AgentPublic/cnil huggingface dataset:
85. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des mesures correctrices à l’encontre de responsables de traitement ne recueillant pas le consentement explicite des personnes pour collecter et traiter leurs données " sensibles ", notamment dans ses délibérations n° 2016-405 du 15 décembre 2016 et n° 2016-406 du 15 décembre 2016 ainsi que dans sa délibération n° SAN-2017-006 du 27 avril 2017 dans laquelle elle a considéré que " le renseignement spontané de telles données n’exonère pas la société de l’obligation de recueillir le consentement exprès des personnes qui doivent être en mesure de manifester par une action positive leur assentiment au traitement de données sensibles, attestant ainsi que le consentement est donné en toute connaissance de cause ".
86. La formation restreinte relève donc que la simple volonté de recevoir une prestation de voyance et le fait de livrer spontanément des informations sensibles ne constituent pas un consentement explicite des personnes concernées. 
87. Elle considère que la société aurait dû mettre à la disposition des personnes auprès desquelles elle collecte des catégories particulières de données un moyen afin de s’assurer qu’elles y consentent de manière explicite par un acte positif clair.
88. D’autre part, le consentement recueilli au titre de l’article 9, paragraphe 2, a) précité, du RGPD doit se lire à la lumière de la définition posée à l’article 4, paragraphe 11, précité, du RGPD, ce qui implique qu’en l’espèce, pour consentir valablement, la personne concernée soit, au préalable, pleinement éclairée sur le caractère particulier des données qu’elle communique, notamment en ce que celles-ci peuvent révéler son état de santé et son orientation sexuelle, ainsi que sur l'usage qui sera fait de ces données.
89. La formation restreinte note que la société ne délivre pas d’information spécifique aux personnes concernées concernant la collecte et le traitement de leurs données de santé et informations relatives à leur orientation sexuelle.
90. Elle considère que la société aurait dû fournir aux personnes concernées une information spécifique, par exemple, lors de la création de leur compte utilisateur.
91. Par conséquent, la formation restreinte considère que la société ne recueille pas le consentement explicite des personnes concernées, de sorte qu’elle ne peut pas se prévaloir de l’exception à l’interdiction de collecter et traiter des catégories particulières de données, prévue à l’article 9, paragraphe 2, a), du RGPD.
92. En conséquence, la formation restreinte considère qu’en l’absence de recueil du consentement préalable et explicite des clients à la collecte de leurs données de santé et d’informations relatives à leur orientation sexuelle, un manquement à l’article 9 du RGPD est constitué. 
E. Sur le manquement relatif à l’obligation de transparence en application de l’article 12 du RGPD
93. L’article 12, paragraphe 1, du RGPD dispose que " le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c’est approprié, par voie électronique ".
94. La rapporteure fait grief à la société de ne pas fournir aux personnes concernées les informations visées à l’article 13 du RGPD de manière suffisamment accessible lors de la collecte de données à caractère personnel en vue de la création d’un compte utilisateur.
95. En défense, la société soutient qu’aucune disposition légale ne prescrit les modalités pratiques que le responsable du traitement se doit de respecter pour informer ses utilisateurs du traitement de données à caractère personnel. Elle indique, par ailleurs, que la séparation de sa politique de confidentialité et des " conditions générales de vente " est en cours. 
96. La formation restreinte rappelle que l’information est aisément accessible, au sens de l’article 12 du RGPD, si elle est fournie à l’utilisateur, sans que celui-ci ait besoin de la rechercher activement.
97. D’une part, la formation restreinte note que le formulaire de création d’un compte utilisateur ne comporte pas les informations relatives aux traitements de données à caractère personnel mis en œuvre par la société, ni de lien renvoyant vers de telles informations. 
98. Elle relève que, pour accéder à ces informations, l’utilisateur doit quitter le processus d’inscription afin de retourner sur la page d’accueil, la faire défiler jusqu’en bas, cliquer sur les conditions générales de vente de la société et rechercher activement dans ce document les informations relatives à la protection des données à caractère personnel. 
99. Dès lors qu’un parcours de plusieurs actions est nécessaire à l’utilisateur pour obtenir une information exhaustive relative à la protection des données, la formation restreinte considère que l’information n’est pas aisément accessible.
100. D’autre part, la formation restreinte constate que les informations se situent dans un document qui s’intitule " CGV ", qui comporte à la fois des informations générales sur les " conditions de vente ", les conditions d’utilisation du site web et des informations concernant les traitements de données à caractère personnel que la société met en œuvre. 
101. Dès lors que l’information se situe dans un document qui n’est pas facilement identifiable comme relatif à la protection des données à caractère personnel, la formation restreinte considère que l’information n’est pas aisément accessible.
102. La formation restreinte rappelle également, à titre illustratif, que dans ses lignes directrices sur la transparence du 11 avril 2018, le CEPD estime que " le critère " aisément accessible " signifie que la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder : par exemple, ces informations pourraient être communiquées aux personnes concernées directement ou au moyen d’un lien qui leur serait adressé […] ". Il recommande à titre de bonne pratique que " dans un contexte en ligne, un lien vers la déclaration ou l’avis sur la protection de la vie privée soit fourni au point de collecte des données à caractère personnel, ou que ces informations soient consultables sur la même page que celle où les données à caractère personnel sont collectées ". Ces lignes directrices précisent également que les informations " devraient être clairement différenciées des autres informations non liées à la vie privée telles que des clauses contractuelles ou des modalités d’utilisation générale ". Les lignes directrices indiquent également que "la personne concernée ne doit pas avoir à chercher activement les informations couvertes par [les articles 13 et 14] parmi d’autres informations telles que les conditions d’utilisation d’un site […] ".
103. Par conséquent, la formation restreinte considère que, sur le site web […], les modalités de délivrance de l’information relative à la protection des données à caractère personnel ne répondent pas aux exigences de transparence prévues à l’article 12 du RGPD.
F. Sur le manquement relatif à l’obligation d’information en application de l’article 13 du RGPD
104. L’article 13 du RGPD impose au responsable de traitement de fournir à la personne concernée différentes informations relatives notamment à son identité et ses coordonnées, aux finalités du traitement mis en œuvre, sa base juridique, les destinataires ou les catégories de destinataires des données, au fait que le responsable du traitement a l’intention d’effectuer un transfert de données vers un pays tiers. En outre, la réglementation impose, lorsque cela apparaît nécessaire pour garantir " un traitement équitable et transparent " des données personnelles en l’espèce, d’informer les personnes sur la durée de conservation des données, l’existence des différents droits dont bénéficient les personnes, l’existence du droit de retirer son consentement à tout moment et le droit d’introduire une réclamation auprès d’une autorité de contrôle.
105. La rapporteure observe que certaines informations mentionnées à l’article 13 ne sont pas communiquées aux utilisateurs sur le site web […], notamment la durée de conservation des données, leur droit à la portabilité et leur droit d’introduire une réclamation auprès d’une autorité de contrôle.
106. Par ailleurs, elle relève que l’échantillon des enregistrements communiqués à la délégation montre que, lors des appels téléphoniques, les personnes ne sont pas informées du fait que la conversation est enregistrée, de leur droit de s’y opposer, ni du fait que les données collectées lors de l’appel seront traitées par la société. 
107. En défense, la société indique être en cours de mise en conformité concernant l’insertion des mentions obligatoires manquantes dans sa politique de confidentialité. S’agissant de l’absence d’information lors des appels téléphoniques, la société indique avoir cessé de proposer des prestations de voyance par téléphone.
108. La formation restreinte prend acte de la mise en conformité en cours de la société concernant l’information des personnes et de l’arrêt des consultations par téléphone.
109. Toutefois, elle relève qu’il n’est pas contesté, qu’au jour des contrôles, certaines informations obligatoires au titre de l’article 13 du RGPD n’étaient pas communiquées aux utilisateurs du site web […] et que les prospects n’étaient pas informés, lors des appels, de l’enregistrement des conversations téléphoniques, de la possibilité de s’y opposer et des traitements qui étaient mis en œuvre à partir des données collectées à cette occasion. 
110. Par conséquent, la formation restreinte considère qu’un manquement à l’article 13 du RGPD est constitué, compte tenu, d’une part, de l’absence de complétude de l’information fournie aux utilisateurs, tant que la société n’a pas modifié la mention d’information sur son site web, et d’autre part, du défaut d’information des prospects au jour des contrôles. 
G. Sur le manquement relatif à l’obligation d’encadrer la relation entre le responsable du traitement et le sous-traitant en application de l’article 28 du RGPD
111. L’article 28, paragraphe 3, du RGPD prévoit que le traitement effectué par un sous-traitant pour un responsable de traitement est régi par un contrat qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable de traitement. Ce contrat prévoit en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement. 
112. La rapporteure relève que parmi les contrats et annexes de sous-traitance communiqués par la société, deux ne sont pas signés par les prestataires et d’autres ne comportent pas l’ensemble des mentions obligatoires.
113. En défense, la société ne conteste pas l’absence de signature par ses prestataires de deux des contrats de sous-traitance, ni l’absence de certaines mentions obligatoires devant figurer dans les contrats de sous-traitance communiqués. Elle demande toutefois à la formation restreinte de noter l’existence de ces accords, impliquant sa volonté d’être conforme à l’article 28 du RGPD.
114. La formation restreinte note, tout d’abord, que l’annexe du contrat d’infogérance, qui lie la société avec le sous-traitant à l’égard duquel elle impute la responsabilité de l’incident de sécurité, ne comporte pas l’ensemble des informations prévues à l’article 28, paragraphe 3, du RGPD et n’est pas signé par le prestataire. 
115. Ensuite, elle relève que le contrat conclu entre la société X et le prestataire en charge de la téléphonie ne comporte pas de clause de sous-traitance, au sens de l’article 28, paragraphe 3, du RGPD. 
116. Elle relève, enfin, que les annexes aux contrats conclus entre la société X et les partenaires d’affiliation comportent une clause de sous-traitance qui n’est pas conforme à l’article 28, paragraphe 3, du RGPD, puisqu’elle ne vise pas l’ensemble des mentions obligatoires, notamment l’obligation pour le sous-traitant de traiter les données à caractère personnel uniquement sur instruction documentée du responsable du traitement. Elle note, par ailleurs, que l’une de ces annexes n’est pas signée par le partenaire d’affiliation. 
117. La formation restreinte considère que ces faits ne permettent pas d’assurer une protection efficace des données à caractère personnel traités par le biais de garanties contractuelles.
118. En conséquence, la formation restreinte considère que ces faits constituent un manquement à l’article 28, paragraphe 3, du RGPD, ce que la société ne conteste pas au demeurant.
H. Sur le manquement relatif à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD
119. Aux termes de l’article 32 du RGPD, " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ; 
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
[…] ".
120. En premier lieu, la rapporteure relève que, lors de la création d’un compte utilisateur sur le site web […], les personnes peuvent choisir un mot de passe comportant un seul caractère. Par ailleurs, l’accès à l’outil CRM de la société s’effectue à partir d’un identifiant et d’un mot de passe créé soit par le président de la société et le salarié concerné, sans règles particulières concernant la complexité des mots de passe, ni modification automatique du mot de passe lors de la première connexion, soit par l’administrateur au moyen d’un générateur qui prévoit un mot de passe composé de neuf et douze caractères, dont des caractères alphanumériques et des caractères spéciaux. 
121. En défense, la société n’apporte pas d’éléments de réponse sur le manque de robustesse des mots de passe.
122. La formation restreinte rappelle qu’en application de l’article 32 du RGPD, pour assurer la protection des données à caractère personnel, il incombe au responsable de traitement de prendre des " mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ".
123. La formation restreinte considère que des règles de complexité des mots de passe trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par " force brute " ou " par dictionnaire ", qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent. 
124. Elle relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017, exigence confirmée dans sa délibération n° 2022-100 du 21 juillet 2022. 
125. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traitées. Les délibérations n° SAN-2019-006 du 13 juin 2019, n° SAN-2019-007 du 18 juillet 2019 et n° SAN-2022-018 du 8 septembre 2022 visent notamment l’insuffisante robustesse des mots de passe.
126. En l’espèce, la formation restreinte relève que les mots de passe des utilisateurs du site web [...] peuvent être composés d’un seul caractère.
127. Elle considère que le risque encouru par les personnes concernées est réel : un tiers ayant eu accès au mot de passe pourrait accéder aux données à caractère personnel présentes dans le compte de la personne concernée, consulter l’historique de sa consommation de crédit, et/ou changer le mot de passe de son compte, à l’insu de l’utilisateur. 
128. Par ailleurs, la formation restreinte relève l’absence de robustesse des mots de passe permettant aux salariés de la société d’accéder à son outil CRM, compte tenu de l’absence de règle de complexité lorsqu’ils sont créés par le président de la société et le salarié concerné, et de l’absence de mesures de sécurité complémentaire, lorsqu’ils sont créés par l’administrateur (mots de passe composés de neuf à douze caractères alphanumériques et spéciaux). 
129. La formation restreinte considère également que la procédure de création des mots de passe ne permet pas d’assurer la confidentialité des données puisque lorsque le mot de passe est créé par l’administrateur, celui-ci le transmet au président de la société afin qu’il le communique au salarié concerné et lorsqu’il n’est pas créé par l’administrateur, le président de la société le créé en lien avec le salarié concerné. 
130. Ces faits constituent un réel risque pour les personnes concernées : un tiers non habilité ayant eu accès au mot de passe pourrait accéder à un grand nombre de données à caractère personnel, dont des données sensibles.
131. Dès lors, la prise en compte de ces risques pour la protection des données à caractère personnel et de la vie privée des personnes conduit la formation restreinte à considérer que les mesures déployées pour garantir la sécurité des données en l’espèce sont insuffisantes. 
132. Dans ces conditions, eu égard aux risques encourus par les personnes, rappelés ci-dessus, ainsi que de la sensibilité de certaines données (données de santé, données relatives à l’orientation sexuelle, données bancaires), la formation restreinte considère que l’organisme a manqué aux obligations qui lui incombent en vertu de l’article 32 du RGPD.
133. En deuxième lieu, la rapporteure relève que le mécanisme utilisé par la société pour chiffrer les données bancaires présente des vulnérabilités (détermination à l’avance du vecteur d’initialisation, réutilisation de celui-ci et obsolescence de la bibliothèque utilisée), ce qui ne permet pas, eu égard à la sensibilité de ces données, de garantir un niveau de sécurité adapté au risque. 
134. En défense, la société soutient que son sous-traitant, la société […], aurait dû la conseiller sur le chiffrement des données. 
135. La formation restreinte rappelle que la protection des données bancaires nécessite la mise en place de mesures de sécurité accrues eu égard à leur caractère hautement personnel, telles que le chiffrement.
136. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que la société […] n’était pas en charge du chiffrement des données bancaires des clients de la société X mais de l’infogérance et de l’hébergement des données. 
137. La formation restreinte note également qu’il ressort des pièces du dossier que la société X a elle-même procédé au chiffrement des données bancaires de ses clients, et ce de manière non sécurisée. 
138. En effet, la formation restreinte observe que la liste CWE (Common Weakness Enumeration) du MITRE (organisation à but non lucratif américaine intervenant notamment dans l’ingénierie des systèmes et la technologie de l’information), qui énumère les faiblesses de logiciels, identifie notamment comme des vulnérabilités le fait de générer un vecteur d’initialisation prédictible avec le mode CBC, comme en l’espèce, et le fait de réutiliser un vecteur d’initialisation. La formation restreinte note que lorsque le vecteur d’initialisation n’est pas aléatoire mais déterminé, le message clair est toujours chiffré de la même manière. Il est donc possible de comparer plusieurs messages chiffrés et d’identifier les messages clairs auxquels ils correspondent. Par ailleurs, en réutilisant le vecteur d’initialisation, celui-ci est commun à toutes les données chiffrées avec la clé unique.
139. La formation restreinte relève également que Mcrypt, bibliothèque cryptographique utilisée par la société, a été considérée comme obsolète, puis supprimée en 2017, de sorte que le recours à cette fonctionnalité est déconseillé dans la documentation PHP.
140. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 32 du RGPD dès lors que le mécanisme mis en œuvre par la société X pour chiffrer les données bancaires de ses clients ne permet pas d’assurer un niveau de sécurité adapté au risque.
141. En troisième lieu, la rapporteure relève que, lors des contrôles, l’accès au site web [...] s’effectuait à l’aide du protocole " HTTP ", y compris la page relative à la collecte des données bancaires. Or, ce protocole n’est pas un protocole sécurisé, ce qui signifie que le site est vulnérable aux attaques et permet la lecture en clair des flux contenant des données à caractère personnel, dont des données bancaires, entre le navigateur de l’utilisateur et le serveur hébergeant le site.
142. En défense, la société indique avoir modifié son protocole " HTTP " en protocole TLS sur le site web [...], après la notification du rapport. 
143. La formation restreinte rappelle que, en application de l’article 32 du RGPD, il incombe au responsable de traitement de prendre des " mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ".
144. La formation restreinte relève que le protocole " HTTP " est un protocole de communication qui ne permet ni l’authentification du site web, ni le chiffrement des données lors de leur transmission vers les serveurs hébergeant le site web de la société, ce qui ne permet pas de garantir l’authenticité du site consulté, ni l’intégrité et la confidentialité des données échangées, exposant les données à caractère personnel traitées par le biais de ces pages à des risques d’écoute, d’interception ou de modification à l’insu de l’utilisateur, ce qui peut conduire à porter atteinte à la vie privée des personnes concernées. 
145. La formation restreinte relève à titre d’éclairage que la nécessité d’assurer la confidentialité des canaux de transmission de données à caractère personnel est soulignée par l’ ANSSI depuis 2013 notamment dans ses " Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur " qui précisent que " la mise en place de HTTPS sur un site ou une application web est une garantie de sécurité qui repose sur TLS pour assurer la confidentialité et l’intégrité des informations échangées, ainsi que l’authenticité du serveur contacté. L’absence de cette garantie peut entraîner de nombreux abus sans pour autant que l’intention soit malveillante ".
146. La formation restreinte relève également que la Commission recommande de façon constante depuis la publication de son guide " La sécurité des données personnelles " en 2018, de mettre en œuvre, à titre de précautions élémentaires, le protocole " TLS " en utilisant uniquement les versions les plus récentes et en vérifiant sa bonne mise en œuvre. 
147. La formation restreinte relève en outre que les données à caractère personnel en question sont des données hautement personnelles puisqu’il s’agit de données bancaires. Dès lors, la prise en compte de ces risques pour la protection des données à caractère personnel et de la vie privée des personnes conduit la formation restreinte à considérer que les mesures déployées pour garantir la sécurité des données, en l’espèce, sont insuffisantes dès lors que ces données transitent lors de leur transmission entre le navigateur de l’utilisateur et le serveur hébergeant le site.