AgentPublic/cnil huggingface dataset:
92. En premier lieu, sur le principe du prononcé d’une amende, la société soutient en défense qu’une telle mesure n’est pas justifiée. La société affirme qu’elle s’est conformée à ses obligations légales et réglementaires et qu’elle a coopéré avec la CNIL de manière diligente et en toute bonne foi depuis la prise de connaissance de l’incident de sécurité. Elle souligne notamment qu’elle a notifié la violation de données à la CNIL dès sa prise de connaissance dans le délai réglementaire de 72 heures, fait diligenter des investigations ayant permis de conclure à une absence de risque pour les droits et libertés des personnes concernées, mis en place des mesures correctives très rapidement et informé les marchands concernés à bref délai. 
93. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
94. La formation restreinte relève tout d’abord que les manquements concernent un nombre très important de personnes, puisque la violation de données a concerné plus de 12 millions de débiteurs.
95. La formation restreinte relève ensuite que les données accessibles (civilité, nom, prénom, adresse électronique, adresse postale, numéro de téléphone, BIC/IBAN) permettent d’obtenir des informations très précises sur les personnes concernées en révélant leur identité et leurs coordonnées. En outre, des données particulières sont en cause dès lors que certaines sont relatives à des informations financières. Le fait notamment que figure l’IBAN n’est pas anodin. Comme la Banque de France l’a indiqué dans son ouvrage " Paiements et infrastructures de marché à l’ère digitale ", les IBAN sont des données de paiement " sensibles " (au sens courant du terme) car pouvant être utilisées pour commettre des fraudes. Le Comité européen de la protection des données qualifie ce type de données de " hautement personnelles ". La formation restreinte considère que la société aurait dû faire preuve d’une vigilance particulière en ce qui concerne la sécurisation de telles données, lesquelles peuvent être réutilisées par des tiers non autorisés, portant ainsi préjudice aux personnes concernées par la violation de données. Celles-ci sont par exemple exposées à un risque d’usurpation d’identité ou d’hameçonnage (ou " phishing ", c’est-à-dire l’envoi de courriers frauduleux aux fins d’obtention de données) dès lors que leur identité complète, associée à leur adresse électronique pour un grand nombre, était librement accessible.
96. La formation restreinte relève enfin que les données sont restées accessibles pendant une très longue période, entre la fin de l’import des données sur le serveur en novembre 2015 et la découverte de l’incident par la société le 14 février 2020, et ce alors que le traitement concerné, le projet de recherche, avait pris fin en juillet 2016. Il ressort des éléments figurant au dossier que, préalablement à la survenance de la violation de données, la société n’avait pas pris les mesures élémentaires en termes de sécurité. Ce n’est qu’à la faveur d’un signalement par un marchand que le défaut de sécurité a été porté à la connaissance de la société.
97. Si la formation restreinte relève que la société […] a immédiatement réagi à la violation de données dès sa découverte en février 2020 et qu’elle a coopéré tout au long de la procédure avec les services de la CNIL, elle considère que la violation de données résulte d’une négligence des règles élémentaires de sécurité des systèmes d’information qui a conduit à rendre accessibles à des tiers non autorisés les données à caractère personnel traitées par la société.
98. La formation restreinte rappelle que les négligences commises en matière de sécurité étaient particulièrement graves : l’accès au serveur en cause n’était encadré d’aucune mesure de restriction d’accès satisfaisante, la société n’avait mis en place aucune mesure de journalisation des accès au serveur et les données contenues dans le serveur pouvaient facilement être lues.
99. La formation restreinte note que cette négligence est d’autant plus grave au regard du secteur d’activité de la société qui se targue par ailleurs d’être le leader européen des paiements récurrents et qui est une société dont la gestion de systèmes d’information complexes est le cœur de métier.
100. La formation restreinte relève en outre que, en méconnaissance de l’article 34 du RGPD, la société n’a pas informé les personnes concernées de la survenance de la violation de données, alors qu’elle disposait de plus de 6 millions d’adresses de messagerie électronique pour ce faire, soit environ de la moitié des personnes concernées, et qu’elle aurait pu informer la moitié restante par le biais d’une communication publique sur son site.
101. La formation restreinte rappelle enfin que la société a eu recours à des sous-traitants agissant sous son autorité en tant que sous-traitants de second niveau vis-à-vis des marchands, pour les services qu’elle fournit à ces derniers, sans avoir effectué de démarches suffisantes pour s’assurer que ces derniers présentent les garanties requises et sans avoir conclu avec certains d’entre eux de contrats contenant l’ensemble des clauses prévues par l’article 28 paragraphe 3 du RGPD. 
102. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 28 paragraphes 3 et 4 du RGPD, 32 et 34 du RGPD.
103. En deuxième lieu, s’agissant du montant de l’amende, la société considère que celui proposé par la rapporteure est disproportionné au regard de sa situation économique. Elle insiste sur sa situation financière déficitaire et précise qu’une amende élevée aurait un impact catastrophique pour les emplois qu’elle tente de pérenniser.
104. La formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 28, 32 et 34 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
105. La formation restreinte rappelle également que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2019 et de […] euros en 2020, pour un résultat net s’élevant à […] euros en 2019 et à […] euros en 2020. 
106. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 180 000 euros apparaît justifié.
107. En troisième lieu, s’agissant de la publicité de la sanction, la société x fait valoir qu’elle tente de se faire une place sur un marché international très concurrentiel de prestataires de services de paiement, majoritairement dominé par des sociétés chinoises et américaines, qui sont peu soucieuses de la protection des données des Européens. Elle ajoute déployer des efforts substantiels depuis plus de dix ans pour devenir un partenaire de confiance pour les acteurs économiques européens, précisant qu’une sanction publique anéantirait durablement les résultats obtenus grâce à ses efforts. 
108. La formation restreinte considère que la publicité de la sanction se justifie au regard de la gravité des manquements commis, de leur persistance et du nombre de personnes concernées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer à l’encontre de la société […] une amende administrative d’un montant de 180 000 (cent quatre-vingt mille) euros ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par ministère de la culture d'une demande d'avis concernant un projet de décret modifiant le décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après RGPD ) ;
Vu le code de la propriété intellectuelle, notamment son article L. 331-29 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l'accès aux œuvres culturelles à l'ère numérique ;
Vu le décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet ;
Après avoir entendu le rapport de Mme Aminata NIAKATÉ, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Etant rappelés les éléments de contexte suivants :
La loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur Internet a abouti à la création de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet (HADOPI).
C'est la commission de protection des droits, au sein de la HADOPI, qui met en œuvre la procédure dite de la réponse graduée : elle est chargée d'envoyer aux abonnés à Internet concernés une recommandation lorsqu'elle est saisie de faits susceptibles de constituer un manquement à l'obligation faite à tout abonné de veiller à l'usage licite de son accès à Internet. En cas de récidive dans les six mois, une nouvelle recommandation est envoyée.
A cette fin, la HADOPI est autorisée, aux termes de l'article L. 331-29 du code de la propriété intellectuelle, à créer un traitement automatisé de données à caractère personnel portant sur les personnes faisant l'objet de la procédure de la réponse graduée.
Le décret n° 2010-236 du 5 mars 2010 fixe ainsi les modalités d'application de ce traitement automatisé dénommé Système de gestion des mesures pour la protection des œuvres sur Internet et prévoit sa mise en œuvre par la commission de protection des droits.
La Commission relève que plusieurs associations ont demandé au Conseil d'Etat l'abrogation de ce décret. Par décision n° 433539 du 5 juillet 2021, le Conseil d'Etat a considéré que les requérantes ne sont pas fondées à soutenir que le décret se trouve privé de base légale. Il a toutefois sursis à statuer jusqu'à ce que la Cour de justice de l'Union européenne se soit prononcée sur le point de savoir, notamment, si la directive européenne du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques impose à la HADOPI d'obtenir, avant toute demande de données à caractère personnel aux fournisseurs d'accès à Internet, l'autorisation d'une juridiction ou d'une entité administrative indépendante.
La loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l'accès aux œuvres culturelles à l'ère numérique a créé l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), fusion du Conseil supérieur de l'audiovisuel (CSA) et de la HADOPI.
La disparition de la HADOPI et la création de l'ARCOM à compter du 1er janvier 2022 emporte notamment des conséquences quant à la mise en œuvre de la procédure de la réponse graduée. C'est dans ce contexte que le ministère de la culture a saisi la Commission d'une demande d'avis relative à un projet de décret modifiant le décret n° 2010-236 du 5 mars 2010.
Emet l'avis suivant sur :
L'économie générale du projet de décret :
Sur la prise en compte d'une nouvelle modalité de saisine de l'ARCOM :
L'article 1er de la loi du 25 octobre 2021 prévoit une nouvelle modalité de saisine de l'ARCOM sur la base d'un constat d'huissier établi à la demande d'un ayant droit.
En conséquence, l'article 9 du projet de décret prévoit que les données à caractère personnel et informations provenant des constats d'huissier pourront désormais être enregistrées (en sus des données provenant des organismes de défense professionnelle régulièrement constitués, des organismes de gestion collective, du Centre national du cinéma et de l'image animée ainsi que celles provenant du procureur de la République).
Cette modification n'appelle pas d'observations.
Sur les délais d'effacement des données à caractère personnel et informations figurant en annexe du décret du 5 mars 2010 :
Au vu de l'allongement de six mois du délai de saisine de l'ARCOM par le procureur de la République, l'article 4 du projet de décret prévoit d'allonger les délais d'effacement des données qui passent de :
- quatorze à vingt mois, après la date de l'envoi d'une recommandation prévue au premier alinéa de l'article L. 331-25 du code de la propriété intellectuelle dans le cas où n'est pas intervenue, dans ce délai, la présentation au même abonné d'une nouvelle recommandation prévue au deuxième alinéa du même article ;
- vingt et un à vingt-sept mois, après la date de présentation de la lettre remise contre signature ou de tout autre moyen propre à établir la preuve de la date de présentation de la recommandation prévue au deuxième alinéa de l'article L. 331-25 du code de la propriété intellectuelle si la commission de protection des droits n'a pas transmis au parquet territorialement compétent une procédure en application de l'article R. 331-43 du code de la propriété intellectuelle.
L'article 4 du projet de décret prévoit également d'allonger d'un an le délai d'effacement des données après la transmission des dossiers par l'ARCOM au procureur de la République, en raison du temps de traitement des procédures par l'autorité judiciaire.
Au vu des précisions apportées par le ministère, la Commission considère que les données collectées sont conservées pendant une durée qui n'excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 5-1-e du RGPD.
Sur l'ajout du port source parmi les données pouvant être enregistrées
L'article 9 du projet de décret vise à ajouter le port source parmi les données pouvant être enregistrées par l'ARCOM dans le traitement Système de gestion des mesures pour la protection des œuvres sur Internet .
La Commission avait déjà été saisie d'une demande d'avis sur un projet de décret visant à ajouter le port source parmi les données pouvant être enregistrées par la HADOPI dans le traitement de la procédure de réponse graduée. Dans le cadre de sa délibération n° 2020-132 du 17 décembre 2020, elle avait considéré qu'il s'agissait d'une adaptation technique permettant le fonctionnement de la procédure de réponse graduée.
Sur la suppression de la possibilité d'enregistrer les données à caractère personnel et informations relatives à l'abonné recueillies auprès des prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) :
Le projet de décret supprime la possibilité d'enregistrer les données relatives à l'abonné recueillies auprès des prestataires mentionnés par la LCEN.
La Commission relève que cette modification résulte de la décision n° 2020-841 QPC du 20 mai 2020 du Conseil constitutionnel qui a notamment jugé contraire à la Constitution le troisième alinéa de l'article L. 331-21 du code de la propriété intellectuelle qui permettait l'obtention de tous documents, quel qu'en soit le support, y compris les données conservées et traitées par […] les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique .
Les conditions de mise en œuvre du traitement :
L'article 1er du décret n° 2010-236 du 5 mars 2010 est modifié afin de prévoir que le membre de l'ARCOM désigné en application du IV de l'article 4 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication met en œuvre le Système de gestion des mesures pour la protection des œuvres sur Internet en lieu et place de la commission de protection des droits de la HADOPI.
Cette modification résulte de loi n° 2021-1382 du 25 octobre 2021 qui prévoit que l'ARCOM désigne, en dehors de leur présence, celui des deux membres en activité du Conseil d'Etat et de la Cour de cassation, qui exerce, pendant la première moitié de son mandat, la mission relative à la réponse graduée. L'autre membre, qui le supplée dans l'exercice de cette mission, lui succède pour exercer cette mission pendant la deuxième partie de son mandat.
La Commission relève qu'aux termes de l'article L. 331-23 du code de la propriété intellectuelle, dans sa rédaction issue de la loi n° 2021-1382 du 25 octobre 2021, l'ARCOM est autorisée à créer le traitement. Elle souligne également que le législateur a confié à l'ARCOM la mission de protection des œuvres et des objets auxquels sont attachés un droit d'auteur, et/ou un droit voisin. En application de l'article L. 331-12 du code de la propriété intellectuelle dans sa version en vigueur à compter du 1er janvier 2022, il appartient notamment à l'ARCOM de prendre toute mesure susceptible de remédier aux atteintes au droit d'auteur et aux droits voisins.
Au regard de ces éléments, il apparaît que l'ARCOM détermine, seule, les finalités et les moyens du traitement nécessaire afin d'assurer le mécanisme de réponse graduée , encadré par la loi du 25 octobre 2021 et le décret du 5 mars 2010.
La Commission rappelle que les conditions de mise en œuvre d'un traitement ne se confondent pas avec la détermination de ses finalités et de ses moyens. Ainsi, le fait que le Système de gestion des mesures pour la protection des œuvres sur Internet soit mis en œuvre par un membre de l'ARCOM, et que le droit d'accès s'exerce auprès lui, ne modifient pas la qualité de responsable de traitement de l'ARCOM au sens de l'article 4 du RGPD.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif aux atteintes aux systèmes de traitement automatisé de données dénommé MISP-PJ ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie par le ministère de l'intérieur, sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée, d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif aux atteintes aux systèmes de traitement automatisé de données dénommé MISP-PJ .
Le traitement Malware Information Sharing Platform - Police Judiciaire , ci- après MISP-PJ , mis en œuvre par la direction générale de la police nationale du ministère de l'intérieur, vise à centraliser les informations contenues dans les procédures judiciaires en matière d'atteintes aux systèmes de traitement automatisé de données, ainsi qu'à faciliter l'identification de l'auteur d'une infraction et les investigations correspondantes par le recoupement et l'analyse de ces informations.
Il est alimenté par des données techniques issues, d'une part, des logiciels de rédaction des procédures judiciaires de la police nationale (LRPPN) et de la gendarmerie nationale (LRPGN) et, d'autre part, du traitement de recueil d'informations techniques relatives aux incidents de sécurité sur les réseaux et systèmes d'information mis en œuvre par le centre d'alerte et de réaction aux attaques informatiques de la police judiciaire (CSIRT-PJ).
La Commission constate que la multiplication des risques liés à la cybersécurité et la sophistication croissante des moyens des attaquants requièrent en effet une adaptation des outils à la disposition des services de police et de gendarmerie nationales. La diversité des cibles et de l'origine des attaques peut justifier la recherche de rapprochements entre différentes situations. D'une manière générale, la Commission accueille favorablement ce projet qui contribuera à une lutte plus efficace contre la cybercriminalité.
Dans la mesure où les finalités poursuivies par le traitement permettent la prévention, la recherche, la constatation ou la poursuite des infractions pénales, la Commission considère qu'il relève des dispositions des titres I et III de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement
L'article 1er du projet d'arrêté prévoit que le traitement MISP-PJ a pour finalités :
- d'une part, de centraliser, au niveau national, les informations contenues dans les procédures judiciaires ouvertes dans les services de police et de gendarmerie nationales en matière d'atteintes au système de traitement automatisé de données ;
- d'autre part, de renforcer l'efficacité des investigations par le recoupement et l'analyse des informations recueillies.
La Commission relève que la centralisation des informations et les recoupements constituent des moyens par lesquels la finalité générale du traitement, à savoir le renforcement de l'efficacité des investigations peut être poursuivie. Elle prend acte de ce que le ministère a modifié l'article 1er du projet d'arrêté en conséquence.
Le traitement MISP-PJ vise ainsi à permettre de recouper des éléments techniques (ou indicateurs de compromission) collectés dans les différentes procédures judiciaires. Les recoupements seront effectués automatiquement au sein même de l'application MISP-PJ qui prévoit de signaler lorsque plusieurs dossiers partagent un indicateur technique identique. Ils permettront aux enquêteurs de réaliser des liens entre certaines atteintes et ainsi faciliteront leurs investigations. La Commission prend acte de ce que le résultat des analyses de ces recoupements et les suites de l'enquête ne seront pas enregistrés dans le traitement MISP-PJ mais dans le dossier judiciaire.