AgentPublic/cnil huggingface dataset:
58. S’agissant du fichier produit par la société, la formation restreinte relève qu’il ne correspond pas à celui recueilli lors du contrôle, dans la mesure où son empreinte numérique et sa taille diffèrent. Elle relève en outre que cette différence est confirmée par son contenu puisque, contrairement aux constatations figurant au procès-verbal du 23 septembre 2021, il ne contient aucune donnée de prospects mais seulement des liens URL assortis de commentaires (" ok ", " une seule case à cocher ", " litigieux ").
59. Enfin, la formation restreinte observe que le contenu du fichier produit n’apparait pas cohérent avec la finalité invoquée dans la mesure où les commentaires sommaires et non datés qui y figurent ne sont reliés à aucune fiche de prospect et qu’il n’est par ailleurs pas démontré que les non conformités identifiées auraient fait l’objet de remontées à la société […]. La formation restreinte considère ainsi qu’en tout état de cause, un tel fichier ne permet pas de démontrer l’existence de vérifications réalisées sur les fichiers livrés.
60. D’autre part, s’agissant des autres pièces du dossier, la formation restreinte note qu’elles attestent exclusivement d’exigences imposées par la société […] à la société […], préalablement à la reprise de leurs relations contractuelles, sans constituer des contrôles par la société […] sur les pratiques ultérieures de son prestataire.
61. La formation restreinte relève en tout état de cause que la proportion de fichiers non conformes parmi ceux examinés de manière aléatoire par la délégation (soit quatre fichiers non conformes sur les sept examinés) démontre l’insuffisance des mesures prises par la société pour s’assurer de la validité du consentement des personnes concernées.
62. Dès lors, en l’absence de base légale permettant à la société […] de fonder ses opérations de prospection commerciale par téléphone, la formation restreinte considère qu’un manquement à l’article 6 du RGPD est constitué.
B. Sur le manquement à l’obligation d’assurer la sécurité des données
63. Aux termes de l’article 32, paragraphe 1 du RGPD, " compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
64. La rapporteure relève que la société a indiqué conserver les données de ses clients pendant une durée de cinq ans à compter de la date de clôture du contrat, conformément aux délais légaux de prescription, précisant que ces données étaient conservées en base active, sans qu’aucun mécanisme d’archivage intermédiaire ne soit mis en œuvre. La rapporteure considère que ces modalités de conservation ne permettent pas de limiter l’accès aux données aux utilisateurs ayant besoin d’en connaître, dans la mesure où les personnes ayant intérêt à avoir accès à ces données pendant la durée du contrat continuent, même après la clôture de ce dernier, à pouvoir y accéder sans restriction pendant une durée de cinq ans, alors même que leurs fonctions ne leur imposent plus nécessairement d’en connaître.
65. En défense, la société ne conteste pas conserver les données de ses clients pendant une durée de cinq ans à compter de l’issue de la relation contractuelle, ni l’absence d’archivage intermédiaire, mais estime que la notion de " base active " constitue une terminologie restrictive dans la mesure où les informations accessibles durant la vie d’un contrat restent, pour la grande majorité d’entre elles, toujours nécessaires même après la clôture de ce dernier. Elle souligne également que la mise en place de mesures d’archivage intermédiaire pose la question du rapport entre l’effort d’investissement humain et financier qui serait nécessaire et le gain limité qui en découlerait.
66. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement doit mettre en place des mesures appropriées pour assurer la confidentialité des données et éviter que ces dernières soient traitées de façon illicite par le fait de personnes qui n’ont pas besoin d’en connaître (CNIL, FR, 29 octobre 2021, Sanction, n°SAN-2021-019, publié).
67. Ce besoin d’en connaître est susceptible d’évoluer en fonction du cycle de vie des données et des finalités pour lesquelles elles sont conservées. Ainsi, pendant la phase de leur utilisation courante, qui correspond à la durée nécessaire pour accomplir la finalité déterminée, les données sont conservées en " base active " et accessibles à l’ensemble des services chargés de la mise en œuvre du traitement. A l’issue de cette phase, lorsque les données ne sont plus utilisées pour atteindre l’objectif fixé mais qu’elles présentent encore un intérêt administratif pour l’organisme (par exemple pour la gestion d’un éventuel contentieux) ou doivent être conservées pour répondre à une obligation légale, elles doivent pouvoir être consultées uniquement de manière ponctuelle et motivée par des personnes spécifiquement habilitées, participant à l’objectif ayant justifié cette conservation, en faisant l’objet d’un archivage intermédiaire. Cet archivage intermédiaire nécessite d’opérer une séparation avec la base active, qui peut être physique (via un transfert des données au sein d’une base d’archives dédiée), ou logique (via la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder).
68. La formation restreinte relève que la société ne conteste pas conserver les données de ses clients à l’issue de la relation contractuelle, sans qu’aucune mesure d’archivage intermédiaire n’intervienne. La formation restreinte rappelle que la cessation des relations contractuelles doit conduire à limiter l’accès aux données à certains salariés en raison de leurs fonctions. Néanmoins, la formation restreinte considère qu’en l’état, les éléments qui figurent au dossier ne permettent pas d’établir que des personnes auraient accès auxdites données sans avoir besoin d’en connaître.
69. Il résulte ce qui précède que le manquement à l’article 32 du RGPD n’est pas constitué.
III. Sur le prononcé de mesures correctrices et la publicité
70. Aux termes de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
71. L’article 83 du RGPD prévoit que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
72. En premier lieu, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, le caractère délibéré ou non de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
73. La formation restreinte souligne que le manquement commis par la société porte sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel.
74. En effet, la formation restreinte rappelle que la conséquence du manquement à l’obligation de disposer d’une base légale pour traiter les données des prospects dans le cadre de la prospection commerciale par téléphone est de priver de licéité les opérations visées.
75. Elle souligne que, si la société entend fonder ces dernières sur la base légale du consentement, l’écosystème de la revente des données de partenaires en partenaires exige des garanties particulièrement fortes quant à la qualité et à la validité du consentement obtenu par le primo-collectant des données et dont les partenaires se prévalent à des fins de prospection commerciale. Elle souligne qu’à cet égard, l’organisme qui se prévaut d’un tel consentement pour mener des opérations de prospection commerciale endosse une responsabilité essentielle lui imposant, en tant que responsable de traitement, de s’assurer que les conditions lui permettant de réaliser lesdites opérations sont réunies, indépendamment de la responsabilité éventuelle des fournisseurs de données, primo-collectants. La formation restreinte considère que ces exigences doivent être particulièrement renforcées s’agissant des modalités de recueil du consentement des utilisateurs des sites web dont l’objet est d’offrir des perspectives de gains, ces personnes n’ayant pas nécessairement conscience de la portée de leur accord dans le cadre de leur inscription.
76. La formation restreinte rappelle également l’importance, en l’absence de recueil d’un consentement valide, de permettre aux personnes concernées de mesurer l’ampleur des traitements dont leurs données sont susceptibles de faire l’objet. Ainsi, le fait qu’au moment de la collecte des données, une liste détaillée des partenaires susceptibles de réaliser des opérations de prospection commerciale soit mise à la disposition des personnes concernées, sans que la société […] y figure, et sans que cette liste soit complétée par une mention précisant les catégories de partenaires dont pourrait faire partie la société […], prive les personnes concernées du socle minimal d’information permettant de préserver leurs intérêts, libertés et droits fondamentaux.
77. La formation restreinte insiste sur le fait que la société […], en tant que filiale de la société […], dispose de ressources humaines, financières et techniques suffisantes pour s’assurer du respect des règles relatives à la protection des données à caractère personnel.
78. Enfin, la formation restreinte entend tenir compte […]. 
79. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour le manquement à l’article 6 du RGPD.
80. En deuxième lieu, s’agissant du montant de l’amende administrative, la formation restreinte rappelle que la violation relevée en l’espèce concerne un manquement susceptible de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
81. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard qu’au titre de l’année 2021, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat d’exploitation de […] euros. La formation restreinte note que, si la société présente un résultat net déficitaire de […] euros, ce n’est qu’en raison d’un abandon de créance de […] euros au groupe […]. Par ailleurs, ce résultat exceptionnel n’étant pas déductible, la société […] a été soumise, pour l’année 2021, à un montant de […] euros au titre de l’impôt sur les sociétés. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que la situation financière de la société est saine.
82. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de trois cent dix mille euros (310 000 €) apparaît justifiée.
83. En troisième lieu, s’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité du manquement en cause, de la position de la société sur le marché, de la portée du traitement et du nombre de personnes concernées.
84. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits.
85. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société […] d’un montant de trois cent dix mille euros (310 000 €) pour manquement à l’article 6 du RGPD ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
 Alexandre LINDEN
Date de l'avis : 14 décembre 2023
N° de la délibération : 2023-135
N° de demande d'avis : 23013369
N° d'acte réglementaire unique :
			RU-81
Organisme à l'origine de la saisine : ministère des armées
Textes concernés :
code de la défense, titre IV de la loi informatique et libertés
Thématiques : biométrie, défense, contrôle d'accès
Fondement de la saisine :
article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
			1. La CNIL estime que les modalités de mise en place des systèmes de contrôle d'accès biométriques prévues par l'acte réglementaire unique sont globalement conformes à la réglementation en matière de la protection des données à caractère personnel.
			2. Elle constate toutefois que l'information des agents concernés sur l'existence et les caractéristiques principales du traitement, ainsi que sur leurs droits, doit se faire de manière individuelle lors de l'enrôlement, et recommande au ministère de compléter le décret sur ce point.
3. Elle considère que le stockage en base centralisée des gabarits biométriques n'est pas la modalité la plus protectrice pour les données des personnes concernées. Elle invite donc fortement le ministère, à défaut de modifier le projet de décret sur ce point, à privilégier le recours au stockage des gabarits sous forme chiffrée, de manière à ce qu'aucune donnée ne puisse être lue ni exploitée sans l'intervention de la personne concernée, celle-ci étant par exemple porteuse du badge permettant le déchiffrement du gabarit.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment son article 31 ;
Sur la proposition de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La sensibilité particulière de certains sites du ministère des armées nécessite un niveau de sécurité important des accès aux périmètres concernés.
Traditionnellement, plusieurs mesures de sécurité à la fois organisationnelles et techniques sont mises en œuvre à cette fin. Actuellement, parmi ces sites sensibles, deux font l'objet d'un contrôle d'accès encadré par décret :
- le décret n° 2017-1132 du 3 juillet 2017 autorisant la création d'un traitement automatisé de données à caractère personnel en vue d'un contrôle d'accès biométrique aux locaux d'un bâtiment de la direction générale de l'armement ;
- le décret n° 2018-504 du 21 juin 2018 autorisant la création d'un traitement automatisé de données à caractère personnel en vue d'un contrôle d'accès biométrique à une emprise de la marine nationale.
Le projet de décret tend à uniformiser ce cadre et à étendre son application à l'ensemble des emprises présentant un caractère particulièrement sensible. Par mesure de cohérence, les décrets nos 2017-1132 du 3 juillet 2017 et n° 2018-504 du 21 juin 2018 susmentionnés sont abrogés.
B. - L'objet de la saisine
Le projet de décret vise à adopter un acte réglementaire unique (ARU) au sens de l'article 31.IV de la loi informatique et libertés , permettant le recours à la biométrie à des fins de contrôle des accès à certains locaux relevant du ministère des armées. Il relève de son titre IV ( Dispositions applicables aux traitements intéressant la sûreté de l'Etat et la défense ).
Plus spécifiquement, cette nouvelle réglementation s'appliquera aux zones, locaux et sites entrant dans l'une des catégories suivantes :
- zone protégée au sens des articles R. 413-1 à R. 413-5 du code pénal ;
- zone de défense hautement sensible au sens des articles L. 4123-12 et R. 2363-1 à R. 2363-7 du code de la défense.
L'ARU permettra aux responsables desdites zones de mettre en place, à l'intention de leurs personnels, une solution de contrôle d'accès biométrique moyennant un engagement auprès de la CNIL de se conformer à l'ARU.
II. - L'avis de la CNIL
A. - Sur la finalité du traitement
L'article 1er du projet de décret prévoit que les traitements relevant de l'ARU ne peuvent avoir pour finalité que le contrôle de l'accès aux zones protégées.
Le ministère a indiqué que des mesures organisationnelles seront mises en place de manière à exclure toute consultation du dispositif à d'autres fins, par exemple pour le contrôle du respect des horaires des agents.
La CNIL prend acte de ces précisions et estime que les finalités de l'ARU sont déterminées, explicites et légitimes.
B. - Sur les données collectées
L'article 4 du projet de décret prévoit que seules seront enregistrées les données des membres du personnel affectés à ces zones protégées et autorisés à y pénétrer.
Ainsi, aucun enregistrement de données brutes (telles qu'une image photographique d'une personne ou une empreinte digitale) ou de gabarits biométriques ne sera fait des données des autres personnes qui pénètreraient dans ces zones, qu'elles y aient ou non été autorisées, y compris dans l'hypothèse d'un échec d'authentification.
Les catégories des données dont l'enregistrement est prévu comprennent notamment le gabarit de l'empreinte digitale et/ou de la photographie , ce qui exclut notamment la captation des flux vidéo.
La CNIL observe tout d'abord que la mention du gabarit de la photographie est perfectible : en effet, le gabarit étant calculé sur la base du visage, il parait plus juste de mentionner ce dernier.
En outre, elle relève qu'en l'état de sa rédaction, le projet de décret ne mentionne que les catégories des données qui feront l'objet d'un enregistrement durable dans le dispositif. Or, certaines catégories de données pourtant traitées n'y sont pas mentionnées. Tel est le cas des données brutes (empreinte digitale brute et photographie du visage) à partir desquelles sont calculés des gabarits, quand bien même elles sont détruites sans délai.
La CNIL estime que le projet de décret doit être modifié en ce sens et complété de manière à lister toutes les catégories de données traitées, quand bien même certaines ne feraient pas l'objet d'un enregistrement durable.
C. - Sur le choix des modalités de détention des gabarits
L'article 2 du projet de décret prévoit que le gabarit peut être indifféremment enregistré dans la base de données ou intégré au badge d'accès biométrique de l'agent. La CNIL, si elle entend le fait qu'il est nécessaire, pour répondre à des contextes variés, de permettre cette souplesse dans les modalités de mise en œuvre de la biométrie, invite néanmoins le ministère à prendre en compte les remarques suivantes.
Tout d'abord, le stockage en base centralisée des gabarits biométriques n'est pas la modalité la plus protectrice en termes de sécurité des données. En effet, l'existence d'une base centralisée rend possible une fuite de ces données, fuite qui peut potentiellement exposer de manière irréversible les données biométriques de toutes les personnes concernées.
Ensuite, le stockage des gabarits biométriques directement sur les badges d'accès des personnes, s'il est accompagné d'un chiffrement adéquat des données stockées, n'expose pas à un risque excessif en cas de perte, dans la mesure où la lecture ou la falsification de ce gabarit est impossible. L'impact, en termes de risque, de la perte éventuelle d'un badge d'accès est donc le même que dans le cas d'un stockage centralisé, à ceci près qu'il ne porte que sur une seule personne.
Enfin, il est compréhensible que des contraintes opérationnelles (gestion centralisée des droits, complexité et coût des cartes biométriques) rendent complexe la mise en œuvre de la biométrie avec gabarit sous maîtrise des personnes concernées comme décrit ci-dessus. Pour parer à ces difficultés, il est possible de mettre en œuvre une biométrie comprenant une base de données contenant les gabarits de l'ensemble des employés, mais de chiffrer ces données de manière à ce qu'aucune donnée ne puisse être lue ni exploitée sans l'intervention de la personne concernée, celle-ci conservant la clef de chiffrement sur son badge. Cette modalité permet à la fois de parer aux risques d'atteinte à la base centralisée et de limiter la complexité technique des badges utilisés.
La CNIL incite donc fortement le ministère, à défaut de préciser le projet de décret, à encourager le recours à ce dernier type de dispositif. Si les badges actuels ne permettent pas de stocker le secret nécessaire à cette modalité, la CNIL invite le ministère à mettre en œuvre des travaux pour changer cet état de fait.
Par ailleurs, elle prend acte de l'engagement du ministère de publier en même temps que le décret, un guide accompagnant la mise en place du processus biométrique qui recommandera aux responsables des sites concernés de privilégier soit le stockage des gabarits sur les badges (plutôt que sur des serveurs centralisés), soit le stockage d'un secret sur le badge permettant de lire le gabarit biométrique.