AgentPublic/cnil huggingface dataset:
Si la formation restreinte relève que la société a coopéré tout au long de la procédure avec les services de la CNIL, elle considère que les défauts de sécurité, qui ont permis la réalisation de la violation de données , comprenant à la fois les intrusions sur le serveur FTP et la diffusion du fichier en ligne, résultent d’une négligence des règles élémentaires de sécurité des systèmes d’information qui a conduit à rendre accessibles à des tiers non autorisés les données à caractère personnel traitées par la société.
La formation restreinte relève en outre que, le fait que la société […]ait traité des données à caractère personnel au-delà des instructions données par les responsables de traitement et ait donc commis un manquement à l’article 29 du RGPD a contribué à aggraver la violation, puisque des commentaires qui n’auraient pas dû être extraits se sont ensuite retrouvés dans le fichier diffusé en ligne et accessible sur les forums.
La formation restreinte rappelle enfin que les différents documents encadrant les relations contractuelles entre la société […] et les laboratoires ne comportent pas les mentions requises par l’article 28 du RGPD, ce qui n’est également pas de nature à assurer une protection efficace des données à caractère personnel traitées par le biais de garanties contractuelles. 
En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 28, paragraphe 3, 29 et 32 du RGPD.
En deuxième lieu, s’agissant du montant de l’amende, la société souligne que […]. La société insiste sur le fait que la situation financière de l’entreprise doit être prise en compte, de façon à ce que l’amende prononcée soit adaptée aux capacités contributives du responsable de traitement.
La formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 28, 29 et 32 du RGPD, le montant maximum de l’amende pouvant être retenu s’élève à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
La formation restreinte rappelle également que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2019 et de […] euros en 2020, pour un résultat net s’élevant à […] euros en 2019 et à […] euros en 2020.
Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 1 500 000 euros apparaît justifié.
En troisième lieu, s’agissant de la publicité de la sanction, la société indique que la cyberattaque qui l’a impliquée a fait l’objet d’une publicité très importante, puisque plusieurs articles de presse ont été publiés, puis relayés tant dans la presse papier que télévisuelle, en France et à l’étranger. L’incident a également fait l’objet de plusieurs communications de la part de la CNIL. Elle ajoute que cette médiatisation aura des effets particulièrement néfastes pour elle, non seulement dans le cadre de son activité, mais encore sur son chiffre d’affaires.
Compte tenu de la gravité des manquements commis, particulièrement des manquements relatifs à la sécurité, du nombre de personnes concernées et des conséquences pour celles-ci, la formation restreinte considère que la publicité de la décision se justifie.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société […] une amende administrative d’un montant de 1 500 000 (un million cinq cent mille) euros ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son titre III ;
Vu la décision du Conseil constitutionnel n° 2021-817 DC du 20 mai 2021 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après " la Commission ") a été saisie par le ministère de l’intérieur d’un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure (CSI) relatif aux caméras individuelles des agents de la police et de la gendarmerie nationales.
La Commission rappelle qu’elle a eu l’occasion de se prononcer, à diverses reprises, sur l’usage de caméras individuelles, pour des finalités similaires. En particulier, elle s’est déjà prononcée, dans sa délibération n° 2016-385 du 8 décembre 2016, sur le décret n° 2016-1860 du 23 décembre 2016 relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale.
L’article 45 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés a modifié l’article L. 241-1 du CSI afin d’intégrer deux nouvelles modalités de consultation des enregistrements effectués par les agents de la police et les militaires de la gendarmerie nationales au moyen des caméras individuelles qui leur sont fournies par leur service : il sera désormais possible de transmettre les images en temps réel au poste de commandement et, dans certains cas, les personnels auxquels les caméras sont fournies pourront avoir accès directement aux enregistrements auxquels ils procèdent dans le cadre d'une procédure judiciaire ou d'une intervention. Cette disposition précise également les conditions selon lesquelles les personnes sont informées de la mise en œuvre de ces caméras.
L’article L. 241-1 du CSI mentionne les finalités du traitement :
la prévention des incidents au cours des interventions des agents de la police nationale et des militaires de la gendarmerie nationale ;
le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ;
la formation et la pédagogie des agents.
Si les finalités ne sont pas limitées à la prévention des incidents au cours des interventions, il convient de rappeler que l’enregistrement ne peut être déclenché durant une intervention que " lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées ", ce qui constitue une garantie essentielle apportée pour limiter la prise d’images dans l’espace public par des agents des forces de l’ordre.
Il résulte tant des finalités principalement poursuivies par les dispositifs que des missions confiées aux agents de la police et de la gendarmerie nationales, que les traitements projetés relèvent des dispositions de la directive (UE) 2016/680 du 27 avril 2016 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, telle que transposée au titre III de la loi du 6 janvier 1978 modifiée.
Il est prévu par l’article L. 241-1 du CSI que les modalités d’application du titre IV du livre II du même code et d'utilisation des données collectées sont précisées par un décret en Conseil d'Etat, pris après avis de la Commission.
Ce projet de décret a pour objet de procéder à une évolution réglementaire du CSI :
il autorise la transmission en temps réel des images captées et enregistrées au moyen de caméras individuelles par les agents de la police et de la gendarmerie nationales au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention ;
dans le cadre d’une procédure judiciaire ou d’une intervention, il permet aux agents auxquels les caméras individuelles sont fournies d’avoir accès directement aux enregistrements auxquels ils procèdent ;
il modifie la liste des accédants et des destinataires des données à caractère personnel conservées dans les traitements ;
il introduit de nouvelles garanties s’agissant des données collectées et de leur condition de conservation ;
il procède à la mise en conformité des dispositions réglementaires avec la réglementation relative à la protection des données à caractère personnel et modifie ainsi les droits des personnes ainsi que les modalités de journalisation des opérations effectuées sur le traitement.
Sur la qualité d’acte réglementaire unique du projet de décret
La Commission relève que le projet de décret constitue un acte réglementaire unique, au sens du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, permettant aux agents de la police et de la gendarmerie nationales de procéder, au moyen de caméras individuelles, à des enregistrements pouvant être transmis en temps et prévoyant un accès direct aux images par les agents ayant procédé à l’enregistrement.
Lorsque la Commission est saisie d’une demande d’avis portant sur un " acte réglementaire unique " qui, en application du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, n’autorise pas un traitement particulier mais la mise en œuvre de traitements qui " répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires ", l’analyse d’impact relative à la protection des données (AIPD) ne doit pas porter sur un ou plusieurs traitements particuliers envisagés au moment de la saisine mais évaluer les risques et déterminer les catégories de mesures de nature à les maîtriser pour l’ensemble des traitements autorisés par le projet et susceptibles d’être mis en œuvre après son entrée en vigueur, chaque traitement ne faisant ensuite l’objet que de l’envoi d’un " engagement de conformité " à la Commission. Cette AIPD d’ensemble ou " cadre " (voir CE, int., 8 janvier 2019, n° 396340) peut, le cas échéant, être complétée des AIPD relatives à des traitements spécifiques qui auraient été réalisées à la date de la saisine.
La Commission relève qu’une seule et même AIPD portant sur un ensemble d’opérations de traitement similaires lui a été transmise (AIPD " cadre "), conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
Sur la transmission en temps réel des enregistrements et l’accès direct aux enregistrements par les agents
En premier lieu, le I du projet d’article R. 241-3 du CSI prévoit que " les images captées et enregistrées au moyen de caméras individuelles peuvent être transmises en temps réel au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention, lorsque la sécurité des agents de la police nationale ou des militaires de la gendarmerie nationale ou la sécurité des biens et des personnes est menacée ".
La Commission relève que les termes utilisés au I du projet d’article R. 241-3 du CSI constituent une reprise de ceux utilisés à l’article L. 241-1 du CSI.
Elle prend acte de ce que les cas d’usage commandant la transmission en temps réel des enregistrements sont multiples et relèvent de l’appréciation du fonctionnaire ou du militaire qui est sur le terrain. Selon le contexte opérationnel, la transmission des images pourra également être requise par le centre d’information et de commandement ou le centre d’opérations et de renseignement de la gendarmerie (par exemple, lors d’une intervention sur une rixe d’ampleur, pour permettre à la salle de commandement d’apprécier les renforts à déployer, ou un attentat en cours pour contextualiser et obtenir le maximum d’informations afin d’optimiser la gestion de l’évènement). Dans ce cas, la transmission se fera " sur ordre " à la voix, par radio, voire par téléphone, dans les cas où la salle de commandement ou le chef de dispositif estime que la situation nécessite une transmission des images en temps réel, pour permettre une meilleure appréciation de l’évènement et ainsi optimiser sa gestion (renforts, ordre de conduite, etc.). Cette retransmission ne peut être réalisée que par le porteur de la caméra qui appuie sur un bouton de l’appareil prévu à cet effet, et non par l’autorité qui aura donné l’ordre.
La Commission relève qu’il est précisé à l’article 3 du projet de décret que la " sécurité des agents, des biens ou des personnes est réputée menacée lorsqu’il existe un risque immédiat à leur intégrité ". Elle prend acte de ce que le ministère ne souhaite pas limiter la sécurité des agents aux menaces à leur seule intégrité physique dans la mesure où leur sécurité doit également être réputée menacée lorsqu'il existe un risque immédiat d'atteinte à leur intégrité morale ou psychique. Elle souligne toutefois que le critère posé par le décret peut correspondre à un grand nombre de situations, la nécessité de recourir à un enregistrement s’appréciant au cas par cas. A cet égard, elle considère que le risque d’atteinte à leur intégrité devrait être limité aux risques d’atteintes graves. Le ministère indique que chaque responsable de traitement définira, dans des doctrines d’emploi, des critères et cas d’usage pour déterminer les cas où la transmission en temps réel des images est nécessaire. La Commission considère que des typologies de situations et de menaces, ainsi que des critères objectifs pour caractériser le risque, devront être déterminés dans la doctrine d’emploi. En outre, la Commission recommande que cette doctrine d’emploi soit définie au niveau ministériel et non pas au niveau de chaque responsable de traitement.
En second lieu, le II du projet d’article R. 241-3 du CSI prévoit que, dans le cadre d’une procédure judiciaire ou d’une intervention, les agents auxquels les caméras individuelles sont fournies peuvent avoir accès directement aux enregistrements auxquels ils procèdent afin de faciliter la recherche d’auteurs d’infractions, la prévention d’atteintes imminentes à l’ordre public, le secours aux personnes ou l’établissement fidèle des faits lors des compte rendus d’interventions.
Dans sa décision n°2021-817 DC du 20 mai 2021, le Conseil constitutionnel a considéré que ces dispositions ne sauraient s’interpréter que comme impliquant que soient garanties, jusqu'à leur effacement, l'intégrité des enregistrements réalisés ainsi que la traçabilité de toutes leurs consultations. Le décret rappelle ces obligations, qui devront faire l’objet d’une attention particulière lors de la mise en œuvre de ces textes.
Sur les données collectées
L’article 3 du projet de décret modifie l’article R. 241-2 du CSI qui indique les données à caractère personnel et informations qui peuvent être enregistrées dans les traitements.
En premier lieu, la Commission relève que les modifications projetées introduisent de nouvelles garanties s’agissant des données collectées, dans la mesure où il est précisé à l’article R. 241-2 du CSI que, si des données " sensibles ", au sens du I de l'article 6 de la loi du 6 janvier 1978 modifiée peuvent être collectées, c’est à l’exception des données génétiques et des données biométriques. Il est par ailleurs prévu qu’il est interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données.
En deuxième lieu, si les enregistrements extraits sont exploités à des fins judiciaire, administrative ou disciplinaire, la Commission prend acte de ce qu’il n’y aura pas de mises en relation automatisées ou d’interconnexions avec d’autres traitements de données à caractère personnel. Elle demande que cette garantie soit précisée dans le projet de décret.
En troisième lieu, il ressort de l’AIPD que des zones de champ libre existeront dans les traitements s’agissant du nom du fichier, dont la nomenclature est définie par la doctrine d’emploi, d’une rubrique " observation " au niveau de chaque vidéo téléchargée et d’une rubrique " note " à chaque extraction de vidéo.
La Commission prend acte des précisions apportées par le ministère relatives à l’objectif poursuivi par les champs " observations " et " note ". S’agissant du champ " observations ", le ministère a indiqué que ce champ peut poursuivre trois objectifs : des fins opérationnelles, de formation et techniques. S’agissant du champ " note ", le ministère a indiqué que ce champ permet d’indiquer à quel moment de la vidéo a lieu un évènement précis, afin de permettre au visionneur d’aller rapidement à la séquence pertinente sans regarder l’ensemble de l’enregistrement qui peut, dans certains cas, être très long. Il permet également de noter les références de la procédure pour laquelle l’extraction a été faite, et éventuellement d’attirer l’attention d’un service sur le fait qu’un autre service a demandé l’extraction des mêmes images.
La Commission prend acte de ce que ces informations ne peuvent pas être enregistrées sous la forme de menus déroulants et que les doctrines d’emploi préciseront l’interdiction de saisir des données à caractère personnel dans ces rubriques, dont le nombre de caractères sera limité.
Elle estime que ces champs libres pourraient également être pré-renseignés avec une information spécifique relative à la manière dont il convient de les renseigner et rappelle qu'un contrôle strict devra être assuré à ce titre.
En tout état de cause, la Commission demande que ces champs libres ne puissent pas être renseignés par les agents porteurs de la caméra qui ont un accès direct aux enregistrements.
Les autres modifications projetées n'appellent pas d'observation de la part de la Commission.
Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires
La Commission rappelle qu’il résulte de l’article L. 241-1 du CSI que les agents de la police nationale et les militaires de la gendarmerie nationale qui auront été équipés de caméras individuelles seront habilités, lors des procédures judiciaires et interventions, à procéder à des enregistrements, dans les conditions prévues par la loi. Le projet d’article R. 241-3-1 du CSI précise les personnes qui pourront accéder directement aux enregistrements du traitement ou en être destinataires.
Peuvent notamment accéder aux données enregistrées dans les traitements, à raison de leur attribution et dans la limite du besoin d’en connaître :
le chef du service ou le commandant de l'unité (1° du I du projet d’article R. 241-3-1 du CSI) ;
les agents ou militaires individuellement désignés et habilités par le chef du service ou le commandant de l'unité (2° du I du projet d’article R. 241-3-1 du CSI).
La Commission considère que les 1° et 2° du I du projet d’article R. 241-3-1 du CSI devraient préciser les services et unités concernés. Elle prend acte de l’engagement du ministère de préciser les dispositions de cet article de la façon suivante : " le chef du service de police ou le commandant de l'unité de gendarmerie ".
S’agissant des destinataires, la Commission rappelle d’abord que, en l’absence de finalités particulières mentionnées à leur égard, les données ne pourront leur être transmises que pour les finalités du traitement, telles que rappelées au point 4 du présent avis.
Le 3° du III du projet d’article R. 241-3-1 du CSI inclut, parmi les destinataires, les agents participant à l’exercice du pouvoir disciplinaire. La Commission prend acte de ce que ces agents sont les chefs de service et les chefs d’unité qui sont habilités à intervenir sur le volet disciplinaire. Elle estime que le projet de décret pourrait être précisé sur ce point et prend acte de l’engagement du ministère de compléter le projet de décret.
Enfin, la Commission relève que les magistrats ne figurent pas au titre des destinataires. Le Gouvernement estime qu’ils n’ont pas à y figurer, dès lors que ces derniers sont considérés comme des tiers autorisés. A cet égard, la Commission rappelle que les tiers autorisés, tels les magistrats, sont effectivement habilités à recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête. Cependant, comme le rappelle le considérant 22 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 précitée, cette communication doit intervenir sur demande du tiers autorisé, demande qui est en principe écrite, motivée et précise. La Commission invite le Gouvernement à s’interroger sur l’existence de communication plus large des images aux magistrats, à l’initiative des services utilisant les caméras en cause, et non seulement sur demande d’un magistrat, auquel cas les magistrats pourraient avoir vocation à figurer dans la liste des destinataires.
Sur les transferts de données hors de l’Union européenne
Il ressort de l’AIPD que les données enregistrées dans le traitement peuvent être communiquées, de manière non automatisée, à des organismes de coopération internationale en matière de police judiciaire ainsi qu’aux services homologues ou aux services de police d’un État étranger lorsque ceux-ci représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.
La Commission prend acte de ce que dans le cadre de la coopération judiciaire, les images pourraient être transmises à des pays tiers hors de l’Union européenne, dans le cadre d’Interpol, mais également dans le cadre d’échanges bilatéraux. Selon le ministère, les outils de coopération policière internationale, notamment par le biais des bureaux centraux nationaux (BCN) permettent le transfert des données à l’international grâce à des messageries sécurisées. En outre, conformément à l’article L. 235-1 du CSI, les enregistrements des caméras individuelles peuvent être communiqués de manière non automatisée à des organismes de coopération internationale en matière de police judiciaire ainsi qu’aux services homologues ou aux services de police d’un État étranger lorsque ceux-ci représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l’égard du traitement dont ces images font l’objet ou peuvent faire l’objet.
La Commission rappelle que les transferts de données vers des Etats n'appartenant pas à l'Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi du 6 janvier 1978 modifiée. Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la Commission européenne ou de garanties appropriées, et par dérogation à l'article 112 précité, de tels transferts ne pourront alors être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées