AgentPublic/cnil huggingface dataset:
prononcer à l’encontre de la société [X], une injonction de modifier, sur le site web " [V].com ", les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moyen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement ;
assortir l’injonction d’une astreinte de cent mille euros (100 000 euros) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication ;
adresser sa délibération à la société [Z] en vue de son exécution.
Le président
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Mesdames Anne DEBET et Christine MAUGÜÉ, et Messieurs Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu les articles L. 640-1 et suivants du code de commerce ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2020-018 du 8 décembre 2020 prononçant des mesures correctrices à l’encontre de la société […] ;
Vu le jugement prononcé le 22 février 2021 par le tribunal de commerce de Nanterre arrêtant le plan de cession de la société […] à la société […] (N° RG : […]) ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La Commission nationale de l’informatique et des libertés (ci-après "la CNIL "ou "la Commission ") saisie de plusieurs plaintes, a effectué des contrôles en mai 2019 et février 2020 auprès de la société […], spécialisée dans la préparation et la livraison de repas à destination d’employés de bureaux.
À cette occasion, la CNIL a constaté plusieurs manquements concernant le traitement de données personnelles de prospects et de clients.
Par délibération n° 2020-018 du 8 décembre 2020, notifiée le 31 décembre 2020, la formation restreinte, retenant que la société […] avait manqué à plusieurs obligations prévues par l’article 34-5 du code des postes et des communications électroniques et l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après "le Règlement "ou "le RGPD "), lui a enjoint de mettre en conformité les traitements avec les obligations résultant de ces textes :
"s’agissant du manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques :
Justifier de la suppression de l’ensemble des données à caractère personnel antérieurement collectées sans le consentement des prospects ;
s’agissant du manquement à l’obligation de respecter le droit d’accès :
Satisfaire pleinement aux demandes de droits d’accès en communiquant copie de l’ensemble de leurs données à caractère personnel détenues aux demandeurs, ainsi que le cas échéant, les informations relatives à la source d’où proviennent leurs données ".
Cette injonction était assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
La société […] n’a pas justifié de la mise en conformité de ses traitements.
Le 20 janvier 2021, elle a été placée en liquidation judiciaire avec poursuite d’activité et, le 22 février 2021, le tribunal de commerce de Nanterre a retenu l’offre de reprise en plan de cession présentée par la société […] et ordonné la cession de la société […].
II.Motifs de la décision
La cessation d’activité de la société […], intervenue le 22 février 2021, ne lui permettait plus de mettre ses traitements de données à caractère personnel en conformité avec le CPCE et le RGPD, alors que le délai qui lui avait été accordé à cette fin par la délibération n° 2020-018 du 8 décembre 2020 n’était pas expiré.
Il ne peut donc y avoir lieu à liquidation d’une astreinte pour non-exécution de l’injonction.
Il convient en conséquence de clore la présente procédure, étant observé que le cessionnaire ayant repris tout ou partie des activités de la société […] n’a pas été mis dans la cause.
La présente décision sera rendue publique comme l’avait été la délibération no 2020-018 du 8 décembre 2020.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte vis-à-vis de la société […] ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à compter du 6 janvier 2023.
Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie d'un projet de décret visant à modifier les dispositions du décret n° 2020-551 du 12 mai 2020 applicables au dispositif SI-DEP, suite à l'adoption de la loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique.
Les modifications apportées visent à :
- ajouter une finalité au traitement afin de permettre aux autorités compétentes d'adapter la durée des mesures individuelles de mise en quarantaine ou de placement et de maintien en isolement prévues aux 3° et 4° de l'article L. 3131-15 et au 2° du I de l'article L. 3131-1 du même code , et de préciser les données pouvant être traitées dans ce cadre ainsi que les personnes habilitées à en être destinataires ;
- préciser qu'un justificatif d'absence de contamination par la covid-19 ou un certificat de rétablissement ne pourront être utilisés afin de satisfaire aux obligations mentionnées au II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 et aux articles 12 et 13 de la loi n° 2021-1040 du 5 août 2021 que dans certains cas particuliers via l'ajout des termes le cas échéant ;
- permettre l'ajout de certaines informations relatives à la vaccination au sein des codes QR générés par SI-DEP.
La Commission rappelle que l'intervention du législateur pour la mise en œuvre des systèmes d'information SI-DEP et Contact Covid se justifie par la nécessité d'aménager une dérogation aux dispositions relatives au secret médical garanti par le CSP.
Cet aménagement a pour effet d'entraîner le partage de données sensibles, susceptibles de concerner l'ensemble de la population, entre diverses catégories d'acteurs.
La Commission souligne que l'atteinte portée à la vie privée par les mesures qui rendent nécessaires ces traitements de données à caractère personnel n'est admissible que si elles constituent la réponse appropriée pour ralentir la propagation de l'épidémie. En particulier, s'agissant de l'utilisation d'outils et de systèmes d'information dans le cadre de la lutte contre la covid-19, et comme elle l'a rappelé à maintes reprises, la Commission invite le Gouvernement à évaluer scientifiquement l'apport de ces outils à sa politique sanitaire et à lui transmettre cette évaluation, qui permettrait de mieux apprécier la proportionnalité des traitements mis en place.
S'agissant de la finalité d'adaptation de la durée des mesures de quarantaine et d'isolement :
L'article 1er du projet vise à modifier l'article 8 du décret n° 2020-551 afin de prévoir que la centralisation des résultats d'examens de dépistage virologique ou sérologique du virus SARS-CoV-2 dans SI-DEP permet aux autorités compétentes d'adapter la durée des mesures individuelles de mise en quarantaine ou de placement et de maintien en isolement prévues aux 3° et 4° de l'article L. 3131-15 et au 2° du I de l'article L. 3131-1 du même code . Ces dispositions renvoient :
- pour l'article L. 3131-15-I 3° et 4° du CSP, à la faculté du Premier ministre d'ordonner des mesures ayant pour objet la mise en quarantaine des personnes susceptibles d'être affectées ou de placement et de maintien en isolement des personnes affectées, par décret pris sur le rapport du ministre chargé de la santé, et aux seules fins de garantir la santé publique dans les circonscriptions territoriales où l'état d'urgence sanitaire est déclaré ;
- pour l'article L. 3131-I 2° du CSP, aux mesures de mise en quarantaine ou de placement et de maintien en isolement, dans les conditions prévues au II des articles L. 3131-15 et L. 3131-17 du même code.
L'ajout de cette finalité, qui est la conséquence nécessaire des dispositions prévues par la loi, conduit à introduire, à côté des finalités sanitaires, une finalité liée à la réduction, au maintien ou à la prolongation de la durée de mesures de quarantaine et d'isolement grâce à la vérification des résultats des examens de dépistage. Elle relève que cette finalité n'est pas de nature répressive, ainsi que l'a confirmé le ministère, et relève donc du RGPD.
La Commission recommande traditionnellement que la mise en œuvre de traitements liés aux mesures de contrainte que peuvent imposer les pouvoirs publics soit distinguée, dans la mesure du possible, de celles permettant l'exercice d'autres activités de service public.
En l'espèce, le ministère entend déroger à ces principes en raison d'un contexte sanitaire exceptionnel. La Commission estime qu'en raison de l'urgence et de la très grande proximité des données actuellement présentes dans SI-DEP avec celles dont auront besoin les services préfectoraux pour adapter la durée des mesures de quarantaine et d'isolement, la création d'un nouveau fichier ne semble pas adaptée.
Le ministère a indiqué, après avoir précisé que les données issues du traitement SI-DEP seront uniquement utilisées aux fins de réduire, maintenir ou augmenter la durée des mesures, que la nature exacte de leur adaptation, leur caractère systématique et leur délai de mise en œuvre pourraient être amenés à évoluer en fonction des recommandations sanitaires et, le cas échéant, des spécificités territoriales. Interrogé sur la procédure selon laquelle ces adaptations pourraient avoir lieu, le ministère a indiqué que les modalités étaient en cours de définition au niveau interministériel.
La Commission demande en conséquence que soient déterminées très clairement et de manière exhaustive les modalités selon lesquelles ces adaptations pourraient intervenir. En tout état de cause, elle rappelle que l'utilisation de SI-DEP se trouvera circonscrite, dans ce cadre, à la faculté de réduire, maintenir ou augmenter la durée d'une mesure de quarantaine ou d'isolement, et exclut, de manière générale, le contrôle du respect de cette mesure.
La Commission invite le ministère à établir de manière formelle et harmonisée les modalités de réalisation de ces adaptations et à en informer les agents en charge, afin que soit clairement établi le périmètre de leurs missions et habilitations. La Commission demande en outre à être informée de ces modalités.
S'agissant des données traitées :
Le projet de décret prévoit l'ajout d'un 6° au II de l'article 10 du décret afin de fixer la liste des destinataires des données enregistrées dans le traitement, en y ajoutant les agents des services préfectoraux individuellement désignés et spécialement habilités et de dresser la liste des catégories de données dont ils seraient rendus destinataires en vue de l'adaptation de la durée des mesures de quarantaine ou d'isolement.
Les données concernées sont :
- les données d'identification de la personne ayant fait l'objet d'un examen de dépistage, comprenant notamment le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ;
- les coordonnées de la personne ou d'une personne de confiance ;
- les caractéristiques techniques du prélèvement ;
- les informations relatives au résultat des examens de dépistage virologique ou sérologique .
La Commission s'interroge sur la nécessité pour les agents préfectoraux, au vu des finalités poursuivies pour l'exercice de leurs missions, de disposer de l'ensemble des données listées dans le décret dans les catégories suivantes : données relatives aux caractéristiques techniques du prélèvement et informations relatives aux examens de dépistage virologique ou sérologique . En effet, il semble que l'objectif poursuivi, à savoir l'adaptation de la durée d'une mesure en fonction des dates et des résultats d'examens de dépistage virologique, pourrait être atteint en ayant accès à l'information permettant limitativement de déterminer la date, le résultat du test et, dans l'hypothèse où cette information serait pertinente au regard des modalités d'adaptation envisagées, le type d'examen virologique réalisé (antigénique ou RT-PCR), d'une personne soumise à une mesure de quarantaine ou d'isolement. A cet égard, la Commission prend acte de ce que le ministère s'est engagé à modifier le projet de décret afin que les données accessibles aux agents des préfectures soient limitées aux date et heure du prélèvement, nécessaires pour évaluer la validité des tests, au type d'examen réalisé et au résultat de l'examen.
Le ministère a précisé que le NIR pouvait être traité en tant qu'identifiant national de santé (INS) dans SI-DEP. La Commission attire l'attention du ministère sur le fait que le NIR, traité en tant qu'INS, peut différer du NIR servant à identifier les personnes dans des traitements mis en œuvre à d'autres fins (par exemple dans le cas du traitement du NIR de l'assuré pour la prise en charge d'un ayant droit, ou de traitements concernant des mineurs, pour lesquels le NIR utilisé pourra être celui de l'un ses représentants légaux). Selon les précisions du ministère, la nouvelle finalité, mise en œuvre dans le cadre du projet de décret et visant à permettre aux autorités publiques d'adapter la durée des mesures individuelles de quarantaine ou d'isolement, implique le traitement du NIR dans l'unique but de certifier l'identité des personnes. La Commission en prend acte. Elle invite néanmoins le ministère à s'assurer que les agents des services préfectoraux ne seront pas destinataires du NIR en tant qu'INS pouvant figurer dans SI-DEP, dans l'hypothèse où il diffèrerait du NIR utilisé en dehors du champ de la prise en charge sanitaire et médico-sociale. Elle l'invite également à s'assurer que le NIR des représentants légaux des personnes mineures ne sera pas traité par les agents des services préfectoraux afin de les identifier, dans l'hypothèse où elles seraient soumises à une mesure de quarantaine ou d'isolement.
Elle estime en effet qu'un tel accès ne s'inscrirait pas dans le cadre des dispositions législatives et réglementaires applicables aux traitements comprenant l'INS, prévues par les articles L. 1111-8-1 et R. 1111-8-1 et suivants du CSP.
L'article 9 modifié par le projet de décret prévoit que les codes QR générés par SI-DEP pourront contenir les données relatives à la vaccination mentionnées au 2° de l'article 9 du décret (statut vaccinal, nom du vaccin et date de la ou des injections). Le ministère a précisé qu'un tel ajout vise à permettre d'établir un passe vaccinal valide dans divers cas actuellement prévus par la loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique.
La Commission relève que, dans un premier temps, seule la mention primo-vaccination (via le sigle PV ) sera intégrée afin de permettre l'émission d'un justificatif d'engagement dans un schéma vaccinal valant justificatif de statut vaccinal pour la durée nécessaire à l'achèvement de ce schéma. La rédaction du projet de décret permettra toutefois de rendre opérationnels d'autres cas d'usages envisagés par les textes, tel que le cumul des justificatifs pour certains lieux.
La Commission considère que la limitation des informations relatives à la vaccination à celles mentionnées au 2° de l'article 9 du décret est pertinente au regard des objectifs poursuivis.
S'agissant des destinataires :
Le projet d'article 10-II-6° du décret ajoute les agents individuellement désignés et spécialement habilités des services préfectoraux aux destinataires de certaines données de SI-DEP, dans la limite de leur besoin d'en connaître ; il n'est pas envisagé que ces agents transmettent ces informations à des tiers.
La Commission rappelle que seuls ces agents devront pouvoir accéder à des données concernant des personnes soumises à une mesure de quarantaine ou d'isolement et qu'ils ne devront avoir accès qu'à des données concernant des personnes soumises à une mesure de mise en quarantaine ou d'isolement en cours au moment de la vérification et relevant de leur compétence, déterminée en fonction de celle du préfet dont ils dépendent, habilité à prendre la mesure concernée, définie à l'article R. 3131-19 du CSP, et, le cas échéant, en fonction du lieu d'exécution de celle-ci.
Enfin, dans l'hypothèse où ces données devraient faire l'objet d'un traitement autre qu'une simple consultation par les services préfectoraux, telle qu'une conservation, la Commission rappelle que cette durée ne pourra excéder celle strictement nécessaire à l'adaptation de la mesure et au prononcé de la décision afférente, conformément au RGPD et à la loi informatique et libertés .
Sur l'information des personnes :
L'information des personnes concernées par ce traitement et les modifications qui lui sont apportées, s'agissant notamment du dispositif et de la procédure d'adaptation de la durée de la mesure de quarantaine ou d'isolement, constitue une garantie essentielle pour leur permettre de disposer des renseignements nécessaires et des moyens de faire valoir leurs droits. A cet égard, le ministère a précisé que les mentions d'information relatives au traitement SI-DEP seront complétées de la nouvelle finalité poursuivie par le traitement, ainsi que des destinataires des données. La Commission en prend acte.
La Commission prend par ailleurs acte de ce que le ministère s'est engagé à ce que l'information prévue à l'article 12 du décret soit transmise aux personnes soumises à la mesure de quarantaine ou d'isolement et aux personnes de confiance visées à l'article 9-3° du décret au moment du prononcé de la mesure.
Enfin, elle demande au ministère des solidarités et de la santé, à la CNAM ainsi qu'aux représentants de l'Etat dans le département d'informer également le grand public des modifications apportées au traitement SI-DEP et des modalités d'adaptation de la durée des mesures de quarantaine et d'isolement.
Sur la sécurité du dispositif SI-DEP :
Le système, mis en place en urgence et n'ayant pas vocation à être mis en œuvre de manière pérenne, a vu son existence prolongée et ses modalités de mise en œuvre régulièrement modifiées du fait de la crise sanitaire. La Commission souligne que le ministère s'est engagé à mettre à jour l'analyse d'impact sur la protection des données relative au traitement SI-DEP préalablement à la mise en œuvre des évolutions prévues par le projet de décret et lui a fait parvenir une analyse de risque de type EBIOS.
La Commission rappelle que la mise à jour de l'analyse d'impact devra intervenir préalablement à la mise en œuvre des modifications envisagées par le projet de décret soumis à la Commission.
Plus spécifiquement, la Commission rappelle au ministère que la persistance de la pandémie nécessite que des mesures de sécurité renforcées soient mises en place, dans une logique de défense en profondeur.
La présidente,
M.-L. Denis
La Présidente
X
[…]
Paris, le 26 janvier 2022
LRAR no […]
Par mail : […]
Références à rappeler dans toute correspondance :
N/Réf. : […] -CTX-2021-097 
Monsieur le Président,
Je fais suite à votre courrier du 12 janvier 2022 en réponse à la décision n° 2021-093 que j’ai prise le 4 octobre 2021 mettant en demeure la société X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier concernant votre société ainsi que de la procédure de contrôle n° 2021-197C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération du manquement visé dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, je pourrai saisir la formation restreinte de la CNIL, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement, afin que soit prononcée, le cas échéant, l’une ou plusieurs des sanctions prévues par les articles 20 et suivants de la loi du 6 janvier 1978.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, mes salutations distinguées.
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le secrétaire d'Etat chargé du numérique d’une demande d’avis concernant les conditions et modalités de l’éventuelle mise en œuvre de l’application StopCovid au regard des règles françaises et européennes de protection des données à caractère personnel ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°e) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-Laure DENIS, Présidente, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :