AgentPublic/cnil huggingface dataset:
33. En défense, la société fait valoir, s’agissant de l’absence de réponse apportée dans les délais, que les procédures mises en œuvre n’ont pas été respectées en raison d’erreurs humaines isolées. Elle fait également valoir que le nombre réduit de plaintes relevés dans le rapport (2) doit être comparé aux nombres de demandes qu’elle traite par an (environ 600). Enfin, la société indique que ces saisines sont antérieures à la mise en place d’un nouvel outil de ticketing qu’elle utilise depuis juin 2019, qui a permis d’apporter des améliorations à la procédure de traitement des demandes d’exercice de droit. Dès lors, elle considère que ces dysfonctionnements ponctuels sont à présent résolus.
34. S’agissant des demandes d’informations sur la source des données, la société considère que, conformément aux dispositions du considérant 63 du RGPD et de l’article 15-4 du RGPD, elle n’est pas tenue d’y répondre dès lors qu’elle serait conduite à révéler une information relevant du secret des affaires (l’identité du courtier en données lui ayant fourni les données). Elle soutient qu’en réalité, l’information qui est recherchée par les requérants est l’identité de la source primaire qui est à l’origine de la collecte des données du demandeur. Elle indique avoir fait évoluer ses procédures au cours de la procédure de sanction puisqu’elle sollicite désormais ses courtiers en données afin qu’ils lui transmettent l’identité de la source primaire à l’origine de cette collecte, information que la société transmet à son tour aux demandeurs.
35. La formation restreinte relève, s’agissant de l’absence de réponse apportée dans les délais, qu’il résulte de l’article 12 du RGPD que lorsqu’une demande d’exercice de droit lui est adressée, le responsable de traitement doit fournir à la personne concernée des informations sur les mesures prises pour répondre à sa demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois. La formation restreinte rappelle également que lorsque le responsable de traitement ne détient plus tout ou partie des données sur la personne qui exerce son droit d’accès (par exemple, les données ont été supprimées ou l’organisme ne dispose d’aucune donnée sur la personne), il doit néanmoins répondre au demandeur dans un délai maximal d'un mois.
36. S’agissant des informations à fournir sur la source des données au titre de l’article 15 du RGPD, la formation restreinte relève d’abord qu’il ressort des articles précités que la limitation du droit d’accès par les droits et libertés d’autrui qui incluent le secret des affaires, s’applique uniquement à l’article 15-4 du RGPD, relatif aux personnes demandant une copie de leurs données, et non à l’article 15-1 du RGPD, relatif aux personnes demandant des informations à un responsable de traitement qui procède au traitement de leurs données. En l’espèce, la formation restreinte note que les plaignants ne sollicitent pas de la société l’obtention d’une copie de leurs données ou l’accès à ces données, mais seulement une information quant à la source d’où proviennent leurs données. La formation restreinte estime dès lors que l’article 15-4 du RGPD est inapplicable. Elle considère en tout état de cause que l’article 15-1 du RGPD ne pourrait être limité que dans les conditions prévues par l’article 23 du RGPD, ce qui n’est pas le cas en l’espèce.
37. Ensuite, la formation restreinte relève que tout traitement de données à caractère personnel doit être conforme aux principes énoncés à l’article 5, paragraphe 1, a), du RGPD qui prévoit que les données à caractère personnel doivent être traitées de manière transparente au regard de la personne concernée. Elle souligne qu’il ressort des lignes directrices sur la transparence du groupe de travail de l’Article 29 devenu Comité européen de protection des données, que la source d’où proviennent les données à caractère personnel s’entend comme la source spécifique aux données ou, à défaut, la nature des sources (c’est-à-dire les sources publiques et privées) et les types d’organismes, d’entreprises et de secteurs . La formation restreinte considère que le droit d’accès de la personne concernée constitue une garantie fondamentale de la transparence des modalités de traitement des données. Elle en déduit que le responsable de traitement doit par principe communiquer la source spécifique relative aux données et que la limitation du droit d’accès aux indications de la nature des sources, des types d’organismes, d’entreprises et de secteurs ne peut intervenir que lorsqu’il ne détient pas cette information, l’identification de la source spécifique des données à caractère personnel de la personne concernée étant impossible.
38. La formation restreinte relève également que le droit d’accès – l’article 15 du RGPD étant éclairé par le considérant 63 - a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles.
39. La formation restreinte estime que le refus de communiquer l’identité du courtier en données à partir duquel les données de la personne concernée ont été obtenues, alors que la société dispose de cette information, et de limiter le droit d’accès à la source primaire de la collecte (c’est-à-dire le premier acteur de la chaîne à avoir collecté les données à caractère personnel de la personne concernée), qui n’était d’ailleurs pas fournie en l’espèce au moment du contrôle, revient à empêcher la personne concernée de pouvoir vérifier la licéité du traitement effectué par le responsable de traitement et, en particulier, la licéité des transmissions de données déjà effectuées. La formation restreinte considère, dès lors, que le droit de disposer de l’identité de la source des données est nécessaire pour permettre à la personne concernée de donner son consentement et d’exercer les droits qui lui sont conférés par le RGPD, en particulier le droit d’opposition, selon le type de prospection commerciale mise en œuvre par le responsable de traitement ayant obtenu les données auprès de courtiers.
40. La formation restreinte considère qu’un manquement aux obligations des articles 12 et 15 du RGPD est constitué pour l’ensemble des plaintes précitées dès lors que la société n’a pas traité les demandes d’accès qui lui ont été adressées dans le délai qui lui était imparti, laissant ainsi les personnes dans l’ignorance des données traitées par la société les concernant ou qu’elle leur a apporté une réponse incomplète s’agissant de la source de leurs données. En outre, la formation restreinte considère que la société n’a pas fourni, à la date de la clôture de l’instruction, d’éléments permettant d’attester d’une mise en conformité s’agissant spécifiquement du point relatif à la source des données.
2. Sur le manquement à l’obligation de respecter le droit d’effacement
41. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 17 du RGPD, se fonde sur deux saisines de la CNIL, émanant de Messieurs […] (plainte n° 19009870) et […] (plainte n° 19012463), dans le cadre desquelles les plaignants faisaient état de leurs difficultés dans l’exercice de leur droit d’effacement.
42. Le rapporteur indique que les intéressés ont demandé la suppression de leur compte de messagerie […].fr , via l’envoi, respectivement les 10 et 3 février 2019, d’un formulaire dédié à la suppression d’un compte principal […] accès gratuit sur lequel il est précisé que la suppression effective des comptes nécessite un délai de 48 heures après réception du courrier . 
43. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle et des éléments communiqués ultérieurement que les plaignants n’ont pas obtenu de réponse à leurs demandes d’effacement formulées par lettre recommandée et que les mesures permettant de satisfaire leurs demandes d’effacement n’ont pas été mises en œuvre, dès lors que la base client SIEBEL contenait diverses données à caractère personnel propres aux plaignants, telles que leur identifiant de connexion, leur nom, prénom et adresse postale. En outre, le statut du compte de messagerie électronique […].fr de ces derniers était renseigné comme étant actif .
44. En défense, la société fait valoir que les demandes de suppression d’un compte […] accès gratuit ne sont pas des demandes d’effacement au sens du RGPD et ne sont encadrées par aucun délai légal […] mais s’assimilent à une demande de résiliation de contrat . La société en conclut qu’il serait totalement disproportionné de considérer que [ces demandes relèvent] de l’article 17 du RGPD et des délais posés par l’article 12.3 du RGPD . La société précise qu’elle est seulement tenue de respecter le principe de limitation de la conservation des données concernées, sans que cela impose la suppression immédiate de toutes les données concernées . Elle indique en ce sens avoir une obligation légale de conserver les données associées aux comptes de messagerie électronique pendant une durée de 1 an , conformément à l’article L. 34-1 du CPCE. 
45. Sur ce point, la formation restreinte considère d’abord que les demandes des plaignants sont claires, en ce qu’il s’agissait pour chacun d’une demande de suppression générale d’un compte de messagerie électronique, adressée à la société par le formulaire dédié mis en œuvre par elle. Cette demande impliquait nécessairement la demande de l’effacement des données personnelles liées à l’utilisation du compte. La société ne peut donc se prévaloir du fait que cette demande de suppression n’aurait pas été claire et traitée en tant que demande d’effacement au sens du RGPD.
46. Ensuite, la formation restreinte considère qu’il ressort de l’article 12.3 du RGPD que le responsable de traitement doit fournir aux demandeurs des informations sur les mesures prises à la suite d’une demande formulée en application de l’article 17 du RGPD dans un délai maximal d'un mois, qui peut être prolongé d’une durée raisonnable dans certains cas. Or, elle relève que ce n’est que le 23 mai 2022 que la société a apporté une réponse aux plaignants, soit environ trois ans après que Messieurs […] et […]ont exercé leurs droits. Ce délai de réponse méconnaît l’article 12.3 du RGPD. 
47. Enfin, la formation restreinte considère que si la demande d’effacement d’un compte de messagerie électronique n’implique pas nécessairement la suppression de l’ensemble des données relatives à ce compte (certaines données pouvant être conservées avec un statut d’archive intermédiaire), un manquement à l’article 17, paragraphe 1, a), du RGPD est en tout état de cause caractérisé en l’espèce dès lors que le statut du compte était actif et que la messagerie électronique était encore accessible aux personnes concernées plusieurs années après avoir effectué leurs demandes.
48. La formation restreinte considère qu’un manquement aux obligations qui découlent des articles 12 et 17 du RGPD est constitué dès lors qu’il incombait à la société de traiter la demande d’effacement des données à caractère personnel des plaignants dans les délais impartis.
49. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 17 du RGPD.
C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel
50. Aux termes de l’article 32, paragraphe 1, du RGPD : 
 Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) […] ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) […] ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. 
1. Sur les mots de passe d’accès aux comptes clients
51. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 32 du RGPD, se fonde d’abord sur le fait que le mot de passe généré aléatoirement par la société lors de la création d’un compte utilisateur sur le site web de la société, lors d’une procédure de récupération ou lors d’un renouvellement du mot de passe, est d’une longueur de huit caractères et peut comporter uniquement un même type de caractères. Ensuite, le rapporteur relève que l’ensemble des mots de passe générés lors de la création d’un compte utilisateur sur le site web de la société était stocké en clair dans la base de données des abonnés de la société jusqu’au 23 janvier 2020. Enfin, le rapporteur relève que la délégation a été informée que le mot de passe qui est généré lors de la création d’un compte utilisateur sur le site web de la société est transmis par courrier électronique ou postal à l’utilisateur et indiqué en clair dans le corps du message. De même, le rapporteur relève qu’il ressort de trois saisines émanant de Messieurs […] (plainte n° 19018181), […] (plainte n° 18023964) et […] (plainte n° 19013170) que le mot de passe qui est associé au compte de messagerie électronique […].fr est transmis par courrier électronique ou postal à l’utilisateur et indiqué en clair dans le corps du message.
52. En défense, la société fait valoir qu’en tant que responsable de traitement, elle est libre de choisir les mesures de sécurité à mettre en place. Elle soutient en ce sens que les recommandations de la CNIL ou de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) citées dans le rapport n’ont aucun caractère impératif. Dès lors, la société considère qu’aucun manquement ne peut être retenu en l’absence d’une violation de données ayant affecté l’accès à l’espace abonné .
53. La société fait ensuite notamment valoir qu’à l’époque des opérations de contrôle, les abonnés étaient incités à modifier leur mot de passe sur leur espace abonné. Elle indique, en outre, que le mot de passe initial qu’elle a attribué présente un niveau de robustesse élevé et que l’espace abonné permet uniquement d’accéder à des informations basiques et non à des informations sensibles. Enfin, la société a annoncé avoir pris plusieurs mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD s’agissant de la sécurité relative aux mots de passe via le renforcement de la robustesse des mots de passe générés ou créés par la société et le renouvellement obligatoire des mots de passe lors d’une procédure de récupération ou dès la première connexion. La société indique également avoir cessé de stocker en clair des mots de passe au sein de la base de données et d’avoir cessé de communiquer des mots de passe en clair (notamment, via l’arrêt de la transmission des mots de passe des nouveaux abonnés en clair par courriel, la création, par les nouveaux abonnés, de leur mot de passe, qui devra être conforme aux préconisations de la CNIL en la matière et la suppression des formulaires au format papier devant être remplis puis adressés par voie postale pour obtenir la suppression d’un compte […] accès gratuit dans lequel la communication du mot de passe en clair était préalablement requise).
54. La formation restreinte considère qu’en l’espèce, la procédure d’authentification ainsi que les modalités de stockage et de transmission des mots de passe mises en œuvre par la société ne sont pas adaptées au regard du risque que ferait peser sur la personne concernée la captation de leur identifiant et de leur mot de passe par un tiers.
55. Il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures. La mise en place d’une politique d’authentification robuste constitue une mesure élémentaire de sécurité qui participe généralement au respect des obligations de l’article 32 du RGPD. Malgré le caractère non impératif de la délibération n° 2017-012 du 19 janvier 2017 ayant pour objet d’apporter des recommandations relatives aux mots de passe, du guide de la CNIL relatif à la sécurité des données à caractère personnel et de la note technique de l’ANSSI relative aux mots de passe cités dans le rapport, ces derniers exposent des précautions élémentaires de sécurité correspondant à l’état de l’art et constituent ainsi un éclairage pertinent pour apprécier la suffisance des mesures mises en place par un responsable de traitement.
56. En l’espèce, s’agissant de la procédure d’authentification, la formation restreinte considère que l’utilisation d’un mot de passe court ou simple sans imposer de catégories spécifiques de caractères et sans mesure de sécurité complémentaire, peut conduire à des attaques par des tiers non autorisés telles que des attaques par force brute ou par dictionnaire , qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent. Les mesures de blocage ont pour objectif de limiter ces types d’attaques.
57. La formation restreinte relève que la Commission recommande dans sa délibération n° 2017-012 du 19 janvier 2017 – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – que, pour satisfaire aux exigences de robustesse des mots de passe et assurer un niveau de sécurité suffisant, lorsque l’authentification repose, comme en l’espèce, sur un identifiant et un mot de passe, sans mise en place d’une mesure de sécurité complémentaire, le mot de passe doit comporter au minimum douze caractères et contenir au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial. Lorsque le mot de passe comporte huit caractères, contenant trois des quatre catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux), il doit s’accompagner d’une mesure de sécurité complémentaire afin d’assurer un niveau de sécurité et de confidentialité suffisant.
58. La formation restreinte relève que la nécessité d’un mot de passe fort est également soulignée par l’ANSSI, qui précise qu’ un bon mot de passe est avant tout un mot de passe fort, c’est à dire difficile à retrouver même à l’aide d’outils automatisés. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules .
59. Par conséquent, en l’espèce, la formation restreinte considère qu’eu égard au volume et à la nature des données à caractère personnel pouvant être contenues dans les millions de comptes d’abonnés (notamment les nom, prénom, numéro de ligne fixe, numéro de téléphone mobile, adresse électronique et factures), l’imposition par cette dernière de mots de passe de connexion aux comptes des clients, composés uniquement de huit caractères, pouvant être d’une seule catégorie de caractères, sans mesure de sécurité complémentaire, ainsi que l’acceptation de leur renouvellement selon ces mêmes modalités, ne permet pas d’assurer la sécurité des données à caractère personnel traitées par la société ni d’empêcher que des tiers non autorisés aient accès aux données à caractère personnel des clients.
60. S’agissant de la procédure de stockage en clair des mots de passe, la formation restreinte constate que toute personne ayant accès à la base de données des clients de la société […] – qu’il s’agisse des administrateurs des systèmes d’information au sein de la société ou d’un attaquant en cas de compromission de celle-ci – pouvait directement collecter les identifiants et mots de passe en clair de chacun des abonnés et ainsi accéder aux informations contenues dans leurs comptes, puis éventuellement les modifier, tenter d’accéder à d’autres comptes de services au moyen de ces identifiants (les mêmes identifiants et mots de passe étant souvent utilisés sur plusieurs services) ou, encore, revendre ces derniers à d’autres attaquants.
61. S’agissant de la transmission du mot de passe en clair, le fait que ces éléments soient transmis en clair via un simple courrier électronique ou postal, les rend aisément et immédiatement utilisables par un tiers qui les intercepterait ou aurait un accès indu à la messagerie électronique de l’utilisateur, dès lors que ces mots de passe n’ont pas une durée limitée ou que leur modification n’est pas exigée lors de la première utilisation. Ce tiers pourrait alors, non seulement accéder à toutes les données à caractère personnel présentes dans le compte utilisateur […] de la personne concernée (nom, prénom, numéro de téléphone […], adresse postale et adresse électronique) mais également télécharger ses factures et le relevé de ses consommations, procéder à la modification du mot de passe, de l’adresse de messagerie électronique ou encore des options du compte. Compte tenu de ces conséquences potentielles pour la protection des données à caractère personnel et de la vie privée des personnes, la formation restreinte considère que les mesures déployées pour garantir la sécurité des données en l’espèce sont insuffisantes.
62. La formation restreinte retient que des manquements aux obligations qui découlent de l’article 32 du RGPD sont ainsi constitués en raison de l’insuffisante robustesse des mots de passe ainsi que de leur stockage et transmission en clair aux abonnés de la société.
63. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD.
2. Sur le reconditionnement des boîtiers […] 
64. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 32 du RGPD, se fonde sur le fait que 4 137 boîtiers ont été remis en circulation sans que leur reconditionnement soit parfait , en raison notamment d’une erreur ayant conduit à la suppression d’une procédure (également appelée séquence de test ) destinée à effacer les données stockées sur les disques durs de ces boîtiers […] .
65. En défense, la société fait valoir que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyen, qui lui impose uniquement de mettre en œuvre des mesures de sécurité adaptées aux risques du traitement qu’elle effectue. Elle estime qu’en l’espèce, les mesures mises en œuvre étaient suffisantes, compte tenu du fait que cet incident résulte de deux erreurs humaines successives, qu’il existe un risque anecdotique que les […] soient détournées pour y stocker des données sensibles et que la circonstance qu’un seul abonné ait signalé ces faits conduit à ce qu’un seul accès effectif à la vie privée d’un ancien abonné se soit réalisé , ce qui reflète la probabilité limitée que ce risque se matérialise en pratique . La société considère en outre que la gravité de cet incident doit être nuancée compte tenu de la nature des données usuellement stockées sur les […] – qui se limitent principalement à l’enregistrement des programmes TV et marginalement au stockage de photos ou vidéos personnelles. Enfin, la société rappelle qu’à l’issue de la campagne visant à rappeler les boîtiers concernés, elle a adressé une […] de remplacement aux 322 abonnés n’ayant pas restitué leur […] et qu’en tout état de cause, celles-ci ont été désactivées en juillet 2022.