AgentPublic/cnil huggingface dataset:
S'agissant des traitements relevant de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016, dite directive police/justice , l'article 90 de la loi du 6 janvier 1978 modifiée prévoit que si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel (AIPD). Si le traitement est mis en œuvre pour le compte de l'Etat, cette AIPD est adressée à la Commission avec la demande d'avis prévue à l'article 33.
Le ministère considère, en accord avec le délégué ministériel à la protection des données, dont l'avis a été transmis à la Commission dans le cadre de la présente demande d'avis, que, dans la mesure où le traitement MISP-PJ n'est pas susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, la réalisation d'une AIPD n'est pas nécessaire.
La Commission rappelle toutefois que la réalisation d'une AIPD est recommandée même lorsqu'elle n'est pas obligatoire, notamment au regard des finalités poursuivies par le traitement et à son périmètre. Une AIPD permettrait notamment au ministère d'évaluer si des risques nouveaux relatifs aux personnes concernées et liés au fait de centraliser les informations doivent être pris en compte ainsi que de suivre l'évolution de ces risques au fur et à mesure de la montée en puissance du dispositif.
Sur la nature des données traitées
L'article 2 du projet d'arrêté prévoit la collecte de données à caractère personnel et informations s'agissant des victimes (personnes morales ou physiques), des faits et de l'auteur de l'attaque, ou encore des services d'enquêtes accédant au traitement.
L'article 2 du projet d'arrêté prévoit que pourront faire l'objet d'une collecte au titre des données et informations relatives à l'auteur de l'attaque les données à caractère personnel et informations suivantes : adresses électroniques, adresses IP, pseudonymes, nom(s) de profil sur les réseaux sociaux ou identifiants, nom(s) de domaine, numéro de port, courriel de demande de rançon, note de rançon, données relatives aux fichiers chiffrés et signature de fichier, adresse de portefeuille de monnaie virtuelle .
A cet égard, le ministère a précisé qu'en plus des données issues de la procédure judiciaire en cours, le traitement MISP-PJ pourra être alimenté par des données techniques issues de sources ouvertes telles que des articles de sociétés d'antivirus et de sociétés de services en cybersécurité travaillant sur des familles de rançongiciels ou autres logiciels malveillants.
La Commission considère qu'une vigilance particulière doit être prêtée au recueil de données via des sources ouvertes, afin de s'assurer que seules les données strictement nécessaires aux finalités poursuivies par le traitement soient traitées et enregistrées. A cet égard, la Commission relève que la réalisation d'une AIPD permettrait au ministère d'identifier les mesures de sécurité adéquates pour éviter une collecte trop large de données issues de sources ouvertes.
Sur la durée de conservation des données
L'article 3 du projet d'arrêté prévoit que les données à caractère personnel et informations sont conservées pour une durée de six ans à compter de leur enregistrement.
La Commission prend acte des éléments apportés par le ministère selon lesquels une telle durée se justifie, d'une part, par le fait que les auteurs des infractions visées peuvent réutiliser les mêmes indicateurs de compromission à plusieurs reprises sur de longues périodes et, d'autre part, par le fait que cette durée correspond au délai de prescription en matière délictuelle.
La Commission relève que la durée de conservation des données n'est pas modulée selon les suites judiciaires apportées. Le ministère a précisé à cet égard que les suites judiciaires ne sont pas enregistrées dans le traitement MISP-PJ.
La Commission rappelle que la durée de conservation des données ne saurait être fixée, par principe, au regard de la seule durée de prescription de l'action publique, sans considération des finalités pour lesquelles elles sont traitées, et dans le respect des dispositions de l'article 4-5° de la loi du 6 janvier 1978 modifiée. Elle souligne la nécessité de veiller à ce que seules les données strictement nécessaires aux finalités poursuivies par le traitement soient enregistrées, notamment en supprimant les signalements et plaintes dont l'analyse aura permis de déterminer qu'ils ne portent pas sur des atteintes aux systèmes de traitement automatisé de données ou encore en supprimant les signalements et plaintes qui n'auraient pas déclenché l'ouverture d'une procédure judiciaire ou auraient été classés sans suite après enquête.
La Commission prend également acte de ce qu'une vérification trimestrielle est réalisée, au cours de laquelle un état des données dont la conservation excède le délai prescrit est établi. Les données concernées sont alors effacées manuellement par les personnes disposant de droits d'administrateur. La Commission recommande néanmoins la mise en œuvre d'une suppression automatisée permettant d'assurer une conservation des données n'excédant pas la durée de conservation établie.
Sur les accédants et destinataires
L'article 4 du projet d'arrêté prévoit la liste des personnes pouvant accéder aux données et informations du traitement ou en être destinataires, à raison de leurs attributions et dans la limite du besoin d'en connaitre. La liste des accédants n'appelle pas de remarque de la Commission.
Peuvent être notamment destinataires des données à caractère personnel et informations du traitement, les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers, qui présentent, conformément aux prescriptions de l'article L. 235-1 du code de la sécurité intérieure un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.
Le même article prévoit que les services de police et de gendarmerie nationales peuvent recevoir des données contenues dans les traitements gérés par les organismes de coopération internationale en matière de police judiciaire ou les services de police étrangers dans le cadre des engagements prévus au présent article. La Commission prend acte de ce que seules des données techniques transmises dans le cadre d'une demande d'entraide judiciaire ou d'une demande de coopération internationale (MLAT) seront enregistrées dans le traitement MISP-PJ. Ces données devront correspondre aux données décrites à l'article 2 du projet d'arrêté.
De manière générale, la Commission rappelle que les transferts de données à caractère personnel vers des Etats n'appartenant pas à l'Union européenne ou vers des destinataires établis dans des Etats n'appartenant pas à l'Union européenne devront s'effectuer dans le respect des dispositions des articles 112 à 114 de la loi du 6 janvier 1978 modifiée.
Sur les mises en relation
Le ministère prévoit de mettre en relation le traitement MISP-PJ d'une part avec les logiciels de rédaction des procédures LRPPN et LRPGN et, d'autre part avec le recueil d'informations techniques relatives aux incidents de sécurité sur les réseaux et systèmes d'information mis en œuvre par le CSIRT-PJ. Ces traitements alimenteront le traitement MISP-PJ, au moyen de rapprochements manuels, par les données techniques détaillées à l'article 2 du projet d'arrêté.
La Commission estime que ces mises en relations s'inscrivent dans les finalités poursuivies par le traitement MISP-PJ à savoir le renforcement de l'efficacité des investigations en matière d'atteintes au système de traitement automatisé de données par le recoupement et l'analyse des informations recueillies.
Elle relève que, le CSIRT-PJ met en œuvre un traitement de données et informations relatives aux logiciels malveillants conservant des données relatives à des incidents de sécurité détectés via des sources ouvertes ou transmis par des organismes partenaires. Selon le ministère, la mise en relation avec le traitement MISP-PJ doit permettre de contextualiser les données d'enquête grâce à ces données complémentaires. La Commission prend acte de ce que les données enregistrées dans le traitement MISP-PJ issues du traitement mis en œuvre par le CSIRT-PJ seront exclusivement des adresses IP de serveurs de commande ou des machines impliquées dans les incidents de sécurité, des courriels et des adresses de cyber-monnaies et pseudonymes utilisés lors d'attaques.
Sur la sécurité des données et la traçabilité des actions
S'agissant des éléments de sécurité mis en œuvre pour encadrer le traitement, la Commission recommande l'élaboration d'une AIPD précisant les solutions techniques déployées en vue de couvrir les risques liés aux données traitées. Cette AIPD n'ayant été jugée nécessaire par le ministère eu égard aux caractéristiques du traitement, la Commission ne peut se prononcer en profondeur s'agissant de ces aspects.
La Commission rappelle également que la réunion en un seul et même endroit des données ci-après listées et de leur utilisation dans le cadre de procédures judiciaires peut présenter des risques en cas de perte de confidentialité. En effet, les données rapprochées, telles que les informations relatives à l'auteur de l'attaque (adresses IP et numéros de port, adresses de courrier électronique utilisées dans le cadre de l'attaque, identifiants, pseudonymes, noms des profils sur les réseaux sociaux, noms de domaine ou adresses courriel de demande de rançon) sont des éléments dont le traitement nécessite un niveau de sécurité adéquat.
Le ministère précise par ailleurs le fait que les données contenues dans le traitement seront enregistrées manuellement. Il précise qu'il s'agit de données techniques issues, d'une part, des logiciels de rédaction des procédures judiciaires LRPPN et LRPGN et, d'autre part, du traitement de recueil d'informations techniques relatives aux incidents de sécurité sur les réseaux et systèmes d'information mis en œuvre par le CSIRT-PJ. A ce titre, la Commission s'interroge sur les risques induits par un enregistrement manuel et sur les garanties techniques et organisationnelles permettant d'assurer la qualité des données ainsi enregistrées dans le traitement MISP-PJ, ainsi que l'intégrité de ces données dans le temps. Elle recommande à cet égard de retenir des modalités d'importation automatique.
Le ministère ne précise pas les solutions de sauvegarde ou de cloisonnement qui permettront de limiter les pertes de confidentialité ou d'intégrité ainsi que la conservation dans le temps des données traitées. Il précise cependant que la solution sera déployée sur son intranet.
La Commission retient à ce titre qu'un chiffrement du flux d'accès au traitement sera mis en œuvre et que les accès seront gérés au travers d'une authentification par identifiant/mot de passe. En conséquence, elle rappelle le besoin de mettre en œuvre des procédures de gestion des habilitations permettant de limiter les accès au seul droit d'en connaître et que cette procédure devra prendre en compte une revue régulière des accès ainsi octroyés.
Concernant les contrôles d'accès aux données, la Commission rappelle que l'authentification des personnes habilitées à accéder aux données traitées doit être conforme à l'article 99 de la loi du 6 janvier 1978 modifiée, tel qu'éclairé par sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Enfin, concernant la traçabilité, le ministère précise qu'une traçabilité sera mise en œuvre au sein du traitement pour couvrir toutes les opérations réalisées sur celui-ci. S'agissant de leur conservation, le ministère précise qu'une conservation d'une durée de 6 ans sera réalisée. La Commission rappelle qu'il n'est pas possible de motiver la durée de conservation des données de traçabilité pour la seule durée de prescription des infractions pénales liées au mésusage des données du traitement par ceux qui y accèdent. Elle estime, dans le cas d'espèce, qu'une conservation des traces pour une durée de trois ans pourrait être considérée comme justifiée. Elle rappelle, en tout état de cause, que celle-ci devrait s'accompagner d'un système automatisé de gestion d'alertes permettant la détection d'un usage malveillant de la solution déployée.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2019-188C du 26 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par ces organismes ou pour le compte des sociétés [...] et [...] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 17 décembre 2020 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société [...] le 2 août 2021 ;
Vu les observations écrites versées par la société [...] le 13 septembre 2021 ;
Vu la réponse du rapporteur à ces observations notifiées le 4 octobre 2021 à la société ;
Vu les nouvelles observations écrites versées par la société [...] le 22 octobre 2021, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 4 novembre 2021 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société [...] :
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […].
La société [...] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société [...] (ci-après " la société "), dont le siège social est situé […], est une filiale du [...]. La société est un opérateur de téléphonie mobile qui commercialise des téléphones et / ou des forfaits mobiles. Créée en […], elle compte environ […] salariés.
2. Pour l’année 2020, la société [...] a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. Au 21 décembre 2020, la société dénombrait environ […] abonnés aux offres mobiles, […].
3. Entre le mois de décembre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de 19 plaintes à l’encontre de la société [...]. Les plaignants faisaient notamment état des difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’opposition à recevoir des messages de prospection commerciale.
4. Pour les besoins de l’instruction des plaintes, deux opérations de contrôle sur place dans les locaux de la société [...] puis de la société [...] ont été effectuées en application de la décision n° 2019-188C du 26 septembre 2019 de la présidente de la CNIL. Ces missions ont été réalisées respectivement les 21 et 22 janvier 2020. En application de cette même décision, un contrôle sur pièces a également été effectué auprès des sociétés [...] et [...] le 3 juin 2020.
5. Ces missions avaient pour objet de vérifier le respect, par la société [...], de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD ") et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou la " loi Informatique et Libertés ").
6. Au cours des deux premiers contrôles, la délégation de la CNIL s’est attachée à vérifier la gestion, par la société [...], des droits des personnes, et plus particulièrement la manière dont elle avait traité les demandes d’exercice des droits des personnes ayant saisi la Commission de plaintes. Ces contrôles avaient également pour but de vérifier les mesures de sécurité mises en place par la société pour protéger les données à caractère personnel qu’elle traite.
7. A l’issue de ces contrôles, les procès-verbaux n° 2019-188/1 et n° 2019-188/2 ont été notifiés à la société [...] par courrier daté du 23 janvier 2020. La société a transmis aux services de la Commission, par courriels des 3 et 10 février 2020, les pièces complémentaires sollicitées à l’issue de ces missions de contrôle.
8. Au regard des réponses apportées par la société, et en vue de préciser certains constats précédemment effectués, un nouveau contrôle sur pièces a été diligenté par la CNIL le 3 juin 2020, qui s’est traduit par l’envoi d’un questionnaire à la société [...].
9. La société a transmis aux services de la Commission, par courriel du 29 juin 2020, les pièces complémentaires et les informations sollicitées à l’occasion de ce contrôle.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 décembre 2020, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée et en a informé la société par courrier du 23 décembre 2020.
11. À l’issue de son instruction, le rapporteur a, le 2 août 2021, fait notifier à la société [...] un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Le courrier de notification du rapport indiquait à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.
12. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 15, 16, 21, 25 et 32 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
13. Le 13 septembre 2021, la société a produit ses observations en réponse au rapport de sanction.
14. Le 23 septembre 2021, le rapporteur a sollicité un délai pour répondre aux observations formulées par la société [...]. Par courrier du 24 septembre 2021, le président de la formation restreinte a avisé le rapporteur qu’il bénéficiait d’un délai supplémentaire de six jours pour produire ses observations. Par un courrier daté de ce même jour, la société a été avisée par le président de la formation restreinte qu’elle bénéficiait également d’un délai supplémentaire de six jours pour produire ses observations.
15. Par courrier du 4 octobre 2021, la réponse du rapporteur aux observations de la société lui a été adressée, accompagnée d’une convocation à la séance de la formation restreinte du 4 novembre 2021.
16. Le 22 octobre 2021, la société [...] a produit de nouvelles observations en réponse à celles du rapporteur.
17. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la responsabilité de traitement de la société [...]
18. L’article 4, paragraphe 7 du RGPD prévoit que le responsable du traitement est " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".
19. Dans son rapport, le rapporteur souligne d’abord que la délégation a été informée lors du contrôle sur place du 21 janvier 2020 que " la société [...] est l’opérateur de radio télécommunication mobile du [...] et la société [...] est l’opérateur de télécommunication fixe du [...] " et que " chaque client est rattaché à la société [...] et / ou à la société [...] " en fonction de l’offre à laquelle il a souscrit. Le rapporteur relève ensuite que chacune des sociétés [...] et [...] " dispose de son propre système d’information dans lequel figurent [ses] clients " et que les " bases de prospects sont également réparties par société ", de sorte que les sociétés peuvent accéder aux bases de données qui leur sont propres. Une base de données commune est également utilisée par chacune des sociétés, pour son compte, afin d’effectuer de la prospection commerciale. Le rapporteur observe enfin que le registre de traitement transmis à la délégation de la CNIL indique que la société [...] se considère notamment responsable des traitements relatifs à la gestion des contrats souscrits auprès d’elle par ses abonnés et des traitements liés aux opérations de prospection commerciale qui sont réalisées auprès de ses clients et prospects pour son compte.
20. La formation restreinte relève que ces éléments n’ont pas été contestés par la société [...]. Elle considère qu’il résulte de ce qui précède que la société [...] doit être regardée comme responsable des traitements des données à caractère personnel de ses clients, mis en œuvre dans le cadre de l’exécution des contrats d’abonnement de téléphonie mobile, et des personnes qu’elle contacte à des fins de prospection commerciale, dans la mesure où elle détermine les finalités et les moyens de ces traitements.
B. Sur les griefs de la société en lien avec la procédure
21. La société estime que le rapporteur a manqué à son devoir de diligence en lui transmettant, plus de dix-huit mois après les opérations de contrôle et pendant les congés du mois d’août, le rapport proposant à la formation restreinte de retenir une sanction à son encontre. La société fait valoir, sur la base d’une moyenne qu’elle indique avoir établie à partir des décisions de la formation restreinte rendues entre 2018 et 2021 à l’issue d’un contrôle sur place, que le délai moyen de transmission de la procédure à la formation restreinte est d’environ treize mois et, qu’en l’espèce, ce délai a été porté à dix-huit mois. La société fait également valoir qu’elle n’a pas été mise en mesure de prendre connaissance, avant la réception du rapport, de deux plaintes sur lesquelles le rapporteur s’est fondé pour retenir à son encontre un manquement à son obligation d’assurer la sécurité du traitement. Enfin, la société s’étonne de ne pas avoir été au préalable mise en demeure de corriger les manquements à l’origine des faits litigieux, ce qui démontrerait la faible gravité des manquements allégués par le rapporteur, notamment s’agissant de ses procédures de sécurité.
22. En premier lieu, la formation restreinte relève que les textes applicables ne prévoient pas de limite au délai entre la conduite des contrôles et la transmission d’un rapport proposant une sanction. De plus, la présente procédure est intervenue pendant la crise sanitaire, qui a engendré un allongement des délais.