AgentPublic/cnil huggingface dataset:
89. La formation restreinte relève que l’ANSSI a indiqué dans son bulletin d’actualité CERTFR-2017-ACT-013 du 27 mars 2017 que " l’utilisation de mécanismes cryptographiques de signature reposant sur SHA-1 est à présent l’objet d’une vulnérabilité immédiatement exploitable et doit être abandonnée […] ". Des responsables de traitement ayant recours à la fonction SHA-1 ont déjà été sanctionnés par la CNIL, cette technologie n’étant plus considérée comme conforme à l’état de l’art (voir délibération de la formation restreinte n° SAN-2023-023 du 29 décembre 2023, publiée). 
90. La formation restreinte rappelle qu’un hachage à l’état de l’art permet de garantir l’intégrité des données en associant à un message, à un fichier ou à un répertoire, une empreinte unique calculable et vérifiable par tous. Elle rappelle de nouveau l’importance, pour un logiciel tel que le PCRM, de détecter si un message ou une information a été modifiée. En effet il s’agit d’une plateforme d’échange avec l’administration, permettant le dépôt et le suivi des demandes de prestations sociales pour les personnes en situation de handicap.
91. La formation restreinte considère ainsi qu’en ayant recours à la fonction SHA-1 pour certaines suites cryptographiques du protocole TLS 1.2, dans le cadre (…) et alors que cette fonction présente des vulnérabilités connues depuis 2017, la société NEXPUBLICA FRANCE n’utilise pas les technologies à l’état de l’art et manque à son obligation au titre de l’article 32 du RGPD de garantir l’intégrité des données.
(iv) S’agissant des autres mesures mises en place par la société
92. La société met en avant d’autres mesures prises pour le PCRM, afin de démontrer le niveau de sécurité et la maturité du logiciel. À ce titre, elle indique par exemple avoir mis en place une authentification multifacteur dès le lancement du PCRM, soit bien avant que la CNIL n’émette une recommandation à ce sujet. Par ailleurs, elle indique avoir mis en place depuis février 2023 un système de journalisation complémentaire, permettant d’enregistrer de manière horodatée chaque action des usagers.
93. La formation restreinte prend acte de la mise en place des mesures de journalisation complémentaires afin de permettre davantage de granularité dans le suivi des activités du PCRM. Elle observe toutefois, comme le relève le rapporteur, que l’impossibilité pour la société d’indiquer quelles données ont fait l’objet des violations met en lumière une traçabilité inefficiente des actions effectuées sur le PCRM. La formation restreinte rappelle à ce titre qu’il est recommandé de prévoir une traçabilité " active ", c’est-à-dire de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal (voir en ce sens la délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation). 
94. D’autre part, la formation restreinte souligne que le rapporteur ne faisait pas grief à la société de n’avoir pas mis en place une authentification multifacteur, et qu’en tout état de cause il s’agit d’une mesure élémentaire de sécurité à mettre en œuvre, en particulier s’agissant d’un traitement comportant des données sensibles comme c’est le cas du PCRM.
95. En conclusion, la formation restreinte considère que l’absence de lignes de défense coordonnées, la multiplicité des vulnérabilités pourtant connues et leur absence de correction rapide démontrent que les mesures mises en place par la société NEXPUBLICA FRANCE n’étaient pas suffisantes afin d’assurer la sécurité des données traitées dans le PCRM.
96. La formation restreinte considère que l’expertise transmise par la société à l’appui de ses deuxièmes observations en défense ne remet pas en cause cette conclusion sur le niveau de sécurité insuffisant du PCRM. La formation restreinte relève que l’analyse détaille les étapes de développement d’un logiciel, et qu’elle explique qu’un logiciel est par nature " un produit vivant et évolutif, susceptible de comporter des anomalies, qu’il convient de corriger dans le cadre de la maintenance ". Elle conclut que ce sont de telles anomalies, lors d’une mise à jour du PCRM, qui ont conduit aux violations de données, et non pas une faiblesse de construction de cette version du logiciel.
97. La formation restreinte ne remet pas en cause le fait que le PCRM a suivi ces différentes étapes de mise en production, ni le fait que le cycle de vie d’un logiciel puisse nécessiter des correctifs et, en tout état de cause, une maintenance continue. Cependant, si l’expertise s’attache à démontrer que les incidents de sécurité étaient liés à des erreurs ponctuelles lors d’une montée de version du logiciel, la formation restreinte rappelle que ce ne sont pas les violations de données qui caractérisent le manquement, mais la faiblesse généralisée des mesures de sécurité du PCRM. L’expertise transmise n’aborde pas les vulnérabilités relevées par le rapporteur. 
98. Or c’est bien le caractère évident des failles relevées, portant sur des vulnérabilités pourtant documentées par la doctrine et de l’état de l’art, ainsi que leur persistance, qui démontrent que la société NEXPUBLICA FRANCE n’a pas respecté son obligation de moyens d’assurer la sécurité des données traitées, et qui caractérisent le manquement à l’article 32 du RGPD. La formation restreinte estime qu’il ressort de l’instruction que la société NEXPUBLICA FRANCE a laissé perdurer des problèmes structurels dans son PCRM, conduisant à un niveau global de sécurité faible et à l’absence de mise en œuvre d’un système de " défense en profondeur ".
99. La formation restreinte ajoute que la spécialisation de la société dans le conseil en systèmes et logiciels informatiques rend inopérants ses arguments selon lesquels le PCRM était en phase initiale de mise en production et qu’elle avait donc des connaissances nécessairement limitées pour garantir la conformité du logiciel. En effet, si la mise en production d’un logiciel peut s’accompagner de dysfonctionnements et implique des correctifs et mises à jour régulièrs – ce qui relève d’ailleurs de bonnes pratiques – une société spécialisée en développement de solutions informatiques ne saurait invoquer son manque de connaissances lorsqu’un de ses produits révèle des vulnérabilités flagrantes qu’elle a laissé perdurer plusieurs mois.
100. La formation restreinte relève que la société a apporté des correctifs à la suite des violations de données. Cependant elle rappelle que ce n’est pas l’absence de réaction de la société à la suite des incidents de sécurité qui lui est reproché, mais la mise en production du PCRM présentant de telles failles, puis l’absence de correction rapide des vulnérabilités lors de leur identification dans les différents rapports d’audits.
101. Au regard de l’ensemble de ces éléments, la formation restreinte considère que la société n’a pas mis en œuvre des moyens suffisants pour garantir un niveau de sécurité approprié des données à caractère personnel du PCRM.
102. Si la formation restreinte note que des correctifs ont été apportés suite aux violations de données déclarées, ainsi qu’en témoignent notamment les rapports d’audits les plus récents, elle estime néanmoins que le la société a manqué à ses obligations issues de l’article 32 du RGPD et que le manquement est caractérisé pour le passé.
III. Sur les mesures correctrices
103. L’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
104. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
105. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe IV, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
106. La CJUE a rappelé à cet égard que " seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire […] est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive " (CJUE, grande chambre, 5 décembre 2023, C-807/21, " Deutsche Wohnen " ; CJUE, cinquième chambre, 13 février 2025, C-383/23, " Ilva A/S "), 
107. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose ensuite que " la formation restreinte peut rendre publiques les mesures qu’elle prend ".
A. Sur le prononcé d’une amende administrative et son montant
108. La formation restreinte rappelle qu’il convient d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant. 
1. Sur le prononcé de l’amende
109. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard du manquement constitué à l’article 32 du RGPD.
110. En défense, la société fait valoir que l’amende administrative proposée par le rapporteur est manifestement disproportionnée au regard des critères de l’article 83 du RGPD et qu’un rappel à l’ordre serait une mesure correctrice plus appropriée. Elle soutient d’abord que le manquement constaté ne présente aucun caractère de gravité, notamment car le PCRM n’est déployé qu’auprès de deux clients, que les vulnérabilités étaient limitées dans le temps, et que le rapporteur surestime le nombre de personnes et la sensibilité des données concernées par les violations. L’absence de préjudice se manifeste notamment par le fait qu’aucune plainte de personne concernée n’a été enregistrée. En outre, elle conteste toute négligence, soulignant qu’elle n’a jamais été sanctionnée par la formation restreinte auparavant. Sa bonne foi se matérialise selon elle notamment par sa pleine coopération avec les services de la CNIL ainsi que par la rapidité avec laquelle elle a apporté les mesures correctives nécessaires. Enfin, la société demande à la formation restreinte de tenir compte de son autonomie limitée dans la mise en œuvre du traitement, tant vis-à-vis du responsable de traitement, la MDPH, que du sous-traitant ultérieur, la société (…).
111. À titre liminaire, la formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation ait été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes. 
112. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’article 83, paragraphe 2, a) du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée ou de la finalité des traitements concernés ainsi que du nombre de personnes concernées.
113. La formation restreinte considère que le manquement constaté est grave et que la méconnaissance de l’état de l’art et de principes élémentaires en matière de sécurité ont fait courir un risque pour la sécurité des données à caractère personnel des personnes concernées. S’ajoute à la gravité du manquement le fait que le traitement concerne en majorité des personnes vulnérables au sens des Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est " susceptible d’engendrer un risque élevé " aux fins du règlement (UE) 2016/679. Cette vulnérabilité se traduit, entre autres, par le déséquilibre flagrant entre la société et les personnes concernées, celles-ci n’ayant pas d’autre choix que de voir leurs données traitées par le PCRM si elles souhaitent bénéficier de certaines prestations.
114. La formation restreinte relève en outre que le PCRM comptait (…) comptes utilisateurs en mai 2023 et la MDPH du département du Nord traite environ (…) dossiers actifs par an. Par ailleurs la société a indiqué que les violations ont potentiellement concerné deux personnes pour la première et 14 170 pour la deuxième, ce qui représente environ (…) % des usagers et un nombre approximatif de (…) enregistrements.
115. Le fait qu’aucune intrusion de tiers au PCRM n’a été détectée, et que les données n’ont été rendues accessibles qu’en lecture seule, n’en atténue pas la gravité. En effet, il n’en résulte pas moins que les données ont été rendues accessibles à des tiers non autorisés et des données affichées, même en lecture seule, peuvent toujours être copiées. 
116. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
117. La formation restreinte considère que le manquement résulte d’une négligence de la part de la société NEXPUBLICA FRANCE, qui n’a pas pris en compte l’état de l’art dans la mise en œuvre de mesures techniques et organisationnelles pour le PCRM – et ce surtout alors que le conseil en systèmes et logiciels informatiques est son cœur d’activité. Ce n’est qu’après la survenance des violations de données en octobre 2022, puis l’intervention du responsable de traitement qui a diligenté des tests d’intrusion, que la société a apporté des correctifs à certaines des vulnérabilités constatées – alors même que la réalisation d’audits par la société mettait en évidence des vulnérabilités critiques dès 2021. Comme indiqué au II.C. de la présente délibération et contrairement à ce qu’affirme la société, elle n’a pas apporté la preuve de la correction de toutes les vulnérabilités dès qu’elles ont été portées à sa connaissance et avant le contrôle réalisé par la CNIL. 
118. En troisième lieu, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, d) du RGPD, du degré de responsabilité du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'il a mises en œuvre en vertu des articles 25 et 32 du RGPD.
119. Or, comme démontré au point II.B., la formation restreinte estime que la société NEXPUBLICA FRANCE ne saurait se défaire de ses responsabilités de mise en œuvre de mesures techniques et organisationnelles adaptées pour le PCRM.
120. En quatrième lieu, la formation restreinte entend tenir compte des catégories de données à caractère personnel concernées par le manquement, en application de l’article 83, paragraphe 2, g) du RGPD.
121. La formation restreinte rappelle que le traitement en cause comporte des données relatives à la santé, et notamment au handicap, qui sont des catégories particulières de données au sens de l’article 9 du RGPD, dites données " sensibles ". La formation restreinte souligne que bien qu’il ne soit pas rapporté que des documents médicaux aient été compromis, il n’en demeure pas moins que les lacunes en termes de sécurité ont fait peser un risque certain sur la confidentialité de ces données " sensibles ".
122. Par ailleurs les données effectivement compromises, relatives aux descriptifs des prestations rattachées aux dossiers des usagers, donnent de nombreuses indications sur l’identité et les situations personnelles des personnes concernées, y compris des données de mineurs. La formation restreinte ajoute que le simple fait de figurer dans le traitement et de percevoir des prestations permet de déduire que la personne est en situation de handicap.
123. Enfin, c’est aussi le cumul de toutes les données traitées qui permet de fournir des indications précises et complètes sur la quasi-totalité des aspects de la vie intime et privée des personnes concernées et de leurs proches.
124. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié. 
2. Sur le montant de l’amende
125. En défense, la société considère que le montant de l’amende proposée par le rapporteur est disproportionné au regard de son chiffre d’affaires, des décisions récentes de la formation restreinte, ainsi que (…). De plus et par analogie avec les règles du droit de la concurrence, elle estime que la part du chiffre d’affaires lié au PCRM dans son chiffre d’affaires global devrait être prise en compte dans la détermination du montant de l’amende, en lieu et place de son chiffre d’affaires global.
126. La formation restreinte rappelle tout d’abord que l’article 83 du RGPD, pour déterminer le montant de l’amende, fait référence à un montant (jusqu’à 10 000 000 d’euros) ou, dans le cas d'une entreprise, à un pourcentage du chiffre d’affaires annuel (jusqu’à 2%), le montant le plus élevé étant retenu. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées.
127. S’agissant de la comparaison avec des amendes prononcées dans d’autres procédures, la société ne peut utilement comparer sa situation à celles d’autres entreprises ayant été sanctionnées pour des manquements prétendument similaires, dans la mesure où le montant d’une amende doit être déterminé au cas par cas. Le Conseil d’État a en ce sens considéré que " la circonstance que des amendes d'un montant plus faible, en proportion de leur chiffre d'affaires mondial, auraient été prononcées par la formation restreinte de la CNIL à l'encontre d'autres sociétés est sans incidence sur la proportionnalité de la sanction infligée à la société requérante " (CE, 10ème et 9ème chambre réunie, 14 mai 2024, société VOODOO, n° 472221).
128. Par ailleurs la formation restreinte rappelle que si des éléments tels que les bénéfices et pertes réalisés par la société, ou encore le chiffre d’affaires généré spécifiquement par le PCRM, peuvent être pris en compte au titre de l’évaluation des critères de l’article 83 du RGPD, ils ne peuvent se substituer au chiffre d’affaires de la société qui reste le seul élément de détermination du plafond de l’amende maximale encourue. La CJUE a estimé que " seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire […] est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive " (" Deutsche Wohnen " et " Ilva A/S " précités). Ainsi la formation restreinte estime que le droit applicable ne lui impose pas de se limiter au chiffre d’affaires du produit en cause – en l’espèce le PCRM – pour déterminer le montant maximal de l’amende encourue.
129. Enfin, la formation restreinte estime que (…) – en l’espèce des courriers non publics échangés dans le cadre d’instructions avec des tiers – ne sauraient utilement être invoqués. En effet la formation restreinte ne prend en considération, afin de déterminer le montant de l’amende, que le manquement constaté en lien avec le PCRM dans la présente procédure.
130. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu de retenir le chiffre d’affaire de l’entreprise. Elle rappelle qu’en 2024, la société NEXPUBLICA FRANCE a réalisé un chiffre d’affaire de (…) d’euros, pour un résultat net de (…) d’euros.
131. Dès lors, au regard de la responsabilité de la société NEXPUBLICA FRANCE, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant d’un million sept-cent mille euros (1 700 000 €), au regard du manquement constitué à l’article 32 du RGPD, apparaît justifiée.
B. Sur la publicité de la sanction
132. La société conteste la proposition du rapporteur de rendre publique la présente délibération, estimant cette mesure non nécessaire étant donné que les manquements sont désormais corrigés. Elle estime que (…). La publicité de la décision porterait une atteinte grave et immédiate à son image alors qu’elle vient de prendre son autonomie juridique et organisationnelle.
133. La formation restreinte considère que (…). Par ailleurs si la société a changé de dénomination sociale, la formation restreinte relève qu’elle continue à éditer et héberger le PCRM pour la MDPH du département du Nord, dans la continuité des activités d’INETUM SOFTWARE FRANCE. Ainsi la publicité se justifie au regard de la gravité avérée du manquement en cause, de la sensibilité du traitement, de la négligence dont a fait preuve la société ainsi que du nombre de personnes concernées, lesquelles se doivent d’être informées. 
134. Elle estime que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
- de prononcer à l’encontre de la société NEXPUBLICA FRANCE, une amende administrative d’un montant d’un million sept-cent mille euros (1 700 000 €) au regard du manquement à l’article 32 du RGPD ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
N° de demande d'avis : 25013337.
Thématiques : titres d'identité, TES, passeport, CNI, identité numérique.
Organisme à l'origine de la saisine : ministère de l'intérieur.
Fondement de la saisine : article 32 de la loi du 6 janvier 1978 modifiée.
L'essentiel :
1. Les finalités du traitement "TES" sont modifiées, d'une part, pour étendre le périmètre du traitement à la lutte contre l'ensemble des procédés de fraude à l'identité et aux titres d'identité ; d'autre part, pour intégrer la vérification en mairie de l'identité des titulaires d'une carte nationale d'identité électronique souhaitant disposer d'un moyen d'identification électronique certifié. Pour rappel, celui-ci permet l'accès à certaines démarches nécessitant un haut niveau de garantie, telle que la procuration en ligne ;
2. Les évolutions projetées sont légitimes ;
3. La CNIL accueille favorablement les modifications proposées qui améliorent la lisibilité des durées de conservation, sans allonger pour autant cette durée.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 32 ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte