AgentPublic/cnil huggingface dataset:
113. La formation restreinte considère qu’en l’espèce, les manquements commis par la société révèlent une négligence certaine de sa part. En effet, la formation restreinte souligne, d’une part, que les règles rappelées dans la présente délibération font l’objet d’une interprétation constante de la part de la CNIL. A titre d’exemple, la formation restreinte s’est déjà prononcée sur le droit d’accès en indiquant que les informations fournies doivent être les plus précises possibles (CNIL, FR, 30 novembre 2022, Sanction, n°SAN 2022-022), mais aussi sur l’obligation de transparence en considérant que l’information des personnes dont les coordonnées sont traitées par un courriel uniquement disponible en anglais ne répond pas à l’exigence de fourniture d’une information transparente posée à l’article 12 du Règlement (CNIL, FR, 29 décembre 2023, Sanction, n°SAN 2023-023). D’autre part, la formation restreinte relève que la multiplicité des manquements témoigne d’une négligence dans la mise en œuvre des traitements réalisés par la société.
 
114. En deuxième lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées.
115. La formation restreinte relève tout d’abord que les manquements aux articles 5-1-e et 6 du RGPD concernent les principes fondamentaux de la protection des données et sont ainsi susceptibles de faire l’objet d’une amende pouvant s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel de l’exercice précédent de la société – soit le montant maximal prévu par les textes -, en application de l’article 83, paragraphe 5 du RGPD. A cet égard, les lignes directrices 04/2022 sur le calcul des amendes administratives au titre du RGPD adoptées le 24 mai 2023 par le comité européen de la protection des données rappellent qu’à " travers cette distinction, le législateur a donné une première indication de la gravité de la violation, de manière abstraite. Plus la violation est grave, plus l’amende est susceptible d’être élevée " (point 50).
 
 
116. La formation restreinte note ensuite, comme elle l’a expliqué au paragraphe 31 de la présente délibération, que les manquements aux articles 5-1-e, 12 et 14 relevés sont susceptibles de concerner un nombre important de personnes, la base de données de KASPR comprenant près de 160 millions de contacts au jour du contrôle sur audition, dès lors qu’il convient de prendre en compte l’ensemble des contacts présents dans la base de données KASPR, ceux-ci étant des personnes concernées par le RGPD.
117. La formation restreinte souligne en outre que pour les personnes ayant décidé de ne pas afficher leurs coordonnées sur LinkedIn, le traitement présente une atteinte particulièrement forte aux droits des personnes dans la mesure où il va à l’encontre de leur souhait de garder ces données privées afin notamment de les démarcher, comme le corroborent les différentes plaintes reçues par les services de la Commission.
 
118. Cette incertitude face à l’ampleur de l’atteinte à la confidentialité de leurs données se superpose au dérangement occasionné par ces démarchages intempestifs, dénoncés par les plaignants dans les saisines reçues par la Commission.
 
119. Enfin, la formation restreinte remarque que l’examen des plaintes met également en évidence la défaillance des procédures d’exercice des droits mises en œuvre au sein de la société, qui ne répond pas précisément aux plaignants souhaitant connaitre la source à partir de laquelle leurs données de contacts ont été obtenues de manière indirecte.
 
120. En troisième lieu, la formation restreinte entend faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2 du RGPD, relatif aux avantages financiers obtenus du fait du manquement.
 
121. Elle relève, à cet égard, que la société tire tous ses revenus de la facturation à ses clients d’un service dont le fonctionnement repose en partie sur des données collectées illicitement et, jusqu’en 2022, à l’insu des personnes concernées.
122. Ainsi, tout le modèle d’affaires de la société repose sur la violation de dispositions majeures du RGPD, en ce que la base de données à partir de laquelle fonctionne son extension a été constituée pour partie illicitement.
 
123. En quatrième lieu, la formation restreinte entend tenir compte des mesures prises par la société pour atténuer des manquements, en application de l’alinéa c) de l’article 83, paragraphe 2 du RGPD. Il apparait en effet que, suite à la réception du rapport de sanction, la société a mis en œuvre une nouvelle durée de conservation s’agissant des données des utilisateurs de KASPR, et a déployé, pour le courriel d’information et la politique de confidentialité de la société, la possibilité pour les personnes concernées de choisir la langue du texte en français, espagnol, néerlandais ou allemand.
 
124. La formation restreinte considère que l’ensemble de ces éléments justifient le prononcé d’une amende administrative. 
 
125. S’agissant du montant de l’amende, la formation restreinte rappelle que les violations relevées sont susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
126. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que la société KASPR a réalisé, au titre de l’année 2022, un chiffre d’affaires de […] euros pour un bénéfice de […] euros. L’année suivante, ce chiffre d’affaires s’est élevé à […] euros, pour un bénéfice de […] euros.
 
127. Au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de deux cent quarante mille (240 000) euros apparaît justifiée.
 
128. S’agissant du prononcé d’une injonction assortie d’une astreinte, le rapporteur propose dans son rapport à la formation restreinte de prononcer à l’encontre de la société une injonction de mise en conformité, assortie d’une astreinte, au titre des manquements aux articles 5-1-e, 6, 12, 14 et 15 du RGPD.
 
129. La société considère que les mesures d’injonction proposées par le rapporteur sont dénuées d’objet, dès lors que la société a procédé à la mise en conformité de son traitement au mieux compte tenu de ses ressources. 
 
130. En premier lieu, sur la base juridique, la formation restreinte relève que la société continue de traiter des données qui ont été collectées en l’absence d’une base valable.
131. Par conséquent, la formation restreinte estime nécessaire le prononcé d’une injonction afin que la société se mette en conformité avec les obligations applicables en la matière.
 
132. En deuxième lieu, sur l’obligation de définir et de respecter une durée de conservation des données proportionnée à la finalité du traitement, la formation restreinte note que la société n’a pas indiqué avoir mis en place une politique de durée de conservation proportionnée s’agissant des personnes cibles. 
 
133. Par conséquent, la formation restreinte estime nécessaire de maintenir l’injonction sur ces points.
 
134. En troisième lieu, sur le manquement à l’obligation de faire droit aux demandes d’exercice de droit d’accès, la formation restreinte note que les plaignants n’ont toujours pas été informés de la source précise des données les concernant collectées par la société. 
 
135. Par conséquent, la formation restreinte considère que l’injonction est justifiée sur ce point.
136. En dernier lieu, en ce qui concerne les modalités de l’injonction avec astreinte, la formation restreinte relève qu’afin de conserver à l’astreinte sa fonction comminatoire, son montant doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement. Elle estime, par ailleurs, que pour la détermination de ce montant il doit également être tenu compte du fait que le manquement concerné par l’injonction participe directement aux bénéfices générés par le responsable de traitement.
 
137. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une astreinte d’un montant de 10 000 euros par jour de retard et liquidable à l’issue d’un délai de six mois.
 
138. S’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité de certains des manquements en cause, de la position de la société sur le marché, de la portée du traitement et du nombre de personnes concernées.
 
139. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les traitements mis en œuvre par la société, qu’il s’agisse des utilisateurs de l’extension ou des personnes cibles. Cette information leur permettra, le cas échéant, de faire valoir leurs droits.
140. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
 
PAR CES MOTIFS
 
 
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
 
• prononcer une amende administrative à l’encontre de la société KASPR d’un montant de deux cent quarante mille (240 000) euros au regard des manquements constitués aux articles 5-1-e), 6, 12, 14 et 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• prononcer à l’encontre de la société KASPR, une injonction :
o s’agissant du manquement à l’article 6 du RGPD,
- de cesser de collecter des données des contacts des utilisateurs de KASPR ayant choisi de limiter la visibilité de leurs coordonnées ;
- de supprimer l’ensemble des données de contacts importées lors de la synchronisation des comptes LinkedIn des utilisateurs ayant choisi de limiter la visibilité de leurs coordonnées ou à défaut, en cas d’impossibilité de distinguer ces données dont la visibilité a été limitée des autres données, de les informer, dans un délai de 3 mois, du traitement de leurs données et de la possibilité de s’y s’opposer et de n’utiliser les données que dans ce but ;
o s’agissant du manquement à l’article 5-1-e du RGPD, concernant les personnes cibles, cesser de renouveler automatiquement la durée de conservation de 5 ans des données des personnes cibles dès la mise à jour de leur profil et ne conserver les données que pour une durée proportionnée au traitement ; 
o s’agissant du manquement aux articles 12 et 14 du RGPD: d’informer les personnes concernées de l’ensemble des mentions prévues à cet article dans une langue qu’ils maîtrisent ;
o s’agissant du manquement à l’article 15 du RGPD,
- de faire suite aux demandes de droit d’accès des personnes en leur fournissant toute information disponible quant à la source qui a permis le versement de leurs données de contacts dans la base de données de la société ;
- et de faire droit aux demandes de droit d’accès des personnes à l’origine des saisines […] dans les mêmes conditions, avant suppression des données relatives aux saisines […].
 
• assortir l’injonction d’une astreinte de dix mille euros (10 000 €) par jour de retard à l’issue d’un délai de six mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
 
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
 
 
 
Le président
Philippe-Pierre CABOURDIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé " Système national des données de santé " ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Émet l’avis suivant :
 
La Commission a été saisie, le 5 avril 2017, d’une demande d’avis sur un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise, et d’indépendance pour les laboratoires de recherche et bureaux d’études (ci-après le " projet "). La définition du référentiel par voie d’arrêté est prévue par le 2° du II de l’article L. 1461-3 du code de la santé publique, créé par l’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016. Il a pour objet de permettre à certains organismes du secteur privé et entreprise de mener des recherches, études ou évaluations à partir des données du Système national des données de santé (SNDS). 
 
 
 
Sur l’utilisation du terme " commanditaire "
 
Le ministère indique, dans son courrier de saisine, que le projet a pour objet " de garantir un dispositif homogène des conditions de traitement des données et des règles à respecter par les laboratoires de recherche et bureaux d’études quant aux commanditaires et aux finalités interdites ". Le projet vise également à organiser les relations entre les personnes prenant l’initiative d’une recherche, et qui définissent ainsi les finalités et les moyens du traitement, et les laboratoires et bureaux d’études qui accéderont aux données à leur demande en qualité de prestataire
La commission relève que le projet ne fait pas usage de la notion de responsable du traitement de données, mais mentionne à plusieurs reprises le " commanditaire " de la recherche, de l’étude ou de l’évaluation réalisée à partir des données du SNDS. 
 
Dans sa délibération n° 2016-317 du 13 octobre 2016 portant avis sur le projet de décret en Conseil d’Etat modifiant le décret n° 2005-1309 pris pour application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié, la Commission s’interrogeait sur le sens du terme " commanditaire de la recherche " et suggérait que ce terme soit explicité. 
 
La Commission estime nécessaire que le projet précise que le client du laboratoire de recherche ou du bureau d’étude sera responsable du traitement de données en ce qu’il prend l’initiative de la réalisation d’une recherche, étude ou évaluation et définit à ce titre les finalités et les moyens du traitement de données à caractère personnel.
 
A ce titre, la Commission propose que le terme " commanditaire " soit remplacé par le terme " responsable de traitement ". Cependant, dans le cas où le ministère infirmerait cette analyse, elle demande que le terme " commanditaire " soit défini plus précisément dans le projet.
Sur ce point, la Commission prend acte de l’engagement du ministère de modifier le projet afin de préciser le terme " commanditaire ", qui désigne l’industriel ou l’assureur concerné par l’article L. 1461-3 du code de la santé publique, responsable du traitement de données à caractère personnel. Le projet précisera par ailleurs que le commanditaire, qui définit les finalités et les moyens du traitement et a recours à un intermédiaire en application de la loi, n’accédera pas aux données et ne recevra que les résultats globaux de l’étude. 
 
Sur le contrat liant le laboratoire de recherche ou bureau d’études et le responsable du traitement
 
L’article 2 du projet dresse la liste des informations devant figurer dans le contrat conclu entre le commanditaire et le laboratoire de recherche ou bureau d’études. 
 
La Commission relève que le contrat devra notamment préciser les traitements envisagés. 
 
 
 
 
Dans la mesure où les chercheurs interrogent régulièrement les services de la Commission sur la notion de traitement et opèrent souvent une confusion entre " traitement de données " et " traitement médical ", la Commission prend acte de l’engagement du ministère de préciser, par souci de clarté, qu’il s’agira des traitements de données à caractère personnel envisagés. 
 
La Commission prend également acte de l’engagement du ministère de compléter le projet afin d’ajouter parmi les éléments devant figurer dans le contrat :
les mesures et conditions de sécurité concernant les accès et les échanges de données et de documents entre les différents intervenants mettant en œuvre le traitement de données ou autorisés à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ; 
les procédures et conditions d’habilitation d’accès aux données pour les personnes mettant en œuvre le traitement de données ou autorisées à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ;
des stipulations particulières en matière de responsabilité et de sécurité en cas de recours à un prestataire.
Sur l’expertise et les compétences des laboratoires de recherche et bureaux d’études
L’article 4 du projet prévoit l’obligation pour les laboratoires de recherche et bureaux d’études de se doter de compétences en matière de recherche dans les domaines de la santé, de la statistique et en matière de traitement de données à caractère personnel. Il précise par ailleurs qu’il pourront faire appel à des compétences complémentaires notamment en épidémiologie, génétique, biostatistique, environnement, économie, ou sciences humaines et sociales, en fonction du thème de la recherche, étude ou évaluation.
 
La Commission prend acte de l’engagement du ministère de modifier le projet afin d’imposer aux laboratoires de recherche et bureaux d’études l’obligation de disposer ou se doter de compétences en matière d’anonymisation des données.
Elle recommande par ailleurs que les laboratoires de recherche ou les bureaux d’études se voient également imposer l’obligation de disposer ou se doter de compétences en matière de sécurité et de confidentialité des données à caractère personnel, conformément aux exigences du référentiel de sécurité applicable au SNDS. 
 
Par ailleurs, la Commission relève que le deuxième alinéa l’article 4 du projet prévoit que " les personnes salariées des laboratoires de recherche ou des bureaux d’études ou les prestataires auxquels ils ont recours, accédant aux jeux de données du Système national des données de santé mis à disposition du demandeur doivent avoir suivi une formation spécifique au traitement des données du Système national des données de santé dont le contenu a été validé par le responsable du traitement du Système national des données de santé mentionné au II de l’article L. 1461-1 du code de la santé publique ". 
 
 
La Commission prend acte de l’engagement du ministère de compléter le projet afin qu’il soit fait mention du " laboratoire de recherche ou bureau d’études
demandeur " et que ces dispositions ne puissent être interprétées comme permettant un accès par le commanditaire aux jeux de données extraits du SNDS.
 
Sur la confidentialité et la présentation des résultats
 
L’article 3 du projet prévoit que les résultats diffusés ne doivent pas permettre de ré-identifier les personnes auxquelles les données se rapportent.
La Commission prend acte de l’engagement du ministère de compléter le projet par un renvoi à la définition établie par l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé, afin de clarifier la notion de ré-identification. 
Enfin l’article 3 du projet mentionne que la diffusion des résultats peut être publique ou à destination exclusive du commanditaire. 
La Commission rappelle que l’article L. 1461-3 du code de la santé publique prévoit que l’Institut national des données de santé (INDS) publie les résultats de la recherche, étude ou évaluation et, qu’à ce titre, leur diffusion ne pourra être effectuée à destination exclusive du commanditaire. Elle demande donc de modifier ou de clarifier le projet sur ce point.
Sur la transparence et la prévention des conflits d’intérêts
 
Sur la nature des données traitées dans le cadre de la déclaration d’intérêts
Le deuxième alinéa de l’article 5 du projet prévoit que le responsable du laboratoire de recherche ou du bureau d’études communique à l’INDS, au moment du dépôt de sa demande d’accès aux données du SNDS, une déclaration d’intérêts en rapport avec l’objet du traitement.
Le troisième alinéa de l’article 5 du projet prévoit que " le responsable du laboratoire de recherche ou du bureau d’études ainsi que ses salariés ou les prestataires auxquels il a recours, impliqués dans la mise en œuvre d’une recherche, étude ou évaluation au sens du 1°, I de l’article L. 1461-3 du code de la santé publique, attestent respectivement de l’absence de conflit d’intérêt avec l’objet du traitement dans la déclaration des intérêts du laboratoire de recherche ou du bureau d’études demandeur ". 
A cette fin, deux projets de formulaires de déclaration sont joints au projet : 
un " formulaire de déclaration des intérêts, du laboratoire de recherche ou du bureau d’études " ;
un " modèle type de déclaration des intérêts à compléter par le responsable du laboratoire de recherche ou du bureau d’études et par chacune des personnes impliquées dans la recherche, étude ou évaluation ".
 
 
La Commission comprend du projet que :
le responsable du laboratoire de recherche ou du bureau d’études, sera dans l’obligation de procéder à une déclaration d’intérêts pour chaque projet de recherche, étude ou évaluation et d’attester de l’absence de conflit d’intérêts ; 
les salariés et prestataires du laboratoire de recherche ou bureaux d’études seront également tenus de compléter la déclaration d’intérêts et d’attester l’absence de conflit d’intérêts pour chaque recherche, étude ou évaluation dans laquelle ils sont impliqués.