AgentPublic/cnil huggingface dataset:
25. En second lieu, la formation restreinte relève que l’anonymisation manuelle mise en œuvre par l’organisme sur demande des utilisateurs ne concernait qu’une très faible quantité de compte puisqu’au jour du contrôle en ligne, 25% des comptes n’étaient pas anonymisés alors qu’ils auraient dû l’être. La formation restreinte relève qu’aucune procédure d’anonymisation automatique n’était mise en œuvre au jour du contrôle en ligne, l’organisme conservant ainsi des données identifiantes sans limitation de durée en l’absence de demande d’anonymisation de la part des utilisateurs. 
26. Dès lors, la formation restreinte considère que les faits précités constituent un manquement structurel à l’article 5, paragraphe 1, e) du RGPD.
27. La formation restreinte relève que l’organisme a indiqué, au cours de la procédure, qu’une purge des comptes inactifs depuis plus de 36 mois était mise en œuvre depuis le contrôle, mais retient que le manquement reste caractérisé pour le passé. 
B. Sur les manquements à l’obligation d’assurer la sécurité des données à caractère personnel (article 32 RGPD).
28. L’article 32 du RGPD prévoit que 1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
29. Le rapporteur relève, en premier lieu, que la délégation a constaté que les mots de passe de connexion des utilisateurs à leurs comptes, accessibles depuis le site web de l’organisme, sont d’une robustesse insuffisante en ce qu’ils sont limités à huit caractères, sans aucun critère de complexité, et ne sont associés à aucune mesure de sécurité complémentaire. En outre, le rapporteur relève qu’au jour des constats, il était impossible pour l’ensemble des utilisateurs ou des abonnés du site web […] , soit pour plus de 3,7 millions de comptes, de saisir un mot de passe sécurisé en raison de la limitation de leur taille à 8 caractères maximum.
30. Le rapporteur relève, en deuxième lieu, que l’organisme transmet en clair par courriel des mots de passe non temporaires permettant l’accès aux comptes.
31. Le rapporteur souligne, en troisième lieu, que l’organisme conserve également en clair dans sa base de données, les mots de passe ainsi que les questions et réponses secrètes utilisés lors de la procédure de réinitialisation des mots de passe par les utilisateurs. 
32. En dernier lieu, le rapporteur relève que l’organisme ne confirme pas non plus à l’utilisateur la modification de son mot de passe. Le rapporteur considère que l’utilisateur qui n’est pas alerté en cas de modification non autorisée, n’est donc à ce titre pas protégé contre les tentatives d’usurpation de son compte.
33. Au regard de ces éléments, le rapporteur considère que les différentes mesures de sécurité mises en place par l’organisme sont insuffisantes au regard de l’article 32 du RGPD.
34. En défense, l’organisme fait valoir que l’obligation de sécurité est une obligation de moyens qui doit être appréciée in concreto et que son inexécution doit être constatée par un constat de l’inefficacité des mesures mises en œuvre, ayant conduit à un accès non autorisé, ce qui n’est pas le cas en l’espèce. Il souligne que la recommandation relative aux mots de passe évoquée par le rapporteur constitue du droit souple, qu’il ne s’agit pas de règles impératives, applicables in abstracto, indépendamment de tout contexte et dont le non-respect serait, en lui-même, de nature à justifier une sanction administrative. En outre, l’organisme précise que l’analyse d’impact relative à la protection des données a révélé un risque faible pour les données à caractère personnel en cas d’accès non autorisé puisque pour les comptes membres, représentant la majorité des comptes, les données bancaires ne sont pas enregistrées, contrairement aux comptes abonnés et qu’un tiers non autorisé ne pourra effectuer d’autres démarches que l’achat de documents et l’envoi de formalités à la place du titulaire du compte. Enfin, l’organisme souligne que les informations accessibles en se connectant sur le compte d’un utilisateur sont pour l’essentiel des données à caractère personnel présentes dans les extraits K ou KBIS et les autres actes pouvant être commandés, sauf pour les comptes créés par des non-professionnels dont les données d’identification et de localisation ne sont pas publiques.
35. Tout d’abord, la formation restreinte rappelle que, en application de l’article 32 du RGPD, pour assurer la protection des données à caractère personnel, il incombe au responsable de traitement de prendre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque . La formation restreinte considère que l’utilisation d’un mot de passe court ou simple sans imposer de catégories spécifiques de caractères et sans mesure de sécurité complémentaire, peut conduire à des attaques par des tiers non autorisés, telles que des attaques par force brute ou par dictionnaire , qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent. Elle relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017. En l’espèce, la formation restreinte relève que les mots de passe en cause sont limités à huit caractères sans aucun critère de complexité, et ne sont associés à aucune mesure de sécurité complémentaire. La formation restreinte considère que le risque encouru par les personnes concernées est réel : un tiers ayant eu accès au mot de passe pourrait non seulement accéder à toutes les données à caractère personnel présentes dans
le compte de la personne concernée, mais également consulter l’historique de ses commandes, télécharger ses factures et/ou changer le mot de passe du compte et les informations de contact à l’insu de l’utilisateur.
36. En outre, la formation restreinte considère que les modalités de transmission et de conservation des mots de passe mises en œuvre par l’organisme ne sont pas adaptées au regard du risque que ferait peser sur la personne concernée la captation de leur identifiant et de leur mot de passe par un tiers. En effet, la transmission, en clair, d’un mot de passe qui n’est ni temporaire, ni à usage unique et dont le renouvellement n’est pas imposé, le rend aisément et immédiatement utilisable par un tiers qui aurait un accès indu au message qui le contient. La formation restreinte rappelle qu’une simple erreur de manipulation peut conduire à divulguer à des destinataires non habilités des données personnelles et à porter ainsi atteinte au droit à la vie privée des personnes. Enfin, la formation restreinte considère que l’utilisateur qui n’est pas alerté en cas de modification non autorisée n’est donc pas protégé contre les tentatives d’usurpation de son compte. 
37. Dès lors, la prise en compte de ces risques pour la protection des données à caractère personnel et de la vie privée des personnes conduit la formation restreinte à considérer que les mesures déployées pour garantir la sécurité des données en l’espèce sont insuffisantes.
38. Ensuite, la formation restreinte précise que si la délibération n° 2017-012 du 19 janvier 2017, le guide de la CNIL relatif à la sécurité des données à caractère personnel et la note technique de l’ANSSI relative aux mots de passe cités dans les écrits du rapporteur n’ont certes pas de caractère impératif, ils exposent toutefois les précautions élémentaires de sécurité correspondant à l’état de l’art. Dès lors, la formation restreinte rappelle qu’elle retient un manquement aux obligations découlant de l’article 32 du RGPD et non du non-respect des recommandations, qui constituent au demeurant un éclairage pertinent pour évaluer les risques et l’état de l’art en matière de sécurité des données à caractère personnel.
39. Outre ces recommandations, la formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traités, et non pas seulement le résultat de l’existence d’une violation de données à caractère personnel. Les délibérations n° SAN-2019-006 du 13 juin 2019 et n° SAN-2019-007 du 18 juillet 2019 visent notamment l’insuffisante robustesse des mots de passe ainsi que leur transmission aux clients de l’organisme par courriel, en clair, après la création du compte.
40. Dans ces conditions, eu égard aux risques encourus par les personnes, rappelés ci-dessus, ainsi qu’au volume et à la nature des données à caractère personnel qui peuvent être contenues dans plus de 3,7 millions de comptes (données bancaires des comptes abonnés, nom, prénom, adresse postale et électronique, numéros de téléphone fixe ou portable, question secrète et sa réponse de l’ensemble des comptes), la formation restreinte considère que l’organisme a manqué aux obligations qui lui incombent en vertu de l’article 32 du RGPD.
41. La formation restreinte relève que dans le cadre de la présente procédure l’organisme a pris certaines mesures pour assurer la sécurité des données traitées. Néanmoins, elle considère que, depuis la mise en œuvre de sa politique de mots de passe en 2002 et jusqu’au mois de juin 2021, les mesures de sécurité mises en place par l’organisme ne lui permettaient pas d’assurer un niveau de sécurité suffisant des données à caractère personnel traitées et que, partant, un manquement aux obligations de l’article 32 du Règlement est constitué.
III. Sur les mesures correctrices et leur publicité
42. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83.
43. L’article 83 du RGPD prévoit que Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
44. En premier lieu, sur le principe du prononcé d’une amende, l’organisme insiste en défense sur la responsabilité contractuelle de son sous-traitant au regard des instructions qui lui avaient été données concernant la sécurité et l’anonymisation des données à caractère personnel, sur la priorisation d’autres chantiers légaux et règlementaires par rapport à sa mise en conformité au RGPD, sur son importante coopération avec la CNIL et les importants efforts engagés depuis le début du contrôle.
45. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
46. La formation restreinte considère d’abord que bien que l’organisme ait donné des instructions spécifiques en matière d’anonymisation et de sécurité à son sous-traitant, il apparaît qu’il n’a pas suivi l’exécution de ces instructions et n’a pas exercé un contrôle satisfaisant et régulier sur les mesures techniques et organisationnelles mise en œuvre par son sous-traitant pour assurer la conformité au RGPD et, notamment pour assurer l’anonymisation et la sécurité des données à caractère personnel traitées.
47. La formation restreinte considère par ailleurs qu’il convient de prendre en compte la nature de l’acteur concerné […]. À ce titre, la formation restreinte considère que l’organisme aurait dû, dès lors, faire preuve d’une particulière rigueur dans le respect de l’ensemble de ses obligations légales et réglementaires. Or, il résulte des débats que l’organisme a reporté la mise en œuvre des chantiers relatifs à l’anonymisation et à la sécurité des données à caractère personnel afin de répondre, sans accroître ses moyens disponibles, à d’autres obligations de mise en conformité qui n’étaient pas liées à la protection des données.
48. La formation restreinte relève ensuite que les manquements reprochés sont des manquements à des principes clés du RGPD qui n’ont pas été introduits par ce texte mais préexistaient dans la loi Informatique et Libertés . La formation restreinte souligne en outre que ces manquements ne sauraient être regardés comme un incident isolé. S’agissant du manquement relatif à la durée de conservation, la formation restreinte rappelle que l’organisme avait lui-même fixé une durée de conservation des données à caractère personnel qu’il n’a pas respectée et que ce manquement concerne plus d’un million de comptes utilisateurs, membres et abonnés. S’agissant du manquement relatif à la sécurité des données, la formation restreinte considère que la faiblesse extrême des règles de complexité des mots de passe, ainsi que les mesures de sécurité en matière de communication, conservation et renouvellement des mots de passe, en vigueur depuis 2002, rendaient l’ensemble des comptes vulnérables. 
49. Enfin, la formation restreinte relève que les mesures de conformité mises en place à la suite de la notification du rapport de sanction n’exonèrent par l’organisme de sa responsabilité pour les manquements constatés. 
50. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux article 5, paragraphe 1, e) et 32 du RGPD.
51. En deuxième lieu, s’agissant du montant de l’amende, l’organisme insiste en défense sur le caractère isolé de la plainte à l’origine du contrôle et l’absence de gain financier tiré des manquements.
52. La formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. Elle considère que l’origine du contrôle, intervenu à la suite d’une seule plainte, ne saurait minimiser la gravité des manquements qui au demeurant se sont révélés structurels. En l’espèce, la formation restreinte constate, s’agissant du manquement relatif à la durée de conservation des données à caractère personnel, que l’organisme a fait preuve de négligence grave portant sur un principe fondamental du RGPD et que ce manquement concerne plus de 25% des comptes. S’agissant du manquement relatif à la sécurité, la formation restreinte relève que compte tenu de l’accumulation des défauts de sécurité, les faits constatés sont d’une particulière gravité, d’autant plus qu’ils ont rendu l’ensemble des comptes vulnérables. La formation restreinte rappelle ensuite que l’organisme a repoussé sa mise en conformité au RGPD au profit d’autres priorités légales et règlementaires. Enfin, la formation restreinte tient compte de l’activité de l’organisme et de sa situation financière. Elle acte par ailleurs des efforts réalisés par l’organisme pour se mettre en conformité tout au long de la présente procédure.
53. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative de deux-cent-cinquante-mille euros apparaît justifié.
54. En dernier lieu, s’agissant de la publicité de la sanction, l’organisme soutient qu’une telle mesure serait disproportionnée au regard de l’atteinte que cela lui causerait.
55. La formation restreinte considère que la publicité de la sanction se justifie au regard de la gravité des manquements relevés, de la nature de l’acteur concerné qui, compte tenu de sa taille et de son activité, dispose des ressources humaines, financières et techniques devant lui permettre d’assurer un niveau satisfaisant de protection des données à caractère personnel et la forte réputation dont bénéficie le site web en matière de données commerciales. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre […] une amende administrative d’un montant de 250 000 (deux-cent-cinquante-mille) euros pour les manquements aux articles 5, paragraphe 1, e) et 32 du RGPD ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément l’organisme à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu le code de la sécurité intérieure, notamment son article L. 253-3  ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g), 10, 11 et 19  ;
Sur proposition de Mme Sophie LAMBREMON, vice-présidente déléguée, et le rapport de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Décide : 
Article 1 : Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 modifiée et à l'article L. 253-3 du code de la sécurité intérieure :
M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
Mme Ahlam AMMI, chargée de mission violation et projets transverses au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
Mme Amandine ANDRETTO, juriste au service de l'accompagnement et des délégués à la protection des données à la direction de la conformité  ;
Mme Tess d'ARMAGNAC, juriste au service de la santé à la direction de la conformité  ;
M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Siré BARRY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
M. Jean BAUDRILLARD, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche  ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité  ;
Mme Nacéra BEKHAT, chef du service des affaires économiques à la direction de la conformité  ;
Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Justine BERTAUD DU CHAZAUD, juriste au service des questions sociales et ressources humaines à la direction de la conformité  ;
M. Martin BIÉRI, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation  ;
M. Thomas BIZET, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche  ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité  ;
Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Cécile BOSSER, juriste au service des relations avec les publics à la direction des relations avec les publics et la recherche  ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité  ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité  ;
M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
Mme Valérie BOURRIQUEN, juriste au service de l'accompagnement et des délégués à la protection des données à la direction de la conformité  ;