AgentPublic/cnil huggingface dataset:
97. Dans ces conditions, la formation restreinte considère que le manquement à l’article 32 du RGPD est constitué.
98. La formation restreinte prend note que, depuis février 2023, la société utilise une nouvelle version de Windows Server qui a recours à un algorithme conforme à l’état de l’art.
H. Sur le manquement à l’obligation de notifier à la CNIL une violation de données à caractère personnel
99. L’article 4.12 du RGPD définit la violation de données à caractère personnel comme " une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ".
100. L’article 33 du RGPD dispose qu’" en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard (…) Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu ".
101. Le considérant 87 du RGPD précise qu’" il convient de vérifier si toutes les mesures de protection techniques et organisationnelles appropriées ont été mises en œuvre pour établir immédiatement si une violation des données à caractère personnel s’est produite et pour informer rapidement l’autorité de contrôle et la personne concernée ".
102. Dans les lignes directrices sur la notification de violations de données à caractère personnel du 6 février 2018, le Comité européen de la protection des données (CEPD) considère, à titre d’illustration, " qu’un responsable du traitement devrait être considéré comme ayant pris " connaissance " [de la violation de données à caractère personnel] lorsqu’il est raisonnablement certain qu’un incident de sécurité s’est produit et que cet incident a compromis des données à caractère personnel. Le RGPD exige du responsable du traitement qu’il mette en œuvre toutes les mesures de protection techniques et organisationnelles appropriées pour établir immédiatement si une violation des données à caractère personnel s’est produite et pour informer rapidement l’autorité de contrôle et les personnes concernées (…). Le responsable du traitement se voit ainsi tenu de prendre les mesures nécessaires pour s’assurer de prendre " connaissance " de toute violation dans les meilleurs délais afin de pouvoir réagir de façon appropriée ".
103. Le CEPD fournit l’exemple suivant : " un tiers informe un responsable du traitement qu’il a accidentellement reçu les données à caractère personnel de l’un de ses clients et fournit la preuve de cette divulgation non autorisée. Dès lors que le responsable du traitement a reçu des preuves claires attestant d’une violation de la confidentialité, il ne fait aucun doute qu’il en a pris ‘‘connaissance’’ ".
104. La rapporteure constate que la société a été informée par des abonnés, le 5 février 2020, d’une violation de données. A la suite d’une mise à jour de l’espace client […], des abonnés accédant à leur compte ont pu visualiser les informations relatives à d’autres abonnés. Malgré le nombre de personnes concernées et le type de données rendues accessibles, la rapporteure relève que la société n’a pas procédé à une notification de cette violation de données à la CNIL. La rapporteure considère qu’en ne procédant pas à cette notification, la société a méconnu les dispositions de l’article 33 du RGPD.
105. En défense, la société indique qu’elle aurait suivi les lignes directrices du CEPD et les recommandations de l’Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA) pour conclure qu’elle n’avait pas à notifier la violation. Sur le fondement de ces textes, elle considère qu’au regard du caractère peu sensible des données concernées et du nombre peu élevé de personnes potentiellement impactées, elle n’était pas tenue de procéder à une notification. Elle fait notamment valoir que la perte temporaire de confidentialité, qui a permis à sept personnes de visualiser les données d’autres clients, n’a duré que 5 heures 35 minutes. Elle ajoute que les données concernées ne sont pas sensibles et que les personnes ayant pu les visualiser sont d’autres abonnés, sans intention malveillante et sans expertise particulière leur permettant d’extraire les données accessibles. Elle précise également que le nombre précis de personnes ayant pu avoir accès aux données de 10 154 abonnés est inconnu. Il serait toutefois limité à 777 personnes maximum, qui se trouvaient, selon la société, en capacité technique d’y avoir accès.
106. La formation restreinte relève tout d’abord que le nombre de personnes concernées par la violation, de 10 154, n’est pas négligeable. Elle note que plusieurs personnes ont indiqué à la société avoir eu effectivement accès aux données de tiers. La formation restreinte relève ensuite que les données à caractère personnel rendues accessibles par la violation étaient de nature à pouvoir porter atteinte au droit au respect de la vie privée des abonnés dès lors que leur adresse postale et leur numéro de téléphone avaient été divulgués. Par suite, la société aurait dû procéder à la notification de violation de données à caractère personnel à la CNIL.
107. Dans ces conditions, la formation restreinte considère que le manquement à l’article 33 du RGPD est constitué.
III. Sur le prononcé de mesures correctrices et la publicité
108. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
109. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
110. En premier lieu, sur le principe du prononcé d’une sanction, la société indique qu’outre le fait qu’elle conteste les manquements reprochés par la rapporteure ou les justifie, elle a d’ores et déjà pris des mesures pour remédier à certains des faits reprochés et assurer sa conformité à la législation applicable. Elle ajoute que certains des griefs qui lui sont faits par la rapporteure le sont au regard de recommandations et d’un référentiel de la CNIL qui n’ont pas de valeur impérative, et qui sont en outre postérieurs aux faits en cause. Elle souligne en outre que plusieurs des manquements allégués ne sont pas substantiels en l’espèce et qu’ils ont représenté un impact limité voire inexistant sur les droits et libertés des personnes concernées. Elle insiste enfin sur la bonne volonté et les efforts dont elle a fait preuve tout au long de la procédure. La société considère que les facteurs d’atténuation prévus par l’article 83, paragraphe 2, du RGPD devraient amener la formation restreinte à ne pas prononcer de sanction financière, ou à tout le moins, à réduire très significativement le montant de l’amende proposée par la rapporteure.
111. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
112. La formation restreinte souligne que les manquements commis par la société portent, pour certains, sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel et que de nombreux manquements sont constitués. Elle note que certains de ces manquements sont structurels et d’une gravité certaine, d’autres présentent une gravité moindre.
113. Ainsi, s’agissant plus particulièrement du recueil du consentement à des fins de prospection par voie électronique, la formation restreinte rappelle que la société traite un nombre important de données à des fins de prospection commerciale. Il ressort en effet des éléments communiqués par la société que 3 934 956 prospects ont été démarchés par voie électronique en 2021.
114. La formation restreinte prend en considération, à titre de facteurs d’atténuation, les mesures prises par la société, qui s’est mise en conformité sur certains points, ainsi que la faible gravité de certains manquements, notamment le fait que les appels de démarchage pour lesquels le manquement relatif à l’information est retenu ne concernent qu’une petite partie des personnes démarchées. La formation restreinte note en outre, au regard des saisines versées aux débats, que les manquements aux droits des personnes ne sont pas structurels et résultent principalement d’erreurs humaines. Elle relève enfin le caractère isolé du contrat pour lequel les justificatifs ne permettent pas de conclure à une conformité aux exigences du RGPD.
115. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 7, paragraphe 1, 12, 13, 14, 15, 28, 32 et 33 du RGPD et à l’article L. 34-5 du CPCE.
116. En second lieu, la formation restreinte rappelle que les violations du RGPD relevées en l’espèce comportent des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
117. Elle rappelle également que les amendes administratives doivent être à la fois dissuasives et proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent notamment être prises en compte pour la détermination du montant de l’amende administrative. Elle relève à cet égard que la société […] a réalisé un chiffre d’affaires de 1 851 312 842 euros en 2022.
118. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de 600 000 euros apparaît justifiée.
119. En troisième lieu, s’agissant de la publicité de la sanction, la société demande à la formation restreinte de ne pas rendre publique sa décision.
120. La formation restreinte considère au contraire que la publicité de la présente décision se justifie au regard de la gravité de certains des manquements en cause, de la portée du traitement et du nombre de personnes concernées.
121. Elle relève également que cette mesure permettra d’informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits auprès de la société.
122. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société […] d’un montant de six cent mille euros (600 000 €) pour manquements aux articles 7, paragraphe 1, 12, 13, 14, 15, 28, 32 et 33 du RGPD et à l’article L. 34-5 du code des postes et des communications électroniques ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu le code de la sécurité intérieure, notamment son article L. 253-3  ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2 g, 10, 11 et 19  ;
Après avoir entendu M. Damien MILIC, commissaire du Gouvernement, en ses observations  ;
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure :
	M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	M. Mehdi ARFAOUI, sociologue du numérique au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation  ;
	M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Siré BARRY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Jean BAUDRILLARD, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics  ;
	M. Corentin BEAUFILS, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Najma BICHARA, juriste au service des affaires européennes et internationales  ;
	M. Martin BIÉRI, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation  ;
	M. Thomas BIZET, chef du service des relations avec les publics à la direction des relations avec les publics  ;
Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	M. Renaud BOITOUZET, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Cécile BOSSER, juriste au service des relations avec les publics à la direction des relations avec les publics  ;
	M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Céline BRÉZILLON, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
M. Vincent BRINGER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Solenn BRUNET, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	M. Clément BUNEL, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Madeleine CAZETTES DE SAINT LÉGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	M. Mehdi CHAÏB, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	M. Régis CHATELLIER, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation  ;
	Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	Mme Isabelle COHEN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Marion de GASQUET, adjointe à la cheffe de service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique  ;
	Mme Tess D'ARMAGNAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Audrey DANEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	Mme Justine DEBOTÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	M. Grégoire DELETTE, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Amélie DELEUZE, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Florent DELLA VALLE, chef de service au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	M. Xavier DELPORTE, directeur des relations avec les publics  ;
	Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
Mme Rosine DOLBEC, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Antoine DROIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	M. Corentin DUPOUEY, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	M. Louis DUTHEILLET DE LAMOTHE, secrétaire général  ;
	Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales  ;
	Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général  ;
	M. Thomas FRESSIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Marie GAILLARDON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
M. Antoine GAUME, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
	M. Rodolphe GÉNISSEL, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	Mme Sophie GENVRESSE, cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Laurène GOIRAND, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
	M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;
	Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
	Mme Sandra GREBER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Clarisse HESLAUT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
	Mme Manel HOUD, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions  ;