès aux données collectées les douze mois précédant la demande et restreint l’exercice de ce droit à deux fois par an. Or la politique de confidentialité de la société ne précise pas la durée de conservation des données et il ne ressort pas des éléments du dossier que la conservation des données en cause serait limitée à douze mois. Ainsi la limitation du droit d’accès ne repose sur aucun fondement.
78. En outre, la formation restreinte relève que la société n’a apporté aucune réponse aux injonctions formulées sur ce point dans la mise en demeure n° MED 2021-134 du 26 novembre 2021, permettant d’établir que la société s’y serait conformée dans le délai imparti de deux mois ou ultérieurement.
79. Par conséquent, la formation restreinte considère, d’une part, que la société a manqué à ses obligations en s’abstenant d’apporter une réponse satisfaisante à la plaignante et, d’autre part, que la société ne répond pas de manière effective aux demandes d’accès qui lui sont adressées et ne facilite pas l’exercice du droit d’accès des personnes concernées, en violation des articles 12 et 15 du Règlement.
E. Sur le manquement à l’obligation de respecter le droit d’effacement
80. L’article 17 du RGPD prévoit : La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : […] les données à caractère personnel ont fait l'objet d'un traitement illicite .
81. Le rapporteur considère que la société a méconnu le droit d’effacement d’une personne concernée en s’abstenant d’apporter une réponse à sa demande d’effacement de ses données.
82. La société n’a présenté aucune observation en défense.
83. La formation restreinte relève qu’il ressort de la saisine n° […] que la plaignante à l’origine de cette saisine n’a reçu aucune réponse de la société concernant la demande d’effacement de ses données.
84. Or, la formation restreinte souligne que, dès lors que le traitement mis en œuvre ne peut reposer sur aucune base légale valide au regard de la réglementation européenne, l’effacement était de droit. La société aurait donc dû répondre favorablement à la demande d’effacement présentée par la plaignante.
85. En outre, la formation restreinte note que la société n’a apporté aucune réponse aux injonctions formulées sur ce point dans la mise en demeure n° MED 2021-134 du 26 novembre 2021, permettant d’établir que la société s’y serait conformée dans le délai imparti de deux mois.
86. Par conséquent, la formation restreinte retient que la société a méconnu le droit d’effacement de la plaignante en s’abstenant de lui apporter une réponse, en violation de l’article 17 du Règlement.
F. Sur le manquement à l’obligation de coopérer avec les services de la CNIL
87. L’article 31 du RGPD dispose que le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions .
88. Le rapporteur fait grief à la société de ne pas avoir répondu de manière satisfaisante aux demandes de la CNIL dans les délais impartis.
89. La société n’a présenté aucune observation en défense.
90. La formation restreinte relève que la société a été destinataire d’un questionnaire de contrôle de la part de la délégation de la Commission, auquel elle n’a répondu que de manière très partielle.
91. Ensuite, la société a été destinataire d’une mise en demeure datée du 26 novembre 2021. Cette mise en demeure comportait différentes demandes visant à la mise en conformité des traitements et au respect des droits des personnes.
92. La formation restreinte souligne que la société n’a répondu ni à cette mise en demeure, ni à la relance adressée par la présidente de la CNIL le 3 mars 2022, ni à la relance adressée par les services de la Commission le 4 avril 2022.
93. Dans ces conditions, la formation restreinte considère que ces éléments sont constitutifs d’une méconnaissance des dispositions de l’article 31 du Règlement dès lors que la société n’a apporté aucune réponse aux demandes de la CNIL.
III. Sur la sanction et la publicité
94. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée, Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ;
7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 […] .
A. Sur le prononcé d’une amende administrative et sur son montant
95. L’article 83 du RGPD dispose en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
96. La formation restreinte doit ainsi tenir compte dans la détermination du montant de l’amende de critères tels que le nombre de violations, leur nature et gravité, le degré de coopération avec l’autorité de contrôle, le nombre de personnes concernées et les catégories de données à caractère personnel concernées.
97. La formation restreinte relève que les manquements commis sont particulièrement graves, en particulier au regard de l’atteinte portée à des principes fondamentaux prévus par le RGPD, du nombre de personnes concernées et du caractère particulièrement intrusif du traitement en cause.
98. La formation restreinte souligne ainsi que le traitement concerne plus de vingt milliards d’images ainsi qu’un nombre considérable de personnes concernées, dans le monde entier. Ce sont donc plusieurs millions de personnes en France dont le visage apparaît sur une photographie ou une vidéo publiquement accessible sur Internet, et notamment sur un compte de réseau social, qui sont susceptibles d’être concernées par ce traitement. La base de données étant en outre actualisée très régulièrement pour intégrer les informations nouvellement disponibles, le nombre de ces images et de ces personnes est en constante évolution.
99. Ce traitement massif présente par ailleurs un caractère particulièrement intrusif en ce qu’il recueille sur une personne donnée un nombre potentiellement très important de données photographiques, auxquelles sont associées d’autres données à caractère personnel susceptibles de révéler divers aspects de leur vie privée tels que leurs goûts et préférences (par exemple, en termes de loisirs), leurs opinions politiques ou leurs convictions religieuses, exprimés sur des réseaux sociaux, dans des articles de blogs ou encore des articles de presse.
100. À partir de ces données, est en outre constitué un gabarit biométrique, c’est-à-dire une donnée biométrique considérée comme sensible aux termes de l’article 9 du RGPD.
101. La formation restreinte rappelle, ensuite, l’extrême gravité du manquement à l’article 6 du RGPD. En effet, la société met en œuvre ce traitement en toute illicéité puisqu’elle ne dispose d’aucun fondement juridique à cette fin : ni intérêt légitime du responsable de traitement, ni consentement des intéressés.
102. En outre, la société a fait montre d’une volonté manifeste de ne pas coopérer avec les services de la CNIL. En effet, elle n’a apporté qu’une réponse très parcellaire au questionnaire de contrôle transmis par la délégation de la CNIL et n’a apporté aucune réponse à la mise en demeure de la présidente, malgré plusieurs relances.
103. En conséquence, la formation restreinte considère que l’ensemble de ces manquements justifie qu’une amende administrative soit prononcée.
104. S’agissant de la détermination du montant de l’amende, la formation restreinte relève d’abord que les manquements relatifs aux articles 6, 12,15 et 17 du RGPD sont des manquements à des principes fondamentaux susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 d’euros et jusqu’à 4% du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
105. La formation restreinte relève que, malgré les demandes de la CNIL, la société n’a fourni aucune information relative à son chiffre d’affaires. Elle note qu’il ressort cependant de sources journalistiques que la société était valorisée à hauteur de 130 millions d’euros au début de l’année 2021.
106. En tout état de cause, la formation restreinte estime que l’ampleur du traitement en cause, la gravité des manquements et la nature biométrique des données à caractère personnel concernées exigent que l’amende administrative soit particulièrement importante afin d’être effective, dissuasive et proportionnée.
107. Au regard de l’ensemble de ces éléments, la formation restreinte estime que le prononcé d’une amende d’un montant de vingt millions d’euros est justifié. 
B. Sur le prononcé d’une injonction assortie d’une astreinte
108. En premier lieu, la formation restreinte relève la société n’a apporté aucun élément qui tendrait à démontrer sa mise en conformité avec les articles 6, 12, 15 et 17 du RGPD à la suite de la mise en demeure de la présidente de la CNIL du 26 novembre 2021. La société continue donc de mettre en œuvre le traitement en cause en toute illicéité puisqu’elle ne dispose d’aucun fondement juridique à cette fin. De plus, elle n’a pas répondu de manière satisfaisante aux demandes qui lui ont été adressées par la plaignante.
109. Par conséquent, dès lors que les manquements relevés dans la présente décision persistent et au regard de leur degré de gravité, la formation restreinte estime nécessaire le prononcé d’une injonction afin que la société se mette en conformité avec ses obligations.
110. En second lieu, la formation restreinte souligne qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. Son prononcé peut donc parfois s’avérer nécessaire pour s’assurer de la mise en conformité du responsable de traitement sous un certain délai.
111. La formation restreinte ajoute qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité des manquements reprochés mais également adapté aux capacités financières du responsable de traitement. Elle relève, par ailleurs, que pour la détermination de ce montant il doit également être tenu compte du fait que le manquement concerné par l’injonction participe indirectement aux bénéfices générés par le responsable de traitement.
112. Au regard de ces deux éléments, la formation restreinte considère proportionné le prononcé d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de deux mois.
C. Sur la publicité de la décision
113. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements, de la portée du traitement et du nombre de personnes concernées.
114. En particulier, la formation restreinte souligne que la publicité de la décision de sanction est nécessaire pour informer les personnes concernées de l’existence de ce dispositif méconnu par la grande majorité d’entre elles.
115. Enfin, elle estime que cette mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société […] une amende administrative d’un montant de 20 000 000 (vingt millions) euros ;
- prononcer à l’encontre de la société […] une injonction de ne pas procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise, et supprimer l’ensemble des données à caractère personnel de ces personnes, notamment les données de la plaignante en cause ayant sollicité l’effacement (plainte n° […]), après avoir répondu aux demandes d’accès déjà formulées par les personnes le cas échéant ;
- assortir l’injonction d’une astreinte de cent mille euros (100 000 euros ) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le garde des sceaux, ministre de la justice, d'une demande d'avis sur un projet de décret modifiant le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques (ci-après NIR ) ou nécessitant la consultation de ce répertoire ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 30 ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Etant rappelés les éléments de contexte suivants :
Le projet de décret en Conseil d'Etat soumis pour avis de la Commission a pour objet de modifier le décret n° 2019-341 du 19 avril 2019, dit décret cadre NIR . Ce décret détermine, sur le fondement de l'article 30 de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le NIR.
Dès 1978, la Commission a accordé une attention particulière aux conditions dans lesquelles peuvent être mis en œuvre les traitements de données à caractère personnel reposant sur la collecte du NIR, considérant que les spécificités de ce numéro, et notamment son caractère signifiant, justifient que le recours à cet identifiant soit strictement encadré.
La Commission a ainsi toujours considéré que l'emploi du NIR comme identifiant des personnes ne devait être ni systématique, ni généralisé. Elle a ainsi veillé à ce que les projets de textes autorisant le traitement du NIR soient cantonnés à la sphère médico-sociale et n'a accepté que le NIR soit utilisé dans d'autres secteurs que pour des motifs d'intérêt public caractérisé. L'utilisation du NIR a progressivement été étendue à divers usages dans le champ des relations de travail, dans les domaines financier, fiscal, douanier, éducatif ou du logement, dans certaines procédures juridictionnelles ou encore pour les besoins de la statistique publique.
Le projet de décret consiste essentiellement à élargir le nombre des cas dans lesquels le recours à cet identifiant est autorisé, souvent en dehors de la sphère médico-sociale.
Si la plupart de ces nouveaux usages paraît justifiée, la Commission relève la généralisation croissante du recours à cet identifiant sensible et s'interroge sur la recherche, ou non, par l'administration, de solutions et d'architectures alternatives permettant d'éviter l'usage du NIR.
Dans ce contexte, il convient de porter une attention particulière à ce que le présent projet de décret n'ait ni pour objet, ni pour effet de maintenir ou de créer des cas d'usage du NIR qui seraient contraires aux principes de finalité et de pertinence des données traitées ou facilitant l'interconnexion des fichiers entre différents secteurs.
Formule les observations suivantes :
Sur le projet dans son ensemble
Le degré de précision dans la formulation des finalités susceptibles de justifier le traitement du NIR est variable d'une partie du projet à autre, notamment lorsque la définition des finalités se fait par renvoi à d'autres textes ou par le recours à des formulations larges sans définition juridique (par exemple la gestion d'une plateforme en ligne ).
Eu égard, tant au régime juridique particulier posé par l'article 30 de la loi informatique et libertés que du principe de transparence et de loyauté posé par l'article 5 du RGPD, la Commission rappelle au ministère de veiller à ce que la formulation des finalités énumérées dans le décret NIR soit définie avec suffisamment de précision.
I. - Dans le champ de la protection sociale
Concernant la modification de l'article 2.A.1.e :
Le projet de décret prévoit une modification de l'article 2.A.1.e du décret en vigueur, en vue de permettre à la Caisse des dépôts et consignations (CDC) de traiter le NIR pour la gestion de la plateforme numérique nationale d'information et de services personnalisés à destination des personnes handicapées prévue à l'article 42 de la loi n° 2021-502 du 26 avril 2021 visant à améliorer le système de santé par la confiance et la simplification.
Les éléments fournis par le ministère indiquent que cette plateforme devra notamment permettre l'interconnexion avec les téléservices des maisons départementales pour les personnes handicapées (MDPH) et, à terme, avec d'autres téléservices d'organismes susceptibles d'ouvrir des droits spécifiques ou des services aux personnes en situation de handicap, afin de faciliter les démarches en ligne relatives à l'ensemble du parcours de vie de la personne. Plus précisément, la plateforme permettra de proposer un accompagnement personnalisé à la saisie et à la complétude du dossier.
La Commission prend acte de ce que le NIR fera uniquement l'objet d'un traitement pour l'interconnexion avec des téléservices spécifiques et ne sera pas traité à des fins d'amélioration du service. Dans ces conditions, elle estime la modification légitime.
Concernant la modification de l'article 2.A.1.k :
L'article 2.A.1.k du décret en vigueur autorise certains agents de la Caisse nationale de solidarité pour l'autonomie (CNSA) à utiliser le NIR pour les missions définies à l'article R. 146-38 du code de l'action sociale et des familles (CASF) sous réserve de pseudonymisation de certaines des données traitées. Cet article du CASF renvoie aux finalités poursuivies par le système national d'information statistique mis en œuvre par la CNSA.
Le projet de décret ajoute deux nouvelles finalités :
la mise en œuvre des missions prévues par l'article L. 14-10-1 du CASF ;
la mise en œuvre des services numériques dans le cadre de la création de la nouvelle branche Autonomie mentionnée au 5° de l'article L. 200-2 du code de sécurité sociale (CSS).
En premier lieu, le projet prévoit que le traitement du NIR à des fins de mise en œuvre des missions prévues au 2° de l'article L. 14-10-1 du CASF ne peut intervenir que sous réserve de la mise en œuvre de mesures de pseudonymisation du NIR permettant d'assurer la confidentialité de l'identité des personnes . Cet article renvoie à la CNSA le rôle de piloter et d'assurer l'animation et la coordination, dans le champ des politiques de soutien à l'autonomie des personnes âgées et des personnes handicapées, des acteurs participant à leur mise en œuvre.
Interrogé quant à l'absence de pseudonymisation s'agissant des autres missions prévues par les dispositions de l'article L. 14-10-1 du CASF, le ministère a indiqué que l'identification par l'utilisation du NIR des usagers était nécessaire notamment dans le cadre de la création des services numériques ou encore pour la mise en œuvre de systèmes d'information pouvant comporter l'hébergement de données de santé.
La Commission prend acte de ces précisions mais s'interroge néanmoins sur les raisons conduisant le ministère à écarter la nécessité de recourir aux mesures de pseudonymisation du NIR s'agissant de certaines autres missions de la CNSA, notamment celles définies aux alinéas 1° (mission de veiller à l'équilibre financier de la branche), 3°, 5°, 6° (contribution à la réflexion prospective sur les politiques de l'autonomie) et 7° (contribuer à l'attractivité des métiers) de la disposition projetée.
Elle prend acte de l'engagement du ministère de modifier la rédaction du projet de décret de sorte à recourir aux mesures de pseudonymisation du NIR pour l'ensemble des missions prévues à l'article L. 14-10-1 du CASF, sauf lorsqu'il s'agit de la mission définie au 4° du même article et de lutter contre la fraude en application du 1° du même article .
En second lieu, le nouvel alinéa 3 du projet d'article prévoit que les agents de la CNSA peuvent utiliser le NIR pour la mise en œuvre de services numériques, dans le cadre de la création de la nouvelle branche Autonomie mentionnée au 5° de l'article L. 200-2 du code de la sécurité sociale .