AgentPublic/cnil huggingface dataset:
61. En défense, X soutient que le système ne peut être cloisonné et que tous les agents habilités ont besoin d’avoir accès à l’ensemble des données dans le cadre de leurs fonctions. Elle fait également valoir que l’accès transversal entre les unités opérationnelles correspond à une nécessité opérationnelle et organisationnelle et précise à cet égard que les directeurs d’unité opérationnelle ont besoin d’avoir accès aux données de toutes les unités opérationnelles en vue d’assurer la continuité du service. X soutient également être en train de mettre en œuvre un plan d’action visant à cloisonner l’accès des profils " management d’unité opérationnelle " et " assistant RH " aux seules données de l’unité opérationnelle à laquelle ils sont rattachés.
62. La formation restreinte rappelle à cet égard qu’en application de l’article 32 du RGPD, le responsable de traitement doit mettre en place des mesures appropriées pour assurer la confidentialité des données et éviter que les données soient traitées de façon illicite par le fait de personnes qui n’ont pas besoin d’en connaître. La prévention des mésusages et des violations de données peut être en partie assurée par des mesures organisationnelles, notamment en informant les utilisateurs du système d’information sur les données qu’ils sont autorisés à traiter pour leurs missions, en contrôlant l’usage qui en est fait, notamment aux moyens de journaux de connexion, et en sanctionnant disciplinairement le non-respect des règles applicables. En complément de ces mesures, la gestion des habilitations à consulter ou à utiliser un système d’information doit tendre à limiter les accès aux seules données à caractère personnel dont un utilisateur a besoin pour l’accomplissement de ses missions, notamment en définissant des profils d’habilitation dans les systèmes en séparant les tâches et les domaines de responsabilité. Il appartient donc au responsable de traitement de mettre en place, en fonction de la plus ou moins grande diversité des missions des utilisateurs, une politique de gestion des habilitations qui soit appropriée à l’importance et à la sensibilité des données traitées, ainsi qu’aux risques auxquels les personnes concernées sont exposées, en fonction des moyens dont il
peut disposer.
63. À titre illustratif, la formation restreinte relève que le Guide pour l’élaboration d’une politique de sécurité de système d’information de l’Agence nationale de sécurité des systèmes d’information (publié en 2004) précise à cet égard que la définition des habilitations doit respecter le principe du besoin d’en connaître : tout acteur aura exclusivement accès aux informations dont il a besoin dans l’accomplissement de sa tâche.
64. En l’espèce, la formation restreinte relève, en premier lieu, que tous les utilisateurs de X habilités à accéder à la partie " pointage " de l’outil ont accès aux données relatives à l’ensemble des agents des départements BUS et MRB. D’une part, tous les agents habilités accèdent donc à l’ensemble des catégories de données (l’ensemble des données relatives aux ressources humaines et ainsi, notamment, des données relatives aux jours de grève ou aux arrêts-maladies) sans distinction des fonctions ou des missions des agents. D’autre part, ces agents accèdent aux données relatives aux agents de leur unité opérationnelle mais également de toutes les autres unités opérationnelles (soit plus de 16 000 personnes), sans que la nécessité de cet accès pour l’ensemble des agents ait été établie par X. Au contraire, celle-ci a expliqué dans ses observations écrites être en train de mettre en œuvre un plan d’action visant à cloisonner l’accès de certains profils aux seules données de l’unité opérationnelle à laquelle ils sont rattachés et, ainsi, à définir une politique d’habilitation plus stricte.
65. En second lieu, la formation restreinte estime que la configuration de l’outil ne permet pas d’assurer la confidentialité des données au sens de l’article 32 du RGPD dans la mesure où tous les agents habilités peuvent extraire l’ensemble des données contenues dans l’outil. En effet, la délégation a constaté que la politique d’habilitation ne permettait pas de distinguer, selon les fonctions des agents habilités, si la capacité à extraire des données à caractère personnel était nécessaire au regard de leurs fonctions.
66. Par conséquent, la formation restreinte considère que la politique d’habilitation de l’outil X ne permet pas de garantir que les personnes habilitées ont accès aux seules données strictement nécessaires à leurs fonctions. Elle estime que la politique d’habilitation devrait être plus fine et permettre la création de davantage de profils différents, relatifs aux fonctions des agents ou aux centres de bus auxquels ils sont affectés, ainsi que X prévoit à présent de le mettre en place, a fortiori compte tenu du volume de données et de la sensibilité de certaines données accessibles dans l’outil. 
67. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le niveau de confidentialité des données à caractère personnel contenues dans cet outil n’est pas conforme aux exigences de l’article 32 du RGPD. 
2. Sur les habilitations d’accès aux fichiers de préparation des commissions de classement
68. La rapporteure souligne que la délégation a constaté que, au centre de bus d’X, les fichiers de préparation des commissions de classement étaient accessibles sur un serveur à tous les participants aux réunions d’arbitrage pour lesquelles ils étaient établis. Ainsi, ces fichiers préparatoires étaient accessibles, non seulement à la direction du centre et au service des ressources humaines, qui pouvaient en tout état de cause visualiser les données contenues dans ces fichiers sur X, mais également à tous les responsables d’équipe de ligne, qui ne sont pas habilités à consulter ces données dans X. Les treize responsables d’équipe de ligne avaient donc accès aux données à caractère personnel de tous les conducteurs de bus proposables à l’avancement du centre de bus (environ 800 conducteurs de bus sont affectés à ce centre de bus, dont une partie seulement est " proposable " chaque année).
69. La rapporteure considère que le fait que les fichiers préparatoires aux commissions de classement soient accessibles sur un serveur à l’ensemble des responsables d’équipes de ligne ne permet pas de garantir la confidentialité des données dans la mesure où ces fichiers contiennent de nombreuses données à caractère personnel d’agents, et notamment d’agents qui ne sont pas sous leur responsabilité.
70. En défense, X soutient que l’ensemble des managers habilités ont besoin, dans le cadre de la réunion préparatoire, d’avoir une visibilité sur les données relatives à l’ensemble des conducteurs de bus proposables d’une même unité opérationnelle, pour pouvoir procéder aux arbitrages. Elle précise que la mise à disposition de ces fichiers à l’ensemble des managers est nécessaire afin d’assurer la collégialité des décisions lors des réunions d’arbitrage en cause.
71. Au regard des dispositions de l’article 32 du RGPD précitées, la formation restreinte considère que la confidentialité des données contenues dans les fichiers préparatoires aux commissions de classement en cause en l’espèce n’est pas garantie lorsque les fichiers sont mis à disposition de l’ensemble des responsables d’équipe de ligne, sans distinction selon qu’ils s’agissent d’agents sous leur responsabilité ou non. En effet, elle relève tout d’abord que s’il est légitime pour les responsables d’équipe de ligne d’avoir accès aux données à caractère personnel des agents sous leur responsabilité en amont des commissions, en vue de se prononcer sur leur éventuel avancement, il n’apparaît pas proportionné que les données à caractère personnel de l’ensemble des conducteurs de bus du centre de bus soient à leur disposition sur un serveur.
72. La formation restreinte note ensuite que la pratique mise en cause par la rapporteure diffère de celle constatée dans les autres centres de bus contrôlés, où ces fichiers ne sont pas mis à la disposition des responsables d’équipe de ligne avant la réunion d’arbitrage, mais seulement projetés lors de ces réunions. Elle relève que cette pratique ne remet pas en cause la collégialité des décisions et, ainsi, satisfait la finalité du traitement, tout en assurant un plus haut degré de confidentialité des données. À cet égard, la formation restreinte considère que les risques associés à la perte de confidentialité des données, tels que la réutilisation de celles-ci, sont nettement moindres lorsque les données en cause sont seulement projetées, le temps d’une réunion, et non à disposition sur un serveur. 
73. Par conséquent, la formation restreinte considère que la pratique constatée dans les autres centres de bus contrôlés permet de considérer que le risque associé au fait que les fichiers en cause soient accessibles sur un serveur à tous les responsables d’équipe de ligne n’est pas proportionné à la finalité recherchée, c’est-à-dire la nécessité, pour les participants aux réunions d’arbitrage, d’avoir ponctuellement connaissance de ces données afin de participer aux arbitrages.
74. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les faits précités sont constitutifs d’un manquement à l’article 32 du RGPD.
IV. Sur les mesures correctrices et leur publicité
75. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
76. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
77. En premier lieu, sur le principe du prononcé d’une amende administrative, X soutient qu’une telle mesure n’est pas nécessaire. Elle considère notamment qu’il doit être tenu compte des circonstances de l’espèce et en particulier des mesures qu’elle a adoptées au cours de la procédure. Elle soutient également que la majorité des décisions rendues à l’encontre d’établissements publics n’étaient pas des sanctions financières alors que " les manquements semblaient concerner des faits semblables ".
78. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
79. La formation restreinte considère d’abord que X a fait preuve de défaillances graves en matière de protection des données à caractère personnel puisque des manquements sont constitués à des principes fondamentaux et élémentaires du RGPD que sont les principes de minimisation des données, de responsabilité, de limitation de la durée de conservation des données et de sécurité.
80. La formation restreinte relève que par le manquement au principe de minimisation des données à caractère personnel, X a fait preuve d’une négligence certaine, portant sur un principe fondamental du RGPD. En effet, des données relatives à l’exercice du droit de grève par un agent ont été rendues accessibles à des personnes qui n’avaient pas à en connaître. La formation restreinte relève que si, dans le cadre de certaines autres activités de traitement, le responsable de traitement pouvait traiter ces données, il en est autrement dans le cadre de l’évaluation des agents, pour laquelle le nombre de jours de grève par agent ne constituait pas une donnée pertinente. En outre, l’utilisation de ces données particulières, dans un contexte de prises de décisions relatives à la carrière de l’agent, peut lui être défavorable.
81. Ensuite, la formation restreinte relève que, même après avoir été informée de la violation et après avoir mené en concertation avec les organisations syndicales une procédure d’" alerte sociale ", X n’a pas pris toutes les mesures nécessaires pour assurer la mise en conformité de tous les centres de bus puisque la persistance du manquement à l’article 5.1.c) du RGPD a été constatée lors des contrôles, bien que X ait affirmé à la CNIL avoir mis en conformité l’ensemble des fichiers dans tous les centres de bus.
82. En outre, s’agissant du manquement relatif à la durée de conservation des données, la formation restreinte relève que X a déclaré, au cours du contrôle, considérer que la durée de conservation fixée était excessive, sans pour autant avoir mis en œuvre de manière effective des mesures permettant la mise en conformité de sa politique de durée de conservation des données.
83. La formation restreinte relève également que plusieurs manquements constatés ont concerné un nombre important de personnes, à savoir environ 16 000 agents du département BUS, ce qui a conduit une organisation syndicale à saisir la CNIL.
84. Enfin, la formation restreinte relève que les mesures de mise en conformité adoptées au cours de la procédure ne concernent pas tous les manquements et n’exonèrent pas, en tout état de cause, X de sa responsabilité pour le passé.
85. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 5-1-c), 5-1-e), 5-2 et 32 du RGPD.
86. En deuxième lieu, s’agissant du montant de l’amende, X met en avant les mesures prises pour remédier à l’ensemble des faits reprochés visés dans le rapport et son engagement à poursuivre l’ensemble de ces mesures. Elle soutient également que sa situation financière, principalement en raison de la crise sanitaire, doit être prise en considération. Enfin, elle fait valoir que le montant proposé par la rapporteure serait disproportionné au regard des précédentes décisions de la CNIL.
87. La formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à X un manquement aux articles 5-1-c), 5-1-e), 5-2 et 32 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
88. La formation restreinte rappelle également que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de l’organisme et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que X fait état d’un chiffre d’affaires en 2020 s’établissant à environ […] euros pour un résultat net de […] euros alors que le résultat net s’élevait à […] euros en 2019.
89. Dès lors, au regard du contexte économique causé par la crise sanitaire de la Covid-19, de ses conséquences sur la situation financière de X, de ses efforts de mise en conformité et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende administrative de 400 000 euros apparaît justifié.
90. En troisième lieu, s’agissant de la publicité de la sanction, X soutient qu’une telle mesure lui causerait une atteinte disproportionnée et fait notamment valoir qu’elle nuirait à sa stratégie de relance auprès des usagers et qu’elle serait néfaste pour les relations entretenues par X avec ses agents.
91. Au regard de la pluralité des manquements relevés, de leur persistance, de leur gravité et du nombre de personnes concernées, la formation restreinte considère que la publicité de la présente décision se justifie.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de X une amende administrative d’un montant de 400 000 (quatre cent mille) euros au regard des manquements constitués aux articles 5-1-c), 5-1-c), 5-1-e), 5-2 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la X à l’expiration d’un délai d’un an à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif au traitement de données à caractère personnel dénommé Fichier national automatisé des empreintes génétiques et modifiant les dispositions du code de procédure pénale ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) n° 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code civil, notamment son article 16-11 ;
Vu le code de procédure pénale, notamment ses articles 706-54 à 706-56-1-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2010-242 du 10 mars 2010 tendant à amoindrir le risque de récidive criminelle et portant diverses dispositions de procédure pénale ;
Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice ;
Vu le décret n° 2012-125 du 30 janvier 2012 relatif à la procédure extrajudiciaire d'identification des personnes décédées ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 6 juillet 2016 déterminant le nombre et la nature des segments d'ADN non codants nécessaires à la réalisation de rapprochements en parentalité dans le fichier national automatisé des empreintes génétiques ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le Fichier national automatisé des empreintes génétiques (FNAEG) est un fichier commun à la police et à la gendarmerie nationales. Il s’agit d’un fichier de police judiciaire qui fut créé à l’origine pour conserver les empreintes génétiques des personnes mises en cause ou déclarées coupables de certaines infractions, afin de faciliter l'identification des auteurs en cas de réitération. Ces infractions, listées à l’article 706-55 du code de procédure pénale (CPP), étaient initialement limitées à des crimes particulièrement graves et ont été étendues par la suite.
Le fichier contient également des empreintes génétiques recueillies à l’occasion des procédures judiciaires de recherche des causes de la mort d’une personne, ou d’une disparition inquiétante, ainsi que de procédures d’identification prévues par l’article 16-11 du code civil. A cet égard, la Commission souligne l’ambiguïté actuelle de l’article 706-54 du CPP et du renvoi à l’article 16-11 du code civil, quant au périmètre des procédures extra-judiciaires visées, et estime que, à tout le moins, le texte de cet article devrait à terme être clarifié. Dans le cadre de procédures d’identification de cadavres ou de recherche de personnes disparues, les empreintes utilisées sont alors principalement celles des cadavres non identifiés, afin de vérifier si leur identité n’est pas contenue dans la base, ou celles de proches de la personne disparue, afin de les comparer à un cadavre non identifié ou à des traces biologiques dont il est soupçonné qu’elles puissent provenir de la personne disparue, dont l’empreinte génétique n’est elle-même pas présente en base : la comparaison avec les empreintes de personnes de sa famille permet de déterminer la probabilité que le cadavre soit celui de la personne recherchée ou que la trace analysée en provienne. Le FNAEG contient également les empreintes issues des traces biologiques prélevées durant ces procédures (par exemple, sur le lieu de commission d’une infraction).
Les conditions de mise en œuvre du FNAEG, sur lesquelles la Commission s’est prononcée à plusieurs reprises, sont prévues aux articles législatifs 706-54 à 706- 56- 1- 1 du CPP, ainsi que R. 53-9 à R. 53-21 du même code. La Commission souligne deux garanties importantes prévues par le législateur pour la constitution de ce fichier : d’une part, l’empreinte n’est réalisée qu’à partir de segments non codants de l’ADN et il n’est donc pas possible en principe d’inférer des caractéristiques physiques à partir des données génétiques conservées en base ; d’autre part, dans la mesure où le fichier associe l’utilisation des informations génétiques contenues dans la base à plusieurs finalités distinctes (identification de l’auteur d’une infraction, identification d’un cadavre, aide à la recherche d’une personne disparue), l’article 706- 54 précité prévoit que les données enregistrées dans un cadre extra-judiciaire font l'objet d'un enregistrement distinct de celui des autres empreintes génétiques conservées dans le fichier .