AgentPublic/cnil huggingface dataset:
121. S’agissant du manquement à l’obligation de recueillir le consentement des personnes concernées au traitement de données sensibles relatives à la santé, la formation restreinte relève tout d’abord que la société a fait preuve de négligence en s’abstenant de recueillir le consentement des utilisateurs lorsqu’elle leur proposait des tests supposant la collecte de données relatives à leur santé. Elle relève ensuite que ce manquement concerne un nombre important de personnes, la société indiquant que 5% des tests proposés seraient susceptibles de permettre la collecte des données de santé, ce qui représente environ […] réponses. La formation restreinte considère par ailleurs qu’il convient, concernant ce manquement, de prendre en compte la nature de l’acteur concerné et son secteur d’activité. En effet, la société […] diffusant des contenus numériques relatifs à la santé, elle ne saurait éluder une telle obligation. 
122. S’agissant du manquement à l’obligation d’assurer la sécurité des données personnelles, la formation restreinte considère qu’il a contribué à accentuer le fait que les données à caractère personnel des personnes traitées dans ce cadre n’aient pas bénéficié de la protection offerte par le RGPD.
123. S’agissant du manquement relatif aux cookies déposés sur le terminal de l’utilisateur lors de la visite du site web de la société, la formation restreinte considère que l’absence de recueil du consentement a concerné chacune des personnes qui ont visité le site web en question, soit nécessairement plusieurs millions de personnes, compte tenu du fait que la société revendique environ […] de visiteurs uniques du site web […] entre les mois de février 2020 et février 2021.
124. Enfin, la formation restreinte relève que les mesures de conformité mises en place à la suite de la notification du rapport de sanction n’exonèrent par la société de sa responsabilité pour les manquements constatés. 
125. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux article 5- 1-e), 9-2, 26 et 32 du RGPD et au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés. 
b. Sur le montant de l’amende administrative
126. La formation restreinte relève d’abord que les manquements relatifs aux articles 5-1-e) et 9-2 du RGPD sont des manquements à des principes clé du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
127. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois dissuasives et proportionnées. La formation restreinte relève que la société […] a réalisé, en 2021, un chiffre d’affaires d’environ […] pour un résultat net négatif de […]. 
128. La formation restreinte relève que la société […] est détenue à 100 % par la société […], qui est elle-même détenue par le groupe […]. Ce dernier a réalisé en 2021 un chiffre d’affaires consolidé d’environ […] et un résultat net en progression de […]. 
129. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant de deux cent quatre-vingt mille euros, au regard des manquements constitués aux articles 5-1-e), 9-2, 26 et 32 du RGPD et qu’une amende administrative d’un montant de cent mille euros au regard des manquements constitués à l’article 82 de la loi Informatique et Libertés apparaissent justifiées. 
B. Sur la publicité
130. La société conteste la proposition de la rapporteure de rendre publique la présente décision. Elle considère qu’au vu de l’ancienneté des faits et de la mise en conformité de la société, la vertu pédagogique et informative de la mesure de publicité de la sanction n’existe plus. Pour justifier cette demande de publicité, la rapporteure invoque notamment le nombre de personnes concernées et l’ancienneté de certaines données. 
131. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et du nombre de personnes concernées. La formation restreinte considère également que la publicité de la sanction permettra notamment d’informer l’ensemble des personnes concernées des suites apportées aux manquements. 
132. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, projette de décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de deux cent quatre-vingt mille euros (280 000 €) au regard des manquements constitués aux articles 5-1-e), 9-2, 26 et 32 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
• prononcer à l’encontre de la société […] une amende administrative d’un montant de cent mille euros (100 000 €) au regard du manquement constitué à l’article 82 de la loi du 6 janvier 1978 modifiée ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le vice-président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Date de l’avis : 19 janvier 2023
N° de la délibération : 2023-006
N° de demande d’avis : 22019047
Textes concernés : Projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19
Thématiques : SI-DEP, Vaccin-covid
Fondement de la saisine : article 8.I.4°-a) de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et article 11.V de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions modifiée
L’essentiel :
Au regard de l’évolution de la situation sanitaire, la loi du 30 juillet 2022 met fin aux régimes d’exception créés aux fins de la lutte contre l’épidémie de covid-19. Une modification des textes autorisant les traitements jusqu’ici mis en œuvre est donc nécessaire.
La CNIL propose de clarifier le projet concernant, notamment, les modalités d’exercice des droits des personnes selon les différentes finalités poursuivies par les traitements mis en œuvre.
Textes concernés : projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19.
Thématiques : SI-DEP, Vaccin-covid.
Fondement de la saisine : article 8.I.4°-a) de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et article 11.V de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions modifiée.
L'essentiel :
Au regard de l'évolution de la situation sanitaire, la loi du 30 juillet 2022 met fin aux régimes d'exception créés aux fins de la lutte contre l'épidémie de covid-19. Une modification des textes autorisant les traitements jusqu'ici mis en œuvre est donc nécessaire.
La CNIL propose de clarifier le projet concernant, notamment, les modalités d'exercice des droits des personnes selon les différentes finalités poursuivies par les traitements mis en œuvre.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Vu la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l'état d'urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu la loi n° 2022-1089 du 30 juillet 2022 mettant fin aux régimes d'exception créés pour lutter contre l'épidémie liée à la covid-19, notamment son article 2 ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :
I. La saisine
A. Le contexte
L'article 2 de la loi n° 2022-1089 du 30 juillet 2022 met fin aux régimes d'exception créés pour lutter contre l'épidémie liée à la covid-19 : à compter du 1er février 2023 et jusqu'au 30 juin 2023, le système d'information Contact Covid , SI-DEP et ceux mis en œuvre par les agences régionales de santé (ARS) en vue de la lutte contre l'épidémie de covid-19 ne pourront plus être mis en œuvre qu'aux fins :
- d'identification des personnes infectées ;
- de délivrance d'un justificatif d'absence de contamination ou d'un certificat de rétablissement ;
- de surveillance épidémiologique aux niveaux national et local, ainsi que de recherche sur le virus et les moyens de lutter contre sa propagation.
Cet article précise que les données à caractère personnel ne peuvent être traitées pour les deux premières finalités qu'avec le consentement des personnes concernées. S'agissant de la surveillance épidémiologique, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, ces traitements pourront être mis en œuvre en cas de collecte d'informations .
B. L'objet de la saisine
La Commission nationale de l'informatique et des libertés (CNIL) a été saisie par le ministre de la santé et de la prévention, en urgence, le 28 décembre 2022, puis le 17 janvier 2023 dans le cadre d'une saisine rectificative, d'un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19.
En premier lieu, le projet de décret vise à tirer les conséquences de l'état du droit qui entrera en vigueur au 1er février 2023, en modifiant le décret du 12 mai 2020 précité afin :
- d'abroger les dispositions relatives à Contact Covid - ce traitement n'ayant plus vocation à être alimenté ;
- concernant le traitement SI-DEP :
- de modifier ses finalités, la liste des données traitées, leurs destinataires, ainsi que leur durée de conservation afin d'adapter les conditions de mise en œuvre de ce traitement ;
- de modifier les modalités d'exercice des droits des personnes concernées pour tenir compte de la condition de consentement au partage de ses données aux fins de centralisation des résultats d'examens de dépistage et de délivrance d'un justificatif d'absence de contamination ou d'un certificat de rétablissement ;
- de modifier les finalités pour lesquelles les ARS peuvent mettre en œuvre des traitements de données dans le cadre de la lutte contre la covid-19, la liste des données ainsi traitées, leurs destinataires et leur durée de conservation, afin d'adapter les conditions de mise en œuvre de ces traitements.
En second lieu, le projet de décret a pour objet de modifier le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19. À cet égard, le projet modifie la liste des données traitées dans le système d'information Vaccin Covid , en ajoutant l'identifiant unique de certificat de vaccination des personnes concernées. Le projet de décret procède également à la suppression de toute référence au passe sanitaire et à Contact Covid .
II. L'avis de la CNIL
A. Sur le droit d'opposition
Le projet de décret prévoit de modifier les articles 13 et 14-4 du décret du 12 mai 2020, consacrés aux modalités d'exercice des droits des personnes concernées.
S'agissant du traitement SI-DEP , le 8° de l'article 1er du projet de décret tire les conséquences de l'ajout de la condition de consentement en garantissant le droit d'opposition des personnes concernées.
Ce droit est exclu pour la finalité de surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sauf pour ce qui concerne, en matière de recherche, la transmission des données au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie, telle que prévue au 3° du III de l'article 10 du décret.
Toutefois, la CNIL considère que la rédaction du 8° de l'article 1er ( le droit d'opposition prévu à l'article 21 de ce même règlement ne s'applique pas pour la finalité mentionnée au 1° de l'article 8, à l'exclusion de la transmission des données à des fins de recherche au groupement d'intérêt public… ) pourrait être clarifiée.
S'agissant des traitements mis en œuvre par les ARS, le 12° de l'article 1er du projet de décret tire les conséquences de la limitation des traitements à une finalité de surveillance épidémiologique au niveau régional. La CNIL prend acte de l'exclusion du droit d'opposition concernant les traitements mis en œuvre par les ARS.
B. Sur le droit à l'effacement
Le projet de décret ajoute, s'agissant du traitement SI-DEP et des traitements mis en œuvre par les ARS, le droit à l'effacement, parmi les droits dont disposent les personnes concernées.
La CNIL s'interroge sur la mention, sans plus de précision, d'un droit à l'effacement des données alors même que le décret entend, dans certains cas, écarter l'exercice du droit d'opposition et que le consentement n'a pas été retenu comme base légale du traitement ou condition permettant de traiter des données relatives à la santé.
La CNIL invite le ministère à préciser le projet de décret quant aux modalités d'exercice des droits des personnes.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données  ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1  ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Rose-Marie ABEL ;
Mme Madeleine CAZETTES DE SAINT LEGER  ;
Mme Virginie CLAUDE-LOONIS  ;
Mme Rosine DOLBEC ;
M. Antoine DROIN  ;
M. Rodolphe GÉNISSEL  ;
Mme Marie GAILLARDON  ;
Mme Sarah GUILLOU ;
M. Jérémie KOUZMINE ;
Mme Morgane LE HIR ;
Mme Noémie LICHON ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Lola TAIEB.
Article 2
La délibération n° HABS-2023-001 du 6 avril 2023 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
Date de l’avis : 16 février 2023
N° de la délibération : n° 2023-015
N° de demande d’avis : 2226835
Texte concerné : projet de décision relatif à la création d’un fichier central des titres permanents du permis de chasser
Thématiques : Office français de la biodiversité, permis de chasser, agriculture
 
Fondement de la saisine : article 8.I.2°.e) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
L’Office français de la biodiversité (OFB) crée un fichier central des titres permanents des permis de chasser afin d’organiser l’examen de ce permis et la délivrance des titres.
L’OFB envisage d’exclure le droit d’opposition. La CNIL estime cette exclusion possible au titre de l’article 23 du RGPD, l’OFB agissant en qualité d’établissement public dans le cadre de l’exécution de ses missions et au titre de son pouvoir réglementaire. La CNIL rappelle que la publicité et la précision de l’acte doivent être suffisantes afin de garantir les droits des personnes concernées.
La CNIL recommande de réaliser une analyse d’impact relative à la protection des données.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi "informatique et libertés"), notamment son article 8.I.2°.e) ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ADOPTE LA DÉLIBÉRATION SUIVANTE :
I. La saisine
A. Le contexte
Le droit de chasser est conditionné à la détention de trois éléments :
le titre permanent du permis de chasser, obtenu par la réussite d’un examen et délivré à vie ;
la validation du permis de chasser, qui consiste en une demande administrative et une cotisation à renouveler chaque année auprès de la fédération départementale compétente ; et
la souscription d’une assurance chasse.
L’article L. 423-4 du code de l'environnement crée un fichier national du permis de chasser constitué :
du fichier central des titres permanents du permis de chasser géré par l'Office français de la biodiversité (OFB) ; et
du fichier central des validations et autorisations de chasser géré par la Fédération nationale des chasseurs.
B. L’objet de la saisine
La CNIL a été saisie pour avis le 1er juillet 2022 par l’OFB d’un projet de décision relatif à la création du fichier central des titres permanents du permis de chasser.
Ce fichier vise à organiser l’inscription à l’examen du permis de chasser et la délivrance des titres permanents. Il a pour finalités l’analyse de la recevabilité des dossiers d'inscription à l'examen du permis de chasser et des demandes de duplicata des titres perdus, détruits ou détériorés.
L’OFB est le responsable de ce traitement, qu’il met en œuvre sur la base de l’exécution d’une mission d’intérêt public.
II. L’avis de la CNIL
A. Sur les données collectées
L’article 2 du projet de décision prévoit la collecte d’un certificat médical d’aptitude, attestant de l’absence d’affections médicales et infirmités rendant dangereuse la pratique de la chasse, prévues par les textes
[1]
. Sa présentation est obligatoire pour l’inscription à l’examen du permis de chasser
[2]
. Ce certificat constitue une donnée relative à la santé dont le traitement doit être permis par l’une des exceptions de l’article 9 du RGPD.
La CNIL prend acte de la mobilisation par l’OFB de l’article 9.2.g du RGPD, justifiant du traitement de cette donnée sensible en vertu du motif important de sécurité publique.
Par ailleurs, l’article 2 du projet de décision prévoit les mentions "retrait ou suspension du permis de chasser (oui/non)" et "inscription au FINIADA (oui/non)", qui constituent des motifs d’interdiction de la délivrance du permis de chasser conformément à l’article L. 423-11 du code de l’environnement. Ces décisions – provenant d’une autorité judicaire – constituent des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté au sens de l’article 10 du RGPD, dont le traitement doit être permis par l’une des exceptions de l’article 46 de la loi "informatique et libertés".
La Commission prend acte de la mobilisation par l’OFB de l’article 46.1 de la loi 
"informatique et libertés" pour traiter ces données 
en tant que personne morale gérant un service public et agissant dans le cadre de ses attributions légales. En outre, elle accueille favorablement la minimisation des données collectées à celles strictement nécessaires pour assurer la compatibilité de la situation juridique des personnes avec le port d’une arme.
B. Sur les durées de conservation
Le dossier de présentation indique que toutes les données collectées seront conservées pendant 99 ans. L’OFB précise que cette durée est nécessaire en cas de demande de délivrance de duplicata, ainsi que de sollicitation de la justice ou d’accident de chasse afin de vérifier que le permis a été délivré de manière régulière.
Cette durée particulièrement longue apparaît néanmoins justifiée, en son principe, par la délivrance à vie du permis de chasser.
La CNIL s’interroge cependant sur la pertinence de la conservation du certificat médical – donnée dite sensible au sens de l’article 9 du RGPD – pendant 99 ans. En effet, par ce document, le médecin atteste de la compatibilité, au moment de son inscription, de l’état de santé physique et psychique du candidat avec la détention d’une arme. Le dossier d’inscription étant validé une première fois par la fédération départementale de chasse, puis vérifié par l’OFB, la conservation de cette pièce n’apparaît pas justifiée au-delà de la durée nécessaire à la procédure d’inscription.
Au regard de la protection particulière requise pour le traitement d’une donnée sensible, la Commission recommande de réduire la durée de conservation du certificat médical et de limiter celle-ci au délai de prescription applicable à la contestation des résultats de l’examen. Elle accueille favorablement l’engagement de l’OFB à réduire cette durée à 1 an.
La CNIL prend également acte des évolutions de l’outil prévues afin de supprimer automatiquement les données à l’issue du délai retenu.
C. Sur le droit d’opposition