AgentPublic/cnil huggingface dataset:
D. - Sur l'information des personnes
S'agissant des modalités d'information des personnes, il ressort des précisions apportées qu'une information générale sera délivrée :
- sur une page web dédiée (Eduscol) ;
- par le biais d'un affichage dans les établissements d'enseignement.
Il n'est prévu d'information adaptée ni pour les personnes mineures, ni sur l'aménagement du principe de l'information individuelle.
De manière générale, la CNIL rappelle que le fait d'aménager le droit à l'information, en dérogeant au principe de l'information individuelle pour ne faire qu'une information générale doit, dans le projet de décret, répondre aux conditions prévues à l'article 23.2 du RGPD. Elle invite dès lors le ministère à indiquer dans le projet de décret s'il entend faire usage de cette disposition pour aménager le droit à l'information.
S'agissant, en particulier, de l'information des personnes mineures, la CNIL souligne l'importance de mettre à disposition de ces personnes une information simple et pédagogique, adaptée à la tranche d'âge. Cette information devra notamment expliquer clairement :
- l'objectif poursuivi par le traitement ;
- qui seront les accédants et les destinataires du traitement ;
- les modalités d'exercice des droits d'accès, de rectification et de limitation et les raisons pour lesquelles elles ne peuvent exercer seules ces droits (CNIL, SP, 19 octobre 2023, avis sur projet de décret, Enquête harcèlement, n° 2023-110, publié).
Si cette information peut être délivrée aux responsables légaux pour ce qui concerne les très jeunes enfants (Groupe de travail "Article 29", Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, version révisée et adoptée le 11 avril 2018, §§14-15), elle pourrait, pour les autres personnes mineures, prendre la forme d'une infographie et d'une intervention orale par leurs directeurs d'école et chefs d'établissement, par exemple (v. CNIL, SP, 19 octobre 2023, précité).
La CNIL prend acte des dernières précisions apportées selon lesquelles :
- une information orale sera réalisée auprès des classes en début d'année par les équipes des écoles. Cette consigne sera transmise aux équipes pédagogiques lors des formations des utilisateurs dispensées par le service de défense et de sécurité du ministère et sera également rappelée dans le guide utilisateur ;
- un support illustré à destination des classes sera réalisé pour guider leur prise de parole. Ce support sera également intégré dans le kit de formation des utilisateurs pour expliquer le fonctionnement de l'application "Faits établissement".
E. - Sur les mesures de journalisation
Il ressort des précisions apportées par le ministère que le décret sera modifié pour prévoir que les données de journalisation des accès soient conservées pendant un an en base active, puis versées en base d'archives intermédiaires jusqu'à l'expiration d'un délai de cinq ans après enregistrement du fait, pour assurer la sécurité et la défense du système d'information et des informations qu'il comporte. La CNIL rappelle que la durée de conservation des journaux de six ans n'est pas conforme à ses préconisations pour ce type de traitement, qui serait de six mois à un an. En l'espèce, aucune disposition réglementaire ne semble justifier l'application d'une durée substantiellement plus longue.
La CNIL considère, en outre, comme nécessaire qu'une analyse des données de journalisation des accès soit réalisée afin de détecter tout comportement suspect. Ce dernier devrait faire l'objet d'une alerte auprès des équipes techniques avec la possibilité d'une suspension temporaire des accès le temps de réaliser une levée de doute.
F. - Sur les mesures de sécurité
Le ministère a transmis l'AIPD incluant des mesures de sécurité mises en œuvre et un plan d'action. La CNIL relève que ce dernier contient notamment le lancement d'une démarche d'homologation de conformité aux référentiel PSSIE (Politique de sécurité des systèmes d'information de l'état) et RGS (Référentiel général de sécurité).
Sur la gestion des accès, la CNIL relève que des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. En l'absence d'information sur ce point, elle recommande qu'une authentification multi-facteur soit mise en œuvre (CNIL, SP, 20 mars 2025, recommandation, authentification multi-facteurs (MFA), n° 2025-019, publiée).
La CNIL relève que le processus d'exportation génère des données pseudonymisées et permet leur enregistrement dans des fichiers non structurés. Elle rappelle que ces données indirectement identifiantes devraient bénéficier de mesures de sécurisation appropriées et que seules les personnes autorisées doivent pouvoir y accéder, dans des conditions préalablement spécifiées.
Sur le chiffrement des flux, la CNIL relève que les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire. En l'absence d'information sur ce point, la CNIL recommande d'utiliser la version de TLS la plus à jour possible.
Concernant la sécurisation des accès des établissements et en l'absence d'information sur ce point, la CNIL rappelle que les sites web doivent faire l'objet de mesure à l'état de l'art afin de garantir leur sécurité. A ce titre, la CNIL rappelle la nécessité de mettre en place des mesures spécifiques, telles que celles recommandées par l'ANSSI dans les "recommandations pour la sécurisation des sites web".
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Didier KLING, membres,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ; 
Vu la décision n° 2023-063C du 20 mars 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 13 mai 2025 ;
Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, du 16 juin 2025, signifié à la société NEXPUBLICA FRANCE le 17 juin 2025 ;
Vu les observations écrites de la société NEXPUBLICA FRANCE reçues le 29 juillet 2025 ;
Vu la réponse du rapporteur notifiée à la société NEXPUBLICA FRANCE le 29 août 2025 ; 
Vu les observations écrites de la société NEXPUBLICA FRANCE reçues le 10 octobre 2025 ; 
Vu la clôture de l’instruction notifiée à la société NEXPUBLICA FRANCE le 29 octobre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 27 novembre 2025 ;
Vu les autres pièces du dossier, 
Étaient présents, lors de la séance de la formation restreinte : 
- M. Fabien TARISSAN, commissaire, entendu en son rapport ;
En qualité de représentants de la société NEXPUBLICA FRANCE : 
- (…)
La société NEXPUBLICA FRANCE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante : 
I. Faits et procédure
1. La société NEXPUBLICA FRANCE (ci-après, " la société ") est une société par actions simplifiée sise au 4-10, rue Mozart à Clichy (92110). En 2024, elle employait environ 1 000 personnes, son chiffre d’affaires était de (…) et son résultat net de (…) d’euros.
2. Depuis le 21 janvier 2025, la société n’est plus une filiale du groupe INETUM. Anciennement " INETUM SOFTWARE FRANCE ", la société a également changé de dénomination sociale par publication au bulletin officiel des annonces civiles et commerciales du 28 mars 2025, pour devenir " NEXPUBLICA FRANCE ". Les sociétés INETUM et NEXPUBLICA FRANCE sont désormais des entités juridiques séparées, poursuivant des activités économiques distinctes et n’entretenant pas de lien capitalistique.
3. La société NEXPUBLICA FRANCE poursuit les activités de conseil en systèmes et logiciels informatiques d’INETUM SOWFTWARE FRANCE. Elle développe et commercialise à ce titre un progiciel dénommé " Public CRM " (ci-après, " PCRM "), qui est un outil de gestion de la relation avec les usagers dans le domaine de l’action sociale. La première version de cet outil de gestion a été mise en production à la MDPH du département du Nord, le 24 décembre 2019.
4. Le groupement d'intérêt public (GIP) Maison Départementale pour les Personnes Handicapées (ci-après, " MDPH ") du département du Nord utilise le PCRM pour assurer son rôle de guichet unique d’information auprès des personnes en situation de handicap et de leurs familles, ainsi que l’instruction administrative et médico-sociale de toute demande de compensation du handicap. La MDPH traite par exemple les demandes de cartes de priorité, d’invalidité, de stationnement et d’allocations d’éducation pour les enfants en situation de handicap ; elle apporte un appui pour la scolarisation ou l’insertion professionnelle pour les publics relevant de ses missions ; elle oriente les personnes vers des établissements ou services médico-sociaux, ou encore traite la demande de prestation de compensation du handicap.
5. La société NEXPUBLICA FRANCE édite et héberge ainsi le PCRM qui permet à la MDPH du département du Nord d’assurer le suivi des demandes dont elle a la charge, ainsi qu’aux usagers de suivre l’avancée de leur dossier via la plateforme en ligne " portail-autonomie-usager.lenord.fr " du PCRM.
6. La société NEXPUBLICA FRANCE sous-traite l’hébergement ainsi que les habilitations des utilisateurs dans son système d’information à la société (…) qui appartient (…), certifié " hébergeur de données de santé " au sens de l’article L. 1111-8 du code de la santé publique.
7. En mai 2023, environ (…) comptes utilisateurs avaient été créés pour la MDPH du département du Nord, depuis la mise en production du progiciel (24 décembre 2019). Le baromètre établi par la Caisse nationale de solidarité pour l'autonomie indique que la MPHD du département du Nord a rendu (…) décisions et avis en 2022 et que, la même année, (…) personnes avaient au moins un droit ouvert auprès de la MDPH.
8. Les 2 et 10 novembre 2022, des usagers du portail de la MDPH ont signalé avoir accès à des documents concernant des tiers. Le 29 novembre 2022, la MDPH du département du Nord a procédé à une notification de violation de données à caractère personnel auprès de la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou la " CNIL "). Suite à des investigations permettant de préciser les caractéristiques de la violation, la MDPH a complété sa notification le 6 mars 2023. 
9. Ces notifications de violation de données transmises à la CNIL font état de la survenance de deux incidents de sécurité, liés selon la MDPH à des erreurs de paramétrage par la société NEXPUBLICA FRANCE.
10. Le premier incident s’est déroulé du 26 octobre au 8 novembre 2022. La MDPH a indiqué dans sa notification de violation qu’un paramétrage erroné de la part de NEXPUBLICA FRANCE a permis à des usagers d’accéder à des données de tiers, alors qu’ils n’avaient pas droit d’en connaître. Il est indiqué dans la notification de violation que 366 personnes ont ainsi pu accéder aux données de tiers présentes dans PCRM. La société indique que parmi ces 366 personnes, seuls deux usagers ont eu la possibilité technique d’accéder aux données à caractère personnel de tiers via ces paramétrages erronés. 
11. Le second incident s’est déroulé du 26 octobre au 14 novembre 2022. D’après la MDPH, cette violation était également due à une erreur de paramétrage de la part de NEXPUBLICA FRANCE et a conduit à des anomalies d’affichage de pages. Certains usagers ont ainsi eu accès, en lecture seule, aux 5 000 premiers enregistrements de la base à travers six pages web différentes du portail. La société a indiqué que neuf personnes se sont connectées au cours de cette période et ont pu avoir accès aux données de 14 170 personnes (un enregistrement pouvant concerner plusieurs personnes). 
12. Dans les deux cas, la société a été dans l’incapacité de lister les données concernées par les violations. Elle a cependant pu exclure un accès aux pièces jointes (par exemple les justificatifs d’identité ou certificats médicaux) comprises dans le PCRM.
13. En application de la décision n° 2023-063C du 20 mars 2023 de la Présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle sur place du groupe INETUM afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou " la loi Informatique et Libertés ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection des données (ci-après " le RGPD " ou " le Règlement ").
14. Ce contrôle sur place a donné lieu à un procès-verbal n° 2023-063/1 du 24 mai 2023.
15. Les 14 juin et 6 et 29 septembre 2023, la société a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place.
16. Aux fins d’instruction de ces éléments, la Présidente de la Commission a, le 13 mai 2025, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
17. Le 17 juin 2025, à l’issue de son instruction, le rapporteur a fait signifier à la société un rapport aux termes duquel il estimait que la société avait commis un manquement à l’article 32 du RGPD et proposait à la formation restreinte de prononcer à son encontre une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
18. Le 29 juillet 2025, la société a produit des observations en réponse au rapport.
19. Le 29 août 2025, la réponse du rapporteur a été notifiée à la société.
20. Le 10 octobre 2025, la société a adressé de nouvelles observations en réponse.
21. Par courrier du 29 octobre 2025, le rapporteur a, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société que l’instruction était close. 
22. Par courrier du 3 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 27 novembre 2025.
23. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le respect du droit à un procès équitable
24. La société NEXPUBLICA FRANCE estime que les conditions dans lesquelles la procédure de sanction à son encontre a été menée contreviennent à l’article 6 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CESDH) et aux articles 41 et 47 de la Charte des droits fondamentaux de l’Union européenne. 
25. Elle soutient d’abord que son droit à ne pas participer à sa propre incrimination a été méconnu dans la mesure où elle a été contrainte de produire les rapports d’audits qui fondent en grande partie la caractérisation du manquement. Par ailleurs elle estime que la procédure est entachée d’irrégularités en ce que la CNIL n’a pas procédé elle-même à des constatations afin d’établir la matérialité des vulnérabilités identifiées dans les rapports d’audits précités. Enfin, la société argue qu’elle n’a pas pu présenter une défense adéquate, le périmètre des faits qui lui sont reprochés étant trop imprécis.
26. En premier lieu, la formation restreinte note que les dispositions de l’article 19 de la loi Informatique et Libertés autorisent la délégation de contrôle à " demander communication de tous documents nécessaires à l'accomplissement de leur mission ". Elle relève également qu’il ressort de la jurisprudence constante de la Cour européenne des droits de l’Homme (CEDH) que le droit de ne pas s’incriminer soi-même ne proscrit pas l’usage, dans une procédure pénale, de données que l’on peut obtenir de l’accusé en recourant à des pouvoirs coercitifs mais qui existent indépendamment de la volonté du suspect, par exemple les documents recueillis en vertu d’un mandat (Saunders c. Royaume-Uni [GC], § 68, O'Halloran et Francis c. Royaume-Uni [GC], § 47).
27. Partant, la formation restreinte estime que les rapports d’audits ont été transmis conformément aux dispositions de l’article 19 de la loi Informatique et Libertés, au même titre que les autres pièces de l’instruction, sans préjuger d’éventuels manquements, et sans que la société contribue donc à sa propre incrimination. En vertu de la jurisprudence de la CEDH ces pièces peuvent être examinées par la formation restreinte statuant sur l’existence ou non d’un manquement et, le cas échéant, sur le bien-fondé du prononcé d’une sanction.
28. En deuxième lieu, la formation restreinte relève que la force probante des documents versés à la procédure ne saurait être remise en cause. En effet, les audits dont il est question ont été soit commandités directement par la société (audit de code automatisé), soit par le responsable de traitement (tests d’intrusion). Ainsi, il s’agit d’évaluations faisant partie intégrante de la documentation interne de la société, sur lesquelles une autorité de contrôle peut s’appuyer afin d’apprécier le respect par la société de ses obligations.
29. En ce sens, la formation restreinte souligne que les audits en question ne constituent pas des jugements de valeur que le rapporteur se serait contenté de reprendre à son compte, mais le résultat d’analyses objectives du système d’information de la société, réalisées suivant une méthodologie précise et documentée. Elle note d’ailleurs que l’objet de ces audits n’était pas de se prononcer sur la conformité ou la non-conformité de la société, cette appréciation appartenant à la formation restreinte sur la base des explications fournies par le rapporteur et la société, qui ont pu librement discuter la valeur probante de ces pièces.
30. La formation restreinte relève plus précisément que l’évaluation et l’analyse de ces pièces ont été menées par le rapporteur, lequel a mis en relation, d’une part, le risque induit par le traitement pour les personnes concernées et, d’autre part, le niveau de sécurité mis en place par la société compte tenu de ce risque. Elle observe que dans ses écritures, le rapporteur ne s’est pas simplement contenté de reprendre le contenu des audits mais qu’il s’est attaché à analyser la nature des vulnérabilités relevées, leur gravité, leur persistance ainsi que leurs risques potentiels pour les données à caractère personnel des personnes concernées. Les rapports ont également été complétés par l’ensemble des pièces transmises, par les constatations directes réalisées par la délégation de contrôle, ainsi que par les déclarations de la société retranscrites dans le procès-verbal n° 2023-063/1 du 24 mai 2023.
31. La société a pu discuter l’ensemble de ces éléments dans le cadre de la présente procédure contradictoire.
32. Partant, la formation restreinte estime que le grief tiré de l’absence de matérialité des faits reprochés doit être écarté.
33. En dernier lieu, la formation restreinte relève qu’il ressort des pièces du dossier que le périmètre du manquement reproché à la société par le rapporteur est établi avec une précision suffisante, ce dernier ayant considéré dans ses écritures qu’au regard de l’état de l’art et des caractéristiques du traitement, le niveau global de sécurité des données à caractère personnel assuré par la société était insuffisant au regard des articles 5, paragraphe 1 alinéa f) et 32 du RGPD.
34. Enfin, la formation restreinte relève que la société a pu présenter ses observations en défense dans ses deux jeux d’écriture, ainsi qu’oralement lors de la séance de formation restreinte du 27 novembre 2025. En outre, à la demande de la société, le président de la formation restreinte lui a accordé un délai de dix jours supplémentaires afin de pouvoir produire un rapport d’expertise à l’appui de ses deuxièmes observations en défense. 
35. Partant, la formation estime que le rapport de sanction, complété par la réponse du rapporteur, permettaient à la société NEXPUBLICA FRANCE de comprendre la portée du manquement qui lui était reproché, et que cette dernière a été mise en mesure d’assurer sa défense de manière adéquate.
36. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que le grief tiré de la méconnaissance des droits de la défense doit être écarté. 
B. Sur la responsabilité de la société NEXPUBLICA FRANCE vis-à-vis du traitement en cause
37. Aux termes de l’article 4, paragraphe 8 du RGPD, le sous-traitant est " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ".
38. Le rapporteur considère que NEXPUBLICA FRANCE est sous-traitante de la MDPH du département du Nord pour la mise en œuvre du PCRM, et qu’il lui incombe à ce titre d’assurer un niveau de sécurité adéquat de la solution qu’elle propose. 
39. Si la société ne conteste pas sa qualité de sous-traitante, elle entend néanmoins limiter la portée de sa responsabilité pour la mise en œuvre du PCRM. D’une part, elle considère n’avoir qu’une autonomie limitée vis-à-vis du responsable de traitement, qui définit le niveau de sécurité attendu pour le PCRM. D’autre part, elle estime que sa responsabilité dans le déploiement du PCRM doit être relativisée. En effet, elle soutient que certaines vulnérabilités relèvent de son prestataire hébergeur (…), et que par ailleurs elle ne peut être tenue pour responsable de composantes relevant de briques technologiques dont elle n’a pas assuré la conception. Enfin, la société s’interroge sur l’engagement de sa seule responsabilité dans le cadre de la présente procédure, alors qu’il ne relève pas de la pratique habituelle de la CNIL de ne sanctionner que le sous-traitant.
40. À titre liminaire, la formation restreinte rappelle que l’opportunité d’engager une procédure de sanction relève de la seule appréciation de la Présidente de la Commission. Cette décision se fonde sur les éléments collectés lors du contrôle.
1) S’agissant de la responsabilité de NEXPUBLICA FRANCE vis-à-vis du responsable de traitement
41. Aux termes de l’article 28, paragraphe 3, a) du RGPD, " le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique [qui] prévoit, notamment, que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement […] ". 
42. L’article 32-1 du RGPD dispose : " Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] ".