AgentPublic/cnil huggingface dataset:
Prévoir les procédures pour les notifications de violation de données à caractère personnel
Le responsable de traitement prévoit une procédure pour déterminer la gravité d'une violation de données (c'est-à-dire toute atteinte, même temporaire, à la confidentialité, à la disponibilité ou à l'intégrité des données) pour les personnes concernées.
Le cas échéant, s'il existe un risque pour les personnes concernées, le responsable de traitement devra procéder à la notification de la violation auprès de l'autorité en charge de la protection des données à caractère personnel compétente sur le territoire dans lequel le responsable de traitement a son établissement principal et, dans l'hypothèse où le responsable de traitement n'est pas établi sur le territoire de l'Union européenne, à la CNIL dans les conditions prévues à l'article 33 du RGPD.
Si ce risque est estimé élevé, le responsable de traitement devra communiquer la violation aux personnes concernées dans les conditions prévues à l'article 34 du RGPD.
Le responsable de traitement doit documenter en interne toute violation de données quel que soit son niveau de gravité.
Sauvegarder et prévoir la continuité d'activité
SEC-SAU-1
Effectuer des sauvegardes fréquentes des données
Que les données soient sous forme papier ou électronique, des sauvegardes complètes doivent être prévues à intervalles réguliers. Le processus de restauration des données à partir des sauvegardes doit également faire l'objet de tests réguliers.
SEC-SAU-2
Stocker les supports de sauvegarde dans un endroit sûr
Les supports de sauvegardes (disque dur externe, clé USB, etc.) doivent être conservés dans un lieu sûr et différent du lieu de stockage des données. Les supports à privilégier sont ceux ayant une longévité suffisante.
SEC-SAU-3
Prévoir des moyens de sécurité pour le convoyage des sauvegardes
Lorsque les sauvegardes sont transmises par le réseau, il convient de chiffrer le canal de transmission des sauvegardes lorsqu'elles sont transmises via un réseau public.
SEC-SAU-4
Prévoir et tester régulièrement la continuité d'activité
Le responsable de traitement prévoit un plan de reprise et de continuité d'activité informatique, même sommaire. Il doit s'assurer que les utilisateurs et les sous-traitants savent qui contacter en cas d'incident.
Ce plan de continuité ou de reprise d'activité ainsi que la restauration des sauvegardes doivent être régulièrement testées.
Archiver de manière sécurisée
SEC-ARC-1
Mettre en œuvre des modalités d'accès spécifiques aux données archivées
Le responsable de traitement définit un processus d'archivage et de gestion des archives, qui inclut les modalités d'accès spécifiques aux données archivées, du fait que l'utilisation des données archivées doit intervenir de manière ponctuelle et exceptionnelle.
SEC-ARC-2
Détruire les archives obsolètes de manière sécurisée
Le responsable de traitement met en œuvre un mode opératoire garantissant que l'intégralité d'une archive a été détruite.
13.4. De façon plus générale, le responsable de traitement ou son sous-traitant, si le responsable de traitement a recours à des prestataires informatiques dans le cadre des traitements visés par le présent référentiel, doivent mettre en œuvre et documenter les mesures suivantes :
Catégories
Mesures
Sécuriser les postes de travail
Prévoir une procédure de verrouillage automatique de session
Utiliser un antivirus régulièrement mis à jour
Installer un " pare-feu " (" firewall ") logiciel
Recueillir l'accord de l'utilisateur avant toute intervention de maintenance à distance sur son poste
Sécuriser l'informatique mobile
Prévoir des moyens de chiffrement des supports de stockage des équipements mobiles
Faire des sauvegardes ou des synchronisations régulières des données
Exiger un secret pour le déverrouillage des ordiphones
Protéger le réseau informatique interne
Limiter les flux réseau au strict nécessaire
Sécuriser les accès distants des appareils informatiques nomades par VPN
Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
Sécuriser les serveurs
Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
Définir et implémenter une politique de mise à jour des outils logiciels et installer sans délai les mises à jour critiques
Sécuriser les sites web
Utiliser le protocole TLS et vérifier sa mise en œuvre
Vérifier qu'aucun mot de passe ou identifiant n'est transmis via des URL
Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
Mettre un bandeau de consentement pour les traceurs (cookies) non nécessaires au service
Encadrer la maintenance et la destruction des données
Enregistrer les interventions de maintenance dans une main courante
Encadrer par un responsable de l'organisme les interventions de maintenances réalisées par des tiers
Effacer les données de tout matériel avant sa mise au rebut
Protéger les locaux
Restreindre les accès aux locaux au moyen de portes verrouillées que ce soit aux fichiers papiers ou aux matériels informatiques, notamment aux serveurs
Installer des alarmes anti-intrusion et les vérifier périodiquement
Encadrer les développements
informatiques
Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
Eviter les zones de commentaires ou les encadrer strictement
Réaliser les tests et recettes sur des données fictives ou anonymisées
13.5. Ces mesures ne sont pas exhaustives et devront être complétées par les éventuelles mesures qui auront été jugées nécessaires lors de la réalisation de l'analyse d'impact sur la protection des données menée, tel que détaillé à l'article 14 du présent référentiel.
13.6. Le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles (5) publié par la CNIL.
13.7. Les articles 5.1.f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques, afin que celles-ci soient conformes à l'état de l'art.
14. Analyse d'impact relative à la protection des données
14.1. Conformément à l'article 35 du RGPD, le responsable de traitement doit réaliser et documenter une analyse d'impact relative à la protection des données (AIPD).
14.2. Pour réaliser et documenter son analyse d'impact, le responsable de traitement pourra se reporter :
aux principes contenus dans le présent référentiel ;
aux outils méthodologiques proposés par la CNIL sur son site web.
14.3. Le cas échéant, le responsable de traitement pourra élaborer une procédure relative à l'AIPD permettant d'impliquer les acteurs et les personnes pertinentes pour sa réalisation, notamment le délégué à la protection des données (DPD/DPO), qui devra être consulté.
14.4. L'AIPD devra être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement ou si les risques pour les personnes concernées ont évolué (comme la poursuite d'une finalité supplémentaire, le recours à un nouveau sous-traitant, de nouvelles données collectées, une fuite de données permettant la réidentification, etc.).
14.5. Conformément à l'article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si, à l'issue de l'analyse d'impact, il ne parvient pas à identifier et à mettre en place des mesures suffisantes pour réduire les risques à un niveau acceptable (risque résiduel restant trop élevé).
(1) Voir délibération n° 2019-057 du 9 mai 2019 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires.
(2) Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR.
(3) Recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à̀ garantir le respect du niveau de protection des données à caractère personnel de l'UE.
(4) Le recours aux dérogations visées à l'article 49 doivent être limitées à des situations particulières. A ce sujet, voir les lignes directrices 2/2018 du comité européen de la protection des données sur les dérogations à l'article 49 en vertu du règlement 2016/679, adoptées le 25 mai 2018.
(5)  https://www.cnil.fr/sites/default/files/atoms/files/cnil_guide_securite_personnelle.pdf.
La présidente
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2019-188C du 26 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés […] et […] ou pour leur compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 17 décembre 2020 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 21 avril 2022 ;
Vu les observations écrites versées par la société […] le 2 juin 2022 ;
Vu la réponse du rapporteur à ces observations notifiée à la société […] le 13 juillet 2022 ;
Vu les nouvelles observations écrites versées par la société […] le 26 août 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 29 septembre 2022 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] :
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […].
En qualité de représentants de la société […], joints par visioconférence :
- […] ;
- […].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après la société ), dont le siège social est situé […], est une filiale du groupe […] qui est un opérateur de télécommunication fixe. Créée en 1999, la société compte environ 179 salariés.
2. Pour l’année 2020, la société a réalisé un chiffre d’affaires d’environ […] euros, pour un résultat net d’environ […] euros. En 2021, la société dénombrait environ […] d’abonnés, […].
3. Entre le mois d’octobre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de 41 plaintes à l’encontre de la société. Parmi ces plaintes, 10 ont été examinées dans le cadre de la présente procédure de sanction. Les plaignants faisaient notamment état de difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’effacement. Certaines de ces saisines étaient également relatives à la sécurité des données à caractère personnel des clients de la société. 
4. Le 8 février 2019, la société a procédé auprès de la CNIL à une notification de violation de données à caractère personnel puis, le 22 février 2019 à une notification complémentaire. Elles indiquaient qu’environ 4 100 […] avaient été remises en circulation sans que leur reconditionnement ne soit effectif, c’est-à-dire sans que les données du précédent abonné ne soient effacées du disque dur de la […].
5. Deux missions de contrôle sur place, dans les locaux de la société […] puis de la société […], ont été effectués les 21 et 22 janvier 2020.
6. Les procès-verbaux n° 2019-188/1 et n° 2019-188/2, dressés par la délégation le jour des contrôles, ont été notifiés à la société le 23 janvier 2020. À cette occasion, des demandes de complément d’information et de documents supplémentaires ont été adressées à la société. La direction juridique du groupe […] y a répondu par courriels des 3 et 10 février 2020.
7. Un contrôle sur pièces a également été effectué auprès des sociétés […] et […] le 3 juin 2020. La direction juridique du groupe […] y a répondu par courriel du 29 juin 2020.
8. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 décembre 2020, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
9. Une demande de complément d’information a enfin été adressée à la société par courrier du 16 mars 2022. La direction juridique du groupe […] y a répondu par courrier du 31 mars 2022.
10. Le rapporteur a, le 21 avril 2022, fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.
11. Ce rapport proposait à la formation restreinte de prononcer une amende administrative et une injonction de mettre en conformité le traitement avec les dispositions de l’article L.34-5 du code des postes et des télécommunications électroniques (CPCE) et des articles 7-1, 15, 17, 32 et 33 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le 2 juin 2022, la société a produit ses observations en réponse au rapport de sanction.
13. Le 13 juillet 2022, le rapporteur a adressé sa réponse aux observations de la société.
14. Le 26 août 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.
15. Le 5 septembre 2022, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 29 septembre 2022.
16. Le 14 septembre 2022, la société a produit une attestation de son prestataire, la société […], relative à la fourniture de numéros de téléphone et d’adresse électroniques destinés à une campagne de prospection commerciale sur la période du 2 au 6 décembre 2019.
17. Le 21 septembre 2022, le président de la formation restreinte a avisé la société du report de la clôture de l’instruction au lundi 26 septembre 2022 et lui a demandé d’avertir la société […] afin qu’un de ses représentants puisse assister à la séance de la formation restreinte.
18. La société […] et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
19. Monsieur […] et Monsieur […], dont l’audition a été estimée utile, ont été entendus en application de l’article 42 du décret n° 2019-536 du 29 mai 2019.
 
II. Motifs de la décision
A. Sur le manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen de courrier électronique et de SMS
20. Aux termes de l’article L.34-5 du CPCE : 
 Est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] .
21. Aux termes de l’article 4, paragraphe 11, du RGPD :
Aux fins du présent règlement, on entend par […] consentement de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
22. Aux termes de l’article 7, paragraphe 1, du RGPD : 
 Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant .
23. Le rapporteur pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11, du RGPD, se fonde sur le fait que la société […], qui réalise des opérations de prospection commerciale par voie électronique via une base de données à caractère personnel collectées par son prestataire, la société […], n’est pas en mesure d’apporter la preuve d’un consentement univoque, spécifique, libre et informé des prospects avant que ceux-ci aient été démarchés lors d’une campagne de prospection commerciale par voie électronique (courriel et SMS) en décembre 2019. Pour considérer le manquement comme étant constitué, le rapporteur s’est appuyé sur les éléments recueillis à l’occasion des opérations de contrôle sur place (procès-verbaux n° 2019-188/1 et n° 2019-188/2) ainsi que sur des pièces complémentaires transmises à l’issue de ces vérifications, notamment un document indiquant que la société a obtenu en décembre 2019 auprès de ce partenaire des fichiers de prospects pour effectuer une compagne de prospection commerciale par SMS et par email et que cette unique campagne […] n’a été faite qu’en décembre 2019 et n’a pas été poursuivie en 2020 .
24. En défense, la société soutient qu’elle a effectivement envisagé de réaliser une campagne de prospection par SMS et courrier électronique auprès de personnes non abonnées et a signé un devis avec son partenaire […] [la société […]] à cet effet . Elle indique cependant qu’elle s’est mal exprimée dans le document produit en pièce et qu’aucun manquement ne peut lui être reproché car cette campagne a été annulée avant même d’être lancée . Elle ajoute que l’une des raisons pour lesquelles cette campagne n’a pas été réalisée est que celle-ci devait permettre originellement de promouvoir les services de […] liés à la fibre optique. Du fait d’une pénurie, entre octobre 2019 et janvier 2020, des équipements utilisateurs nécessaires à l’installation de la fibre optique […], […] n’a finalement pas souhaité promouvoir des services dont elle n’aurait pu assurer la livraison . Lors de la séance de la formation restreinte, la société a réitéré ces éléments. 
25. La formation restreinte relève que le document sur lequel se fonde le rapporteur comporte des éléments erronés et que la société a apporté des explications convaincantes sur les circonstances dans lesquelles l’erreur s’est produite.
26. Dans ces conditions, la formation restreinte considère qu’il n’est pas établi que la campagne de prospection commerciale électronique dont il est fait état ait été réalisée et que les éléments du débat ne permettent pas de conclure à l’existence d’un manquement aux obligations résultant de l’article L. 34-5 du CPCE et de l’article 7-1 du RGPD.
B. Sur les manquements en lien avec l’exercice des droits
27. Aux termes de l’article 12 du RGPD :
 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. […]. 
2. […].
3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 
4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. […] .
28. Aux termes de l’article 15 du RGPD :
 1. La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations suivantes :
[…]
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source. 
[…]
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. […].
4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d'autrui. 
29. Aux termes de l’article 17 du RGPD :
 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique :
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; […]. 
1. Sur le manquement à l’obligation de respecter le droit d’accès
30. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD en matière de droit d’accès, se fonde sur cinq saisines de la CNIL, émanant de Messieurs […] (plainte n° 19009149), […] (plainte n° 19005208), […] (plainte n° 19014037), […] (plainte n° 19015831) et […] (plainte n° 19016618). Dans le cadre de ces plaintes, les personnes faisaient état de difficultés rencontrées dans l’exercice de ce droit, alors même que leurs demandes avaient bien été réceptionnées.
31. Le rapporteur indique que ces cinq saisines concernent notamment l’accès aux données à caractère personnel et, sur ces cinq saisines, quatre concernent plus particulièrement l’obtention d’une information sur la source d’où proviennent leurs données.
32. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que la société n’a pas donné suite dans les délais prescrits aux demandes précitées d’exercice des droits d’accès des plaignants ou qu’elle leur a apporté une réponse incomplète s’agissant de la source de leurs données.