AgentPublic/cnil huggingface dataset:
Interrogé sur l'articulation de ces deux dispositions, le ministère a indiqué que la rédaction du projet de décret sera clarifiée, et que les logs de connexion seraient conservés six mois, ce dont la CNIL prend acte.
B. Sur l'article 2 du projet de décret (traitement du NIR)
Le principe du recours au NIR dans ce contexte est prévu par l'article L. 263-4-1 du CASF.
L'article 2 du projet de décret a pour objet d'effectuer la mise en cohérence du "décret cadre NIR".
La CNIL rappelle que l'existence d'un texte unique qui recense de manière exhaustive l'ensemble des usages autorisés du NIR, constitue une garantie pour les droits et intérêts des personnes concernées.
Elle estime que les modifications projetées du décret NIR doivent être effectuées préalablement à la mise en place du dispositif, quand bien même la possibilité de traiter le NIR dans le dispositif projeté est d'ores et déjà consacrée par une disposition législative (l'article L. 263-4-1 du CASF).
La CNIL accueille par conséquent favorablement la mise à jour du "décret-cadre NIR "dont le contenu des modifications projetées n'appelle pas d'observations de sa part.
C. Sur l'article 3 du projet de décret (possibilité d'importation de certaines données traitées par Pôle Emploi)
L'article 3 du projet de texte soumis à l'examen de la Commission prévoit la modification de l'article R. 262-104 du CASF, qui liste actuellement les catégories de données susceptibles d'être traitées dans le cadre du traitement "@ RSA".
Il s'agit d'une erreur de rédaction, le texte visant en réalité à modifier l'article R. 262-107 du CASF.
Cette modification aura pour effet de permettre une importation automatisée de données enregistrées dans le traitement "@RSA" vers le traitement mis en œuvre par Pôle emploi dénommé "Système d'information concernant les demandeurs d'emploi et salariés".
Cette nouvelle disposition, qui participe à la mutualisation des données des acteurs d'insertion telle que décrite par l'article 1er du projet de décret, n'appelle pas d'observations particulières de la CNIL.
D. Sur l'article 4 du projet de décret (mise en cohérence de certaines dispositions du code du travail)
L'article 4 du projet de décret modifie certaines dispositions relatives au téléservice qui permet d'accomplir les démarches relatives aux parcours d'insertion par l'activité économique, prévu aux articles R. 5132-1-19 et suivants du code du travail. Ces modifications consistent à :
confier la responsabilité du traitement existant au GIP Plateforme de l'inclusion en lieu et place du ministre chargé du travail ;
ajouter la délégation générale à l'emploi et à la formation professionnelle (DGEFP) en tant que destinataire des données ;
enfin, mettre en cohérence les dispositions relatives aux modalités d'exercice des droits qui devront être exercés auprès du GIP Plateforme de l'inclusion .
La CNIL prend acte de ces modifications qui n'appellent pas de commentaires de sa part.
Liens relatifs
La présidente
M.-L. Denis
La Présidente
COMMUNE DE X
MONSIEUR LE MAIRE
MAIRIE
…
 
 
 
 
Paris, le
 
Références à rappeler dans toute correspondance :
N/Réf. : … - CTX -2022-057
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 27 février 2023 en réponse à la décision n° MED-2022-034 que j’ai prise le 25 avril 2022 mettant en demeure la commune de X
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
 
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Madame Anne DEBET, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données, notamment ses articles 56 et 60 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2020-081C du 12 mai 2020 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine "[…]" et l’application mobile "[…]" ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 12 avril 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 17 mars 2022 ;
Vu les observations écrites versées par la société […] le 2 mai 2022 ;
Vu la réponse de la rapporteure notifiée à la société le 16 juin 2022 ;
Vu les observations écrites versées par la société […] le 29 juillet 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 29 septembre 2022 :
Madame Valérie Peugeot, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
[…].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
Faits et procédure
La société […] (ci-après "la société") est une société par actions simplifiée au capital de […] euros, sise […], créée en 2014. La société estime ses effectifs en France à […] personnes. Elle a réalisé, en 2019, un chiffre d’affaires de 21 882 031 euros pour un résultat net déficitaire de 12 641 302 euros. Dans un courrier du 21 avril 2021, la société a estimé son chiffre d’affaires […].
Depuis 2016, la société propose un service de location de scooters électriques en libre-service accessible à partir de l’application mobile "[…]". Il s’agit d’une offre de véhicules partagés en "freefloating", c’est-à-dire qui se caractérise par l’absence de stations. Les scooters ne sont pas stationnés dans des espaces précis et peuvent être laissés, après utilisation, dans la zone de location identifiée dans l’application. Les scooters sont équipés d’un dispositif de localisation embarqué qui permet à […] et aux utilisateurs, via leur application mobile, de connaître la position des scooters. La location d’un scooter électrique auprès de la société suppose la création d’un compte à partir de l’application mobile. Il s’agit d’un service sans engagement qui est facturé à la minute.
En France, ce service est disponible en région parisienne et à Nice. Par ailleurs, la société a également développé son service dans certaines villes d’Italie et d’Espagne par l’intermédiaire de deux filiales qu’elle détient à 100%, […]. La société dénombre à ce jour environ 247 000 utilisateurs en France et à l’étranger.
Un contrôle en ligne a été effectué sur le site web "[…]" et l’application mobile "[…]", le 13 mai 2020. Le procès-verbal n° 2020-081/1, dressé par la délégation le jour du contrôle, a été notifié à la société le 19 mai 2020. La délégation de la CNIL s’est notamment attachée à vérifier les données collectées et les finalités de la collecte. Ce contrôle avait également pour but de vérifier l’encadrement de la sous-traitance et la sécurité des données.
Trois demandes de complément d’informations ont ensuite été adressées à la société par une lettre recommandée avec avis de réception du 26 juin 2020 et par courriers électroniques des 27 août et 10 décembre 2020. La société a répondu à ces demandes par des courriers datés des 16 juillet, 11 septembre et 15 décembre 2020.
Conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant le traitement transfrontalier mis en œuvre par […], à savoir la gestion des comptes utilisateurs et des outils mis en place par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échange entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, l’Espagne et l’Italie se sont déclarées concernées par ledit traitement.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 12 avril 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
Le 17 février 2022, la rapporteure a fait parvenir à la société une demande complémentaire relative à l’anonymisation des données à caractère personnel effectuée par un hachage des données et de l’application d’un sel. La société y a répondu par un courrier du 23 février 2022.
La rapporteure a fait notifier à la société […], le 17 mars 2022, un rapport détaillant les manquements aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après "le Règlement" ou le "RGPD") et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après "la loi Informatique et Libertés" ou "loi du 6 janvier 1978 modifiée") qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative et de rendre la décision publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le 2 mai 2022, la société a produit ses observations en réponse au rapport de sanction.
Par un courrier du 16 juin 2022, la réponse de la rapporteure a été adressée à la société.
Le 29 juillet 2022, la société a adressé de nouvelles observations en réponse à celles de la rapporteure.
Par un courrier du 22 août 2022, la rapporteure a informé la société de la clôture de l’instruction.
Le 23 août 2022, le président de la formation restreinte a notifié à la société […] une convocation pour la séance du 29 septembre 2022.
Motifs de la décision
En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 15 février 2023 aux autorités de contrôle européennes concernées.
Au 15 mars 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
Sur le manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées en application de l’article 5, paragraphe 1, c) du RGPD
L’article 5, paragraphe 1, c) du RGPD prévoit que les données à caractère personnel doivent être "adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données)". Lorsque les données sont collectées sur le fondement de l’intérêt légitime, cette collecte ne doit en outre pas porter une atteinte disproportionnée à la vie privée, au regard des objectifs poursuivis par la société.
La rapporteure relève que, dans le cadre de l’instruction, la délégation de contrôle de la CNIL a été informée que les scooters sont équipés de boîtiers électroniques comprenant une carte SIM et un système de géolocalisation GPS, embarqués sur les scooters. Ces boîtiers collectent des données de position des scooters toutes les 30 secondes lorsque le […] est actif et que son tableau de bord est allumé, qu’il soit en déplacement ou prêt à rouler. Lorsque le […] est inactif, le boîtier collecte des données de position toutes les 15 minutes.
Ces données sont stockées dans "une base de données scooters" qui contient notamment les données suivantes : la position via le GPS et "un numéro de réservation […] qui sont collectés dans le cas où le […] est réservé, durant la période de location". Elles sont conservées 12 mois en base active, puis 12 mois en archivage intermédiaire avant d’être anonymisées.
Les données de position des scooters, à savoir la localisation du scooter au point de départ et d’arrivée de la réservation et la localisation pendant tout le trajet sont collectées par la société pour les finalités suivantes : traitement des infractions au code de la route, traitement des réclamations clients, support aux utilisateurs (afin d’appeler les secours en cas de chute d’un utilisateur), gestion des sinistres et des vols.
Pour mettre fin à la location, l’utilisateur doit effectuer certaines manipulations telles que : s’assurer d’être dans une zone autorisée pour garer les scooters (zone […]), éteindre le scooter, presser le bouton "FIN" situé sur le scooter ou cliquer sur "TERMINER MA LOCATION" dans l’application mobile et vérifier que la diode verte "LIBRE" est allumée.
La rapporteure considère qu’aucune des finalités avancées par la société ne justifie une collecte quasi permanente des données de géolocalisation au cours de la location d’un scooter.
Il y a lieu d’examiner la pertinence de la collecte de ces données pour chacune de ces finalités. A titre liminaire, la formation restreinte souligne que, dès lors qu’un véhicule est en cours de location, les données de géolocalisation issues de ce véhicule sont associées à une personne et constituent des données à caractère personnel. En revanche, lorsque le scooter n’est pas loué, les données de géolocalisation liées au seul véhicule ne sont pas des données à caractère personnel.
La formation restreinte note que la société utilise trois bases de données distinctes :
une "base de données scooter" qui contient les données remontées par les capteurs fixés sur le scooter (position du scooter via un GPS, état de la batterie, capteur de la selle) ;
une "base de données réservation" qui contient les dates et heures de début et de fin de chaque location ainsi que l’état du scooter au début et à la fin de sa location ;
une "base de données client" qui comprend les données permettant de gérer la facturation, cette dernière base ne contenant pas de données relatives au scooter.
La formation restreinte relève que, si les données de position des scooters sont décorrélées de toute information relatives aux utilisateurs dans la "base de données scooter" et sont conservées dans une base distincte de celle stockant les données relatives aux utilisateurs, à savoir la "base de données client", ce qui constitue un choix d’architecture informatique respectueux de la vie privée (privacy by design), il n’en demeure pas moins que ces données peuvent être recoupées avec les données présentes dans les autres bases, notamment par le biais du numéro de réservation présent dans chacune des bases, en disposant d’un accès étendu et simultané aux bases de données.
La formation restreinte considère donc que les données de géolocalisation collectées par […] lorsque le scooter est en cours de location, sont des données à caractère personnel dès lors qu’un rapprochement est possible entre les différentes bases de données, quand bien même ce rapprochement ne serait que ponctuel, les données de position de scooter se rapportant à une personne physique identifiée ou identifiable.
En outre, la formation restreinte relève que, si les données de géolocalisation ne sont pas des données sensibles, au sens de l’article 9 du RGPD, elles sont néanmoins considérées par le groupe de travail de l’article 29 (dit "G29" devenu le Comité européen de la protection des données (CEPD)) dans ses lignes directrices du 4 octobre 2017, comme étant des "données à caractère hautement personnel". Le CEPD estime que ces données sont considérées comme sensibles, au sens commun du terme, dans la mesure où elles ont un impact sur l’exercice d’un droit fondamental : la collecte des données de localisation met en jeu la liberté de circulation.
A titre d’éclairage, la formation restreinte rappelle également que le CEPD a considéré, dans ses lignes directrices 01/2020 relatives aux traitements de données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité (les lignes directrices 01/2020) que "lorsqu’ils collectent des données à caractère personnel, les constructeurs de véhicules et d’équipements, les prestataires de services et les autres responsables du traitement devraient garder à l’esprit que les données de localisation sont particulièrement révélatrices des habitudes de vie des personnes concernées. Les trajets réalisés sont très caractéristiques en ce qu’ils peuvent permettre de déduire le lieu de travail, le domicile ainsi que les centres d’intérêt (loisirs) du conducteur, et peuvent éventuellement révéler des informations sensibles comme la religion, par l’intermédiaire du lieu de culte, ou l’orientation sexuelle, par l’intermédiaire des lieux fréquentés. Par conséquent, les constructeurs de véhicules et d’équipements, les prestataires de services et les autres responsables du traitement devraient particulièrement veiller à ne pas collecter de données de localisation, à moins que cela ne soit absolument nécessaire pour la finalité du traitement". Ces lignes directrices soulignent également que la collecte de données de localisation est subordonnée au respect du principe selon lequel la localisation peut être activée "uniquement lorsque l’utilisateur lance
une fonctionnalité qui nécessite de connaître la localisation du véhicule, et non par défaut et en continu au démarrage de la voiture".
Bien que la société conteste l’applicabilité des lignes directrices au cas d’espèce, au motif qu’elles ne concerneraient que les automobiles, la formation restreinte considère que les lignes directrices constituent un éclairage pertinent s’agissant des données de géolocalisation en général.
Dans ce cadre, la formation restreinte rappelle que l’appréciation du respect du principe de minimisation des données repose sur le caractère limité à ce qui est nécessaire des données traitées au regard de la finalité pour laquelle elles sont collectées. Son appréciation implique de procéder à une analyse de nécessité des données à caractère personnel qui sont collectées au regard des finalités visées.
Au regard des éléments qui précèdent, la formation restreinte considère qu’il convient d’analyser uniquement la nécessité de la collecte et de la conservation des données de position collectées toutes les 30 secondes, dès lors que la collecte des données de position au début et à la fin de location est pertinente au regard des finalités poursuivies.
En premier lieu, s’agissant de la gestion des réclamations liées à la surfacturation, la rapporteure considère que la collecte des données de géolocalisation toutes les trente secondes pendant toute la durée de la location n’est pas nécessaire. Elle précise que la gestion de la surfacturation devrait être gérée par la prise de contact de l’utilisateur lorsqu’il rencontre une difficulté à mettre fin à sa location ou, à tout le moins, par des moyens moins intrusifs qu’une géolocalisation quasi-permanente du véhicule en cours de location.
En défense, la société fait valoir que la collecte des données de position des scooters toutes les 30 secondes serait nécessaire, dans le cadre d’un service facturé à la minute pour des situations ayant engendré une surfacturation et une réclamation de la part des utilisateurs lorsqu’ils n’ont pas réussi à mettre fin correctement à leur location, notamment lorsque :
- l’utilisateur perd la communication avec un scooter pour des raisons techniques ou humaines ;
- l’utilisateur fait une réclamation liée aux zones de stationnement non autorisées ;
- l’utilisateur n’arrête pas le scooter correctement pour mettre fin à la location ;
- le scooter a été déplacé par un tiers.
La collecte des données de position toutes les 30 secondes permettrait de remonter par tranches de 30 secondes pour identifier le nombre de secondes pendant lequel le scooter a été à l’arrêt. Elle ajoute que les utilisateurs se rendent compte, très souvent a posteriori, que la location n’a pas été correctement terminée et ne prennent pas attache avec la société au moment de mettre fin à la location. Le déclenchement de la géolocalisation au moment de la prise de contact par l’utilisateur ne suffirait donc pas car il ne serait pas possible de calculer les minutes surfacturées entre le moment où l’utilisateur a souhaité mettre fin à la location et n’a pas pu le faire, et le moment où la société a pu régler le problème et mettre fin à la location.
La formation restreinte prend note des arguments mis en avant par la société pour gérer les réclamations liées à la surfacturation. Elle relève cependant que, à cette fin, la collecte et la conservation des données de géolocalisation des scooters toutes les 30 secondes n’est pas nécessaire.
En effet, dans trois des cas évoqués par la société (perte de communication avec le scooter, difficulté liée aux zones non autorisées, scooter déplacé par un tiers), la formation restreinte considère que l’utilisateur peut prendre attache avec la société […] pour résoudre les difficultés et terminer la location. La géolocalisation pourrait donc être déclenchée à compter de ce fait générateur.
En ce qui concerne les cas où l’utilisateur n’arrête pas le scooter correctement pour mettre fin à la location, la formation restreinte souligne que la géolocalisation du scooter toutes les 30 secondes ne permet pas de déterminer à quel moment l’utilisateur souhaitait réellement mettre fin à sa location. En effet, la position statique du scooter, à elle seule, ne démontre pas la volonté de l’utilisateur de ne pas poursuivre sa location.
En outre, la formation restreinte précise qu’il serait possible de mettre en place des mécanismes alternatifs et moins intrusifs permettant à la société de s’assurer que l’utilisateur a bien mis fin à la location ou, au contraire, de l’avertir lorsque ce n’est pas le cas, par exemple par l’envoi d’un SMS ou la confirmation, par une alerte via l’application, que la location a pris fin.
Si la société affirme avoir reçu, pour le mois de juin 2022, environ 11 500 appels sur 386 766 courses relatifs à des problèmes de surfacturation, elle n’indique pas la part des appels liés à ce cas spécifique. La formation restreinte considère, à défaut de statistiques précises, que ces cas ne sauraient justifier la géolocalisation quasi-permanente de tous les scooters.
Au demeurant, la formation restreinte remarque que l’article 7.4.6 des conditions générales d’utilisation de […] prévoit qu’"il est de la responsabilité de l’Utilisateur de contrôler que la fin de sa Location est effective. […] ne pourra être tenue responsable d’une facturation prolongée en cas de mauvaise restitution du Scooter". Il revient donc à l’utilisateur de s’assurer qu’il a correctement mis fin à la location.
En deuxième lieu, s’agissant de la gestion des amendes, la rapporteure considère que les données de géolocalisation des scooters tout au long du trajet ne sont pas nécessaires pour identifier l’utilisateur responsable de l’infraction dès lors qu’un recoupement entre le moment de l’infraction et la personne ayant loué le scooter sur cette période suffit pour le faire.