AgentPublic/cnil huggingface dataset:
43. Les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées par le CEPD le 7 juillet 2021 indiquent que " le sous-traitant ne doit traiter les données que selon les instructions du responsable du traitement. Ces instructions peuvent néanmoins lui laisser une certaine marge d’appréciation quant à la manière de servir au mieux les intérêts du responsable du traitement, en permettant au sous-traitant de choisir les moyens techniques et organisationnels les plus appropriés […] " et que " le niveau de détail des instructions données par le responsable du traitement au sous-traitant concernant les mesures à mettre en œuvre dépendra des circonstances spécifiques de l’espèce. […] Dans d’autres, il peut décrire les objectifs de sécurité minimaux à atteindre, tout en demandant au sous-traitant de proposer la mise en œuvre de mesures de sécurité spécifiques ".
44. La formation restreinte relève qu’il résulte de l’article 32 du RGPD que le sous-traitant est tenu de s’assurer que le traitement automatisé de données mis en œuvre pour le compte du responsable de traitement est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit et, d’autre part, en tenant compte de l’état des connaissances et du coût des mesures de sécurité nécessaires.
45. Elle considère qu’indépendamment des obligations qui pèsent en propre sur le responsable du traitement, il revient au sous-traitant de proposer et de mettre en œuvre les solutions techniques et organisationnelles adéquates en matière de sécurité des traitements. 
46. En l’espèce, compte tenu de son expertise en matière de développement de solutions informatiques et de ses obligations, il revenait à la société NEXPUBLICA FRANCE de rechercher les mesures techniques et organisationnelles de nature à assurer la confidentialité des données à caractère personnel traitées.
47. C’est d’ailleurs ce qu’il ressort du cahier des clauses techniques particulières (CCTP), qui régit la relation de sous-traitance entre la MDPH du département du Nord et la société NEXPUBLICA FRANCE. La société est en charge de l’hébergement, de la maintenance en condition opérationnelle, de l’évolution logicielle et de l’assistance technique pour la solution PCRM. Le CCTP détermine à ce titre un certain nombre d’obligations qui incombent à NEXPUBLICA FRANCE pour assurer le bon fonctionnement du logiciel (par exemple, en déterminant les spécifications fonctionnelles et techniques, en réalisant des tests d’intégration, ou plus généralement en assurant des missions de maintenance éditeur).
48. La formation relève qu’en sa qualité de responsable de traitement, la MDPH conserve un contrôle sur les finalités de mise en œuvre du traitement, par exemple en définissant ses besoins ou encore en validant les devis en lien avec le PCRM. Cependant il ressort du CCTP que la société NEXPUBLICA FRANCE dispose d’une marge de manœuvre importante pour assurer la sécurité du PCRM. Il y est par exemple précisé que NEXPUBLICA FRANCE est tenue " à une obligation de conseil, de mise en garde et de recommandations en termes de sécurité et de mise à l’état de l’art " ainsi que de mettre en place " les mesures nécessaires au respect des traitements déclarés. En particulier, [elle] assure la sécurité des données à caractère personnel qui pourraient lui être confiées par le Département du Nord ". 
49. Ainsi la formation restreinte estime que, sans préjudice de la responsabilité propre du responsable de traitement, il incombe à la société NEXPUBLICA FRANCE d’assurer la sécurité des données à caractère personnel traitées dans le PCRM.
2) S’agissant de la responsabilité de NEXPUBLICA FRANCE vis-à-vis de ses sous-traitants ultérieurs
50. Aux termes de l’article 28, paragraphe 4 du RGPD, " lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement [et] […] lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations. "
51. D’une part, la formation restreinte rappelle que la société NEXPUBLICA FRANCE sous-traite l’hébergement du PCRM à son sous-traitant ultérieur (…).
52. S’il ressort des dispositions de l’article 28, paragraphe 2 du RGPD, que " le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique [qui] prévoit, notamment, que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement […] ", la formation restreinte observe qu’il ressort du CCTP que le responsable de traitement a autorisé la société NEXPUBLICA FRANCE à recruter un sous-traitant ultérieur.
53. Il ressort également du contrat de sous-traitance conclu entre (…) et NEXPUBLICA FRANCE que la société (…) assure uniquement un rôle d’hébergement des données, de mise à disposition de machines virtuelles, ainsi que de respect des modalités d’authentification, et que c’est NEXPUBLICA FRANCE qui fournit à (…) les " instructions et directives nécessaires à l’exécution des prestations ". La société (…) quant-à-elle " s’engage à ne traiter les données que sur la base et conformément aux instructions documentées du client et du donneur d’ordre [la société INETUM SOFTWARE FRANCE] ".
54. Si dans son avis 22/2024 relatif à certaines obligations découlant du recours à un ou plusieurs sous-traitant(s) ou sous-traitant(s) ultérieur(s), le CEPD précise que la décision finale de recruter un sous-traitant ultérieur et la responsabilité qui en découle, y compris en ce qui concerne la vérification du caractère suffisant des garanties fournies par le sous-traitant ultérieur, incombent au responsable du traitement, la formation restreinte relève que le CEPD indique également que " le sous-traitant initial devrait veiller à proposer des sous-traitants ultérieurs fournissant des garanties suffisantes. […] Cela est également cohérent avec le fait que, indépendamment des critères suggérés par le responsable du traitement pour sélectionner les sous-traitants supplémentaires, le sous-traitant initial demeure pleinement responsable, devant le responsable du traitement, de l’exécution des obligations des sous-traitants ultérieurs (article 28, paragraphe 4, du RGPD) ".
55. Comme la société l’indique, la responsabilité du sous-traitant devant l’autorité de contrôle n’est pas automatique pour les actes des sous-traitants ultérieurs. Cependant, en l’espèce, la formation restreinte estime que la société NEXPUBLICA FRANCE reste à titre principal responsable du respect des règles en matière de protection des données à caractère personnel par son sous-traitant ultérieur, et ce sans préjudice de la responsabilité propre de la MDPH du département du Nord. La formation restreinte note également qu’il ressort des pièces de l’instruction que NEXPUBLICA FRANCE avait, en tout état de cause, connaissance d’éventuelles failles de sécurité résultant des mesures – ou de l’absence de mesure – mises en œuvre par la société (…).
56. D’autre part, la formation restreinte relève que si la société n’a pas développé l’application PCRM dans son intégralité et qu’elle a notamment intégré une brique technologique (…) développée par la société (…), ce choix ne résulte pas d’une demande expresse du responsable de traitement. En effet, il ressort des pièces du dossier que si la MDPH du département du Nord prescrit le recours à certains logiciels spécifiques dans le CCTP, tel n’est pas le cas de la brique logicielle développée par la société (…).
57. La formation restreinte relève ainsi que le recours à (…) relève d’un choix technique de la société NEXPUBLICA FRANCE et qu’à ce titre, il lui appartient de s’assurer que cette brique logicielle est exempte de vulnérabilités, au regard des finalités, des moyens et des risques pour le traitement en cause. 
58. Compte-tenu des éléments susmentionnés, la société NEXPUBLICA FRANCE ne saurait en l’espèce limiter sa responsabilité propre vis-à-vis d’acteurs tiers. 
C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel traitées
59. L’article 32-1 du RGPD dispose : " Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins : 
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] ".
60. L’article 32-2 du RGPD prévoit : " Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite ".
61. Le rapporteur estime que le niveau de sécurité assuré par un responsable de traitement ou un sous-traitant doit s’apprécier au regard du risque lié à la divulgation et à l’accès non autorisé aux données contenues dans le PCRM. En l’espèce, il souligne que le traitement comporte de nombreuses données à caractère personnel, dont des catégories particulières au sens de l’article 9, paragraphe 1 du RGPD. Il considère que la société a commis un manquement à l’article 32 du RGPD en n’assurant pas un niveau de sécurité des données traitées suffisamment élevé pour le PCRM, dans le cadre de ses activités de sous-traitance pour le compte de la MDPH du département du Nord.
62. En défense, la société NEXPUBLICA FRANCE fait valoir que le rapporteur s’est contenté d’exposer la sensibilité des données traitées et les risques pour les personnes concernées afin de conclure à l’inadéquation des mesures de sécurité mises en œuvre, sans démontrer en quoi elle a manqué aux obligations – de moyens et non de résultat – prévues par l’article 32 du RGPD, ni indiquer quelles mesures elle aurait dû mettre en place. 
63. Si elle reconnaît " l’existence théorique d’un risque informatique ", elle estime que ni le simple fait qu’une vulnérabilité puisse être exploitée en théorie, ni la survenance d’un incident de sécurité ne suffisent à caractériser un manquement au RGPD. Elle ajoute que les violations de données n’ont pas été causées par une défaillance structurelle du PCRM mais par des erreurs d'exploitation ponctuelles du logiciel, en rien liées aux vulnérabilités. À l’appui de ses déclarations, la société produit une évaluation externe réalisée par un expert en informatique et en droit de l’informatique, tendant à démontrer qu’elle a alloué des moyens significatifs matériels et humains au développement et à la maintenance du PCRM, dans le respect de l’état de l’art. Enfin, elle conteste les vulnérabilités relevées par le rapporteur, estimant qu’il ne tient pas compte de l’ensemble des mesures techniques mises en œuvre pour le PCRM, et qu’en tout état de cause elles ont été corrigées rapidement.
64. À titre liminaire, la formation restreinte rappelle que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens. Ainsi, tout défaut de sécurité n’entraine pas nécessairement un manquement à cette disposition. Le respect de l’obligation de moyens par un responsable de traitement ou un sous-traitant s’apprécie au regard du caractère approprié des mesures techniques et organisationnelles mises en œuvre, en tenant compte des risques et en appréciant si la nature, la teneur et la mise en œuvre de ces mesures sont adaptées à ces risques.
65. Cette analyse a été confirmée par la CJUE dans son arrêt " Natsionalna agentsia za prihodite " (14 décembre 2023, C/2024/1065, point 47), qui rappelle que l’absence de violation de données à caractère personnel ne suffit pas à démontrer l’absence de manquement, pas plus que la survenance d’une violation de données ne suffit à caractériser en elle-même l’existence d’un manquement à l’article 32 du RGPD. Des défauts de sécurité peuvent être sanctionnés en tant que tels en raison du risque qu’ils ont fait peser sur l’intégrité des données traitées. La formation restreinte sanctionne régulièrement des manquements à l’obligation de sécurité sans que ceux-ci soient nécessairement à l’origine d’une violation de données, tels qu’une politique de mot de passe insuffisamment robuste (délibération de la formation restreinte n° SAN-2018-009 du 6 septembre 2018, publiée), le stockage de mots de passe en clair (délibération de la formation restreinte n° SAN-2022-018 du 8 septembre 2022), l’absence de politique d’habilitation (délibération de la formation restreinte n° SAN-2021-019 du 29 octobre 2021, publiée) ou encore l’utilisation d’une version obsolète du protocole TLS (décision du président de la formation restreinte n° SANPS-2024-011 du 31 janvier 2024, non publiée).
66. De la même façon, un manquement à l’obligation d’assurer la sécurité des données traitées peut être caractérisé par la faiblesse généralisée d’un système d’information, ce qui a déjà sanctionné par le passé (délibération de la formation restreinte n° SAN-2023-022 du 29 décembre 2023, non publiée).
67. Sur ce point, la formation restreinte observe que l’ANSSI applique le principe de " défense en profondeur " aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité " sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose ", c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). La formation restreinte note que l’ANSSI fait reposer ce concept sur le postulat que " tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels " (voir la note blanche Système d'information hybride et sécurité : un retour à la réalité, 10 août 2021).
68. En l’espèce, la formation restreinte note que le PCRM comporte de nombreuses données à caractère personnel, dont des données d’identité, des données de santé, des données relatives au handicap, le numéro de sécurité sociale (NIR), ainsi que des données révélant des informations sur la situation financière, la vie personnelle et professionnelle, la vie familiale, quotidienne, scolaire ou encore professionnelle des personnes concernées. La compromission de ces données peut avoir des conséquences graves pour les personnes (usurpation d’identité, tentative d’hameçonnage (ou phishing), falsification de documents médicaux, chantage ou message de détresse factices, risques de discriminations etc.). La formation restreinte souligne également que le cumul de ces données, qui sont susceptibles d’être agrégées et combinées, fournit des informations extrêmement précises sur de nombreux pans de la vie des personnes concernées (par exemple sur les établissements fréquentés et le type exact de suivi de la personne, son niveau d’autonomie, les aménagements et le niveau d’aide dont elle bénéficie pour sa vie quotidienne, etc.).
(i) S’agissant des constats des audits réalisés par la solution (…) sur l’application PCRM
69. Le rapporteur estime que les différents audits de code (…) réalisés sur le PCRM permettent de révéler de nombreuses vulnérabilités critiques et importantes.
70. En défense, la société NEXPUBLICA FRANCE entend limiter la portée de ces audits, car ils résultent d’analyses automatisées du code qui peuvent faire émerger des faux positifs en raison de l’absence d’une contextualisation technique. Elle souligne à ce titre que plusieurs vulnérabilités identifiées n’étaient en réalité pas exploitables. Enfin, elle ajoute avoir corrigé rapidement et indépendamment de toute intervention de la CNIL les failles identifiées par les deux audits de 2021, comme en témoignent les résultats des audits de 2023 et 2024. 
71. La formation restreinte observe que les bilans (…) sont des audits de code automatisés (qui effectuent une première analyse du code source pour y détecter d’éventuelles vulnérabilités de sécurité et erreurs de programmation connues) qui nécessitent d’être interprétés afin d’en assurer la fiabilité, notamment pour éliminer les " faux-positifs ", c’est-à-dire lorsque l’outil d'analyse signale à tort qu'une règle de sécurité a été enfreinte. Elle estime néanmoins que ces audits permettent d’offrir une première analyse de la robustesse du code et de la présence ou non de vulnérabilités connues.
72. La formation restreinte observe à ce titre que le premier bilan du 14 avril 2021 a listé 199 vulnérabilités, dont 14 " critiques " et 129 " hautes " ; le deuxième bilan du 14 octobre 2021 a listé 103 vulnérabilités, dont 34 " critiques " et 65 " hautes ". La formation restreinte relève d’une part, l’augmentation du nombre de vulnérabilités " critiques " et, d’autre part, la persistance de nombreuses vulnérabilités entre les deux audits qui se sont déroulés à six mois d’intervalle. Elle considère que lorsque des vulnérabilité critiques sont identifiées, de façon certaine ou même potentielle, il revient à l’entité chargée de la sécurité de prendre rapidement des mesures afin qu’elles ne puissent être exploitées par un attaquant. 
73. Elle note également la présence de 14 failles (vulnérabilités) dans le premier audit, et de 18 dans le deuxième, qui figurent dans le top 10 des catégories de risques les plus critiques en matière de sécurité des applications web listés par l’OWASP (Open Worldwide Application Security Project, qui est une communauté en ligne travaillant sur la sécurité des applications web et publie des recommandations à ce titre). L’ANSSI recommande, pour la sélection d’un logiciel libre, que ce logiciel soit conforme aux recommandations de l’OWASP. 
74. Parmi les nombreuses vulnérabilités identifiées, la formation restreinte relève que plusieurs peuvent nuire à la confidentialité ou à l’intégrité des données traitées (par exemple (…)).
75. À titre d’exemple, la vulnérabilité (…).
76. Comme pour d’autres vulnérabilités, la société ne conteste pas son existence, mais soutient qu’elle ne pose pas de risque en pratique car d’autres facteurs empêchent son exploitation (en l’espèce, elle affirme (…)). Or, la formation restreinte relève que (…). Un individu connaissant la faille pouvait donc l’exploiter, et par exemple supprimer des messages entre un usager et le gestionnaire en (…). Cela démontre précisément la nécessité de disposer d’une " défense en profondeur " et de ne pas faire reposer la sécurité de tout le logiciel PCRM sur la sécurité d’un unique composant, celui-ci pouvant être contourné.
77. En outre, la formation restreinte note que le rapporteur relevait d’autres vulnérabilités identifiées par les audits faisant peser un risque critique sur la confidentialité des données traitées dans le PCRM, tels (…). La formation restreinte relève que si la société a indiqué avoir corrigé ces vulnérabilités, elle n’a pas contesté leur existence et leur degré de criticité.
78. La formation restreinte souligne que ce n’est qu’à la suite des violations de données intervenues en 2022 que la société a progressivement mobilisé ses ressources afin d’éliminer la quasi-totalité des vulnérabilités affectant le PCRM. Or, la persistance d’autant de vulnérabilités critiques durant plusieurs mois (a minima à partir du premier des rapports (…) d’avril 2021, et jusqu’à la violation de données fin 2022) met en lumière le manque d’attention portée par la société à la sécurisation des données qu’elle traite pour le compte du responsable de traitement.
79. La formation restreinte note que le bilan (…) du 14 février 2023 ne listait plus que trois vulnérabilités, dont aucune critique ou importante, et que le bilan du 12 décembre 2024 ne listait plus aucune vulnérabilité – ce qui reflète les correctifs apportés par NEXPUBLICA FRANCE à la suite des violations de données.
(ii) S’agissant des constats réalisés par les audits de la société (…)
80. Le rapporteur estime que le niveau de sécurité insuffisant du PCRM ressort également des deux audits réalisés par la société (…), qui révèlent de nombreuses vulnérabilités.
81. La société ne conteste pas les vulnérabilités mises en lumière par les deux rapports d’audits (…). Elle souligne néanmoins les avoir corrigées rapidement, et regrette que le rapporteur n’ait pas pris en compte la démarche de correction et d’amélioration continue du PCRM – ainsi qu’en atteste par exemple la baisse de criticité de la vulnérabilité relative (…).
82. La formation restreinte relève tout d’abord que c’est le responsable de traitement qui a mandaté la société (…) afin de procéder à des audits afin d’évaluer le niveau de sécurité de l’application PCRM, à la suite des violations de données. Elle relève ensuite que le premier rapport de décembre 2022 a mis en évidence " un niveau de sécurité moyen " avec des vulnérabilités importantes, dont une faille " critique " permettant à un utilisateur, en l’absence de contrôle des permissions d’accès aux ressources, de lire des documents ne lui appartenant pas. 
83. La société indique sur ce point que la vulnérabilité était due à une erreur humaine et qu’elle apparaissait encore dans le test d’intrusion (…) de décembre 2022, car les correctifs déployés directement après l’incident de sécurité de novembre 2022 n’avaient pris effet qu’en janvier 2023.
84. La formation restreinte relève que le second rapport d’audit de mars 2023 faisait apparaitre que certaines vulnérabilités identifiées dans le rapport de décembre 2022 n’avaient pas été corrigées. À titre d’exemple, la formation restreinte relève une vulnérabilité liée à (…). 
85. Les deux vulnérabilités précitées, qui ne constituent que des exemples parmi d’autres des vulnérabilités critiques affectant le PCRM, démontrent que la société NEXPUBLICA FRANCE n’a pas mis en place les conditions propices à garantir la confidentialité et l’intégrité des données pour le PCRM, compte tenu de ses caractéristiques rappelées au paragraphe 68. 
86. La société NEXPUBLICA FRANCE indique avoir depuis corrigé les failles relevées dans les rapports (…), ce dont la formation restreinte prend acte. 
(iii) S’agissant du chiffrement des données du PCRM
87. Le rapporteur estime que la société n’utilise pas les technologies à l’état de l’art pour le chiffrement des données du PCRM. 
88. La société n’a pas répondu sur ce point.