AgentPublic/cnil huggingface dataset:
105. Ensuite, la formation restreinte précise que si la délibération n° 2017-012 du 19 janvier 2017 ayant pour objet d’apporter des recommandations relatives aux mots de passe, le guide de la CNIL relatif à la sécurité des données à caractère personnel et la note technique de l’ANSSI relative aux mots de passe cités dans les écrits du rapporteur n’ont certes pas de caractère impératif, ils exposent toutefois les précautions élémentaires de sécurité correspondant à l’état de l’art. Dès lors, la formation restreinte rappelle qu’elle retient un manquement aux obligations découlant de l’article 32 du RGPD et non du non-respect des recommandations, qui constituent au demeurant un éclairage pertinent pour évaluer les risques et l’état de l’art en matière de sécurité des données à caractère personnel.
106. Outre ces recommandations, la formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traités, et non pas seulement le résultant de l’existence d’une violation de données à caractère personnel. Les délibérations n° SAN-2019-006 du 13 juin 2019 et n° SAN-2019-007 du 18 juillet 2019 visent notamment l’insuffisante robustesse des mots de passe ainsi que leur transmission aux clients de la société par courriel, en clair (lisible dans le corps du message), après la création du compte.
107. Dans ces conditions, eu égard aux risques encourus par les personnes rappelés ci-dessus, la formation restreinte considère que les faits précités constituent un manquement à l’article 32 du RGPD dès lors que la société transmet par courriel, en clair, les mots de passe des utilisateurs lors de leur souscription à une offre auprès de la société [...].
108. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société atteste de la mise en œuvre obligatoire du renouvellement des mots de passe des utilisateurs lors de leur première connexion. Le mot de passe demandé par la société est conforme aux préconisations de la CNIL contenues dans sa recommandation de 2017 relative aux mots de passe. En outre, la formation restreinte relève que la société s’engage à ne plus transmettre les mots de passe des nouveaux abonnés en clair par courriel mais, à compter de la fin mars 2022, à ce que ces derniers créent eux-mêmes leur mot de passe, qui devra être conforme aux préconisations de la CNIL en la matière.
III. Sur les mesures correctrices et leur publicité
109. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
110. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
111. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas justifiée. En effet, s’agissant des manquements relatifs à l’exercice des droits d’accès et d’opposition, la société considère que les plaintes qui sous-tendent ces manquements présentent un caractère isolé et, qu’en tout état de cause, elle a répondu aux demandes d’accès et pris en compte les demandes d’opposition des plaignants. S’agissant du manquement à l’obligation de protéger les données dès la conception, la société considère que le traitement du numéro de téléphone correspondant à la ligne mobile principale résiliée est nécessaire aux besoins de la bonne exécution du service de téléphonie mobile. S’agissant du manquement relatif à la sécurité des données, la société considère qu’en l’absence d’une violation de données à caractère personnel, la transmission en clair des mots de passe des utilisateurs n’est pas une " violation caractérisée de l’obligation de sécurité ".
112. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
113. La formation restreinte considère d’abord que la société a fait preuve d’une négligence certaine s’agissant de principes fondamentaux du RGPD puisque quatre manquements sont constitués, portant notamment sur les droits des personnes et sur des mesures élémentaires en lien avec la sécurité des données à caractère personnel. La formation restreinte ajoute que plusieurs manquements ont donné lieu à des plaintes. Elle souligne en outre, s’agissant du manquement relatif à la sécurité des données, que la transmission par courriel, en clair, des mots de passe des utilisateurs lors de leur souscription à une offre auprès de la société [...], peut présenter un risque pour la vie privée des personnes concernées.
114. La formation restreinte relève ensuite que la société [...] est un acteur particulièrement important du secteur des télécommunications puisqu’elle dénombrait, en décembre 2020, environ […] abonnés aux offres de téléphonie mobile, […]. La formation restreinte observe également que la société, en sa qualité d’opérateur de téléphonie mobile, est au cœur de l’acheminement des flux de données à caractère personnel quotidiens de nombreuses personnes et doit dès lors faire preuve d’une particulière rigueur dans la gestion de la sécurité des données à caractère personnel concernées.
115. Enfin, la formation restreinte relève que les mesures de mise en conformité mises en place à la suite de la notification du rapport de sanction n’exonèrent pas la société de sa responsabilité pour les manquements constatés.
116. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 12, 15, 21, 25 et 32 du RGPD.
117. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. En l’espèce, la formation restreinte constate que les plaintes ayant donné lieu à des manquements apparaissent extrêmement isolées et peu nombreuses - leur nombre, de sept, doit être rapporté au nombre d’abonnés, […] -, de sorte que ces manquements ne peuvent aucunement être regardés comme ayant un caractère systémique. La formation restreinte tient également compte de l'activité de la société et de sa situation financière.
118. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 300 000 euros apparaît justifié.
119. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions des articles 12, 15, 21, 25 et 32 du RGPD a été proposée par le rapporteur lors de la notification du rapport.
120. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonction du rapporteur.
121. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité de ses traitements avec les dispositions des articles 12, 15, 21, 25 et 32 du RGPD. Elle considère dès lors qu’il n’y a plus lieu de prononcer d’injonction.
122. En dernier lieu, s’agissant de la publicité de la sanction, la société soutient qu’une telle mesure serait disproportionnée au regard des manquements retenus et du faible nombre de plaintes visées. Elle considère également que cette peine de publicité complémentaire porterait un dommage irréversible à sa réputation.
123. La formation restreinte considère que la publicité de la sanction se justifie au regard de la pluralité des manquements relevés, de leur persistance, et du nombre de personnes concernées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société [...] une amende administrative d’un montant de 300 000 (trois cent mille) euros pour les manquements aux articles 12, 15, 21, 25 et 32 du RGPD ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique d’une demande d’avis concernant trois projets d’arrêtés mettant en œuvre un traitement de données à caractère personnel relatif à la traçabilité des déchets, des terres excavées et sédiments ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 31 ;
Vu le code de l’environnement, notamment ses articles L. 541-7, R. 541-45, R. 541-43 R. 541-43-1 et R. 541-48 du code de l’environnement
Sur la proposition de Monsieur Alain DRU, commissaire, et après avoir entendu les observations de Monsieur Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
 
La Commission nationale de l’informatique et des libertés a été saisie, sur le fondement de l’article 31 de la loi du 6 janvier 1978 modifiée, par la ministre de la transition écologique, d’une demande d’avis sur trois projets d’arrêtés :
un projet d’arrêté mettant en œuvre un traitement de données à caractère personnel relatif à la traçabilité des déchets dangereux et des déchets contaminés par des polluants organiques persistants ( déchets POP ) dénommé système de gestion des bordereaux de suivi de déchets ;
un projet d’arrêté mettant en œuvre un traitement de données à caractère personnel relatif à la traçabilité des déchets dénommé registre national des déchets ;
un projet d’arrêté mettant en œuvre un traitement de données à caractère personnel relatif à la traçabilité des terres excavées et sédiments dénommé registre national des terres excavées et sédiments .
 
Ces projets d’arrêtés sont pris en application de l’article L. 541-7 du code de l’environnement et du décret n° 2021-321 du 25 mars 2021 relatif à la traçabilité des déchets, des terres excavées et sédiments qui prévoient la mise en œuvre des exigences de traçabilité des déchets ainsi que des obligations de transmission par voie électronique par certains acteurs économiques des informations associées vers trois bases de données nationales dédiées : le registre national des déchets, le registre national des terres excavées et sédiments, le système de gestion des bordereaux et de suivi de déchets. Les trois projets d’arrêtés prévoient la mise la mise en œuvre et les modalités de traitements de données de ces trois systèmes d’information.
La Commission prend acte de ce que les traitements mis en œuvre par ces trois systèmes d’informations ont pour finalité la traçabilité des déchets et des terres excavées et sédiments et ont pour objet la constatation des infractions pénales relatives à la gestion des déchets, listées par les articles L. 541-46 et R. 541-78 du code de l’environnement, l’établissement de statistiques pour l’observation de la gestion des déchets et la prévention des atteintes à l’environnement. La direction générale de la prévention des risques est responsable des traitements mis en œuvre.
 
Sur les durées de conservation
 
L’article 3 des trois projets d’arrêtés prévoit que la durée de conservation des données à caractère personnel des personnes concernées est de six ans et de trente ans pour les informations liées à la localisation géographique.
S’agissant des données liées à la localisation géographique conservées dans les registres, la Commission prend acte des précisions du ministère selon lesquelles il s’agit de données de localisation expurgées de toute donnée à caractère personnel.
Le ministère a précisé que les données relatives à l'identité des personnes concernées qui seraient enregistrées sur les bordereaux ou les registres électroniques seraient conservées en base active pour une durée de six ans à l’issue de laquelle elles seront supprimées. La Commission s’interroge sur la nécessité de conserver ces données en base active pour une telle durée. A cet égard, elle invite le ministère à limiter la durée de conservation en base active au strict nécessaire au regard de l’objectif poursuivi par le traitement, et à fixer une durée de conservation en base d’archivage intermédiaire le cas échéant. 
Les trois projets d’arrêtés prévoient que les données relatives à l’identité des utilisateurs déclarant des informations et permettant la connexion aux systèmes d’information seront conservées pour une durée de six ans. A cet égard la Commission précise que ces données peuvent être conservées en base active tant que la personne concernée dispose d’un accès à un compte utilisateur. Ces données pourront ensuite être conservées en base d’archivage intermédiaire pour une durée de six ans.
 
Ces durées de conservation n’appellent pas d’observation particulière eu égard aux justifications apportées. Cependant, la Commission invite le ministère à modifier les projets d’arrêtés afin d’y intégrer les durées de conservation effectivement retenues.
 
Sur l’information et les droits des personnes concernées
Le ministère a précisé que les personnes concernées seront informées sur le site de Trackdéchets et sur celui consacré au registre national et que cette information contiendra l’ensemble des informations exigées par l’article 13 du RGPD.
 
L’article 6 des trois projets d’arrêtés prévoit que les personnes concernées disposent des droits d’accès et de rectification de leurs données à caractère personnel.
 
Le ministère a précisé que le droit à la limitation du traitement s’applique au traitement mis en œuvre. A cet égard, la Commission invite le ministère à apporter cette précision dans les projets d’arrêtés.
 
La Commission prend acte de ce que le droit d'opposition et le .
 
La Commission rappelle que les personnes concernées devront être informées de manière complète et dans les conditions des articles 12, 13 et 14 du RGPD. Elles devront notamment être informées des mises en relation et des durées de conservation retenues.
 
Sur les destinataires et les mises en relation avec les systèmes 
d’information
 relatifs à la traçabilité des déchets et des terres excavées et sédiments
L’article 4 des trois projets d’arrêtés prévoit que les agents au sein du service des études statistiques du ministère chargé de l’environnement peuvent accéder à la totalité ou à une partie des données. Si cet accès paraît légitime, la Commission invite le ministère à mentionner l’existence d’une finalité relative à la réalisation d’opérations statistiques dans les trois projets d’arrêtés.
La Commission relève que plusieurs mises en relation entre les traitements ou avec d’autres traitements sont prévues, et plus particulièrement :
il est prévu que le système de gestion des bordereaux de suivi de déchets alimentera automatiquement et en temps réel le registre national des déchets et le registre national des terres excavées et sédiments lorsque les données devant être transmises sont intégrées aux bordereaux ;
il est également prévu que les trois traitements pourront être directement alimentés en données par échanges informatisés de données à partir des logiciels informatiques internes des entreprises.
Par ailleurs, de façon à mettre en œuvre le principe du dites-le nous une fois , la Commission relève qu’une alimentation de l’application GISTRID relative aux transferts transfrontaliers de déchets par les informations issues de l’application Trackdéchets et du registre national pourrait également être mise en place, de façon à faciliter le remplissage par les entreprises de leurs demandes de transferts.
 
Sur la sécurité et la confidentialité des données
 
Le dossier fourni à la Commission ne comporte pas d’éléments suffisamment précis permettant d’évaluer la conformité des mesures de sécurité et de confidentialité des données envisagées.
La Commission rappelle que le traitement Trackdéchets étant un téléservice d’une autorité administrative au sens de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10 et 12 de l’ordonnance susvisée. La Commission rappelle qu’il revient au responsable de traitement d’attester formellement de la sécurité de celui-ci au travers une homologation RGS et de publier l’attestation sur le site du téléservice Trackdéchets .
 
Afin d’assurer la sécurité du téléservice, la Commission invite le ministère à réaliser une analyse d’impact relative à la protection des données afin de limiter les risques pesant sur les personnes concernées, ainsi qu’à appliquer les recommandations techniques relatives à la sécurité des sites web publiées par l’Agence nationale de la sécurité des systèmes d’information dans sa note technique recommandations pour la sécurisation des sites web .
La Présidente
Marie-Laure DENIS
La Commission a été saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel. Ce traitement, dont la finalité présente un caractère d’intérêt public, relève de la procédure prévue aux articles 66, 72 et suivants de la loi du 6 janvier 1978 modifiée.
Responsable de traitement
Le Centre hospitalier universitaire de Clermont-Ferrand
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer II du 18 juin 2021.
Finalité 
Étude portant sur l’impact de l’utilisation d’un outil d’aide à la décision de contention mécanique des patients hospitalisés en réanimation, intitulée "ARBORea".
Points de non-conformité à la méthodologie de référence
La Commission prend acte que le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence vitale immédiate) et des destinataires des données directement identifiantes
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR001.
Catégories particulières de données traitées (autres que données de santé)
La collecte des nom, prénom, ainsi que des coordonnées (postales et téléphoniques) est nécessaire pour assurer le suivi des patients qui en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
(Articles 13,14 et suivants du RGPD et articles 69 et suivants de la loi informatique et libertés )
S’agissant des modalités d’information en cas d’inclusion en situation d’urgence : 
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
 
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L.1122-1-3 du code de la santé publique.
Transferts hors Union européenne (Chapitre V du RGPD)
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage
Base active : quatre ans et trois mois.
Archivage : quinze ans.
Les données nominatives et les coordonnées des participants seront conservées pendant deux ans et quatre mois puis détruites.
Réutilisation des données 
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission.
AUTORISE
 le CENTRE HOSPITALIER UNIVERSITAIRE DE CLERMONT-FERRAND à mettre en œuvre le traitement, en application de l'article 13 de la loi précitée et de la délibération n° 2019-021 du 28 février 2019 portant délégation d'attributions de la Commission nationale de l’informatique et des libertés à son président et à son vice-président délégué.
La Présidente,
 
M.-L. Denis