AgentPublic/cnil huggingface dataset:
Le traitement envisagé permet la collecte d’un grand nombre de données de manière indiscriminée. Par ailleurs, le projet d’arrêté ne prévoit pas la limitation aux plateformes "Google Maps" et "Tripadvisor", que seule l’AIPD mentionne. Le ministère a indiqué ne pas envisager l’extension du traitement à d’autres plateformes à ce stade.
Le projet d’arrêté prévoit "la collecte, le traitement, et l’analyse d’avis en ligne". Or, il s’agit en pratique non de collectes ponctuelles, en fonction des besoins d’agents instructeurs, mais d’une aspiration automatique de l’ensemble des avis d’une plateforme. La Commission demande que l’acte autorisant le traitement décrive cette caractéristique essentielle, qui en modifie la nature, et précise expressément qu’est autorisée la collecte automatique de l’ensemble des avis déposés sur les plateformes visées.
S’agissant des indicateurs permettant d’établir un score de suspicion de faux avis, la Commission rappelle la nécessité de mettre en place un protocole d’évaluation rigoureux pour en mesurer l’efficacité, analyser les éventuelles erreurs et biais. Aussi, la présence d’avis d’utilisateurs refusant de partager leur profil ne devrait constituer un indicateur de suspicion qu’à compter d’une proportion importante de tels avis sur la page d’un professionnel.
Au vu de la nature du traitement projeté, la Commission recommande que le traitement fasse l’objet d’une expérimentation et d’une évaluation approfondie des critères retenus (par exemple au sein du PEReN). Elle recommande également qu’un rapport d’expérimentation lui soit transmis pour avis, avant toute mise en œuvre effective du traitement. Ce rapport devrait viser à documenter notamment, comment les indicateurs retenus permettent de détecter de faux avis, la possibilité de privilégier des indicateurs mesurant le flux par opposition à l’analyse du texte des avis ainsi que la possibilité d’une suppression immédiate des données non-pertinentes.
 
 
Sur les catégories de données concernées
Le projet d’article 2-II énumère les catégories de données concernées par la collecte, à savoir, les données relatives aux professionnels, aux auteurs déclarés des avis y compris le texte des commentaires, ainsi que les données d’identification des agents habilités, de connexion et de journalisation.
Dans le cadre d’une collecte de données à caractère personnel librement accessibles, le responsable de traitement doit mettre en œuvre des moyens afin de s’assurer du respect des principes de minimisation des données et de protection des données dès la conception. En amont, des indicateurs et critères de pertinence doivent orienter et cibler la collecte afin de réduire l’extraction de données non pertinentes. À défaut d’avoir prévu les procédés techniques permettant d’opérer une distinction quant à la nature des données collectées, le ministère devra s’assurer de l’effectivité des mesures prévues dans la phase 2 de son traitement permettant de procéder à la suppression immédiate des données considérées comme non pertinentes.
En aval de la collecte et du traitement d’analyse automatique, l’outil "Polygraphe" offrira deux modes d’affichage aux agents. Le premier mode, dit de "ciblage de 1er niveau", permet un accès moins détaillé aux données en masquant notamment l'identité des contributeurs et le texte des avis. Il permet notamment la consultation du score global de suspicion. Le second mode, dit "ciblage de 2ème niveau", permet l’accès à l’ensemble des données collectées relatives au professionnel ciblé, y compris l’identité des contributeurs et le texte des avis.
La Commission prend acte des mesures protectrices prises par le ministère afin de restreindre les accès abusifs à ce deuxième niveau, comme la formation des agents, l’avertissement dans le logiciel, ou encore la journalisation des actions d'accès ou de modification réalisées au second niveau de ciblage.
 
Sur le traitement de données sensibles
 
En premier lieu, le traitement "Polygraphe" est susceptible de collecter des données sensibles dès lors qu’il n’est pas envisagé d’exclure certaines catégories de professionnels susceptibles d’aboutir à la révélation de données sensibles relatives à l’auteur de l’avis, comme par exemple un cabinet médical ou un commerce de fournitures confessionnelles. Or, l’article 88 de la loi "informatique et libertés" permet le traitement de données sensibles uniquement en cas de nécessité absolue au regard de la finalité poursuivie. La Commission a bien pris note que la phase 2 du traitement consistait à exclure les données sensibles de l’analyse. Elle regrette une nouvelle fois que le ministère ne se soit pas donné les moyens d’éviter de collecter de telles données, dès lors qu’il n’y aurait pas de nécessité absolue de les traiter au regard des missions poursuivies par la DGCCRF.
Conscient que la technique d’extraction du contenu d’un site web via des scripts (ou "webscraping") est, par nature, susceptible de collecter des données sensibles mentionnées dans les champs libres des avis, le ministère s’est engagé à supprimer de telles données, si elles étaient collectées, dans un délai de cinq jours. La Commission constate que cette durée qui pourrait être ramenée à l’immédiateté, a été intégrée au projet de texte.
En deuxième lieu, le ministère considère que le traitement de données sensibles peut être autorisé par un arrêté dès lors que les données sensibles qui seront traitées sont manifestement rendues publiques par la personne concernée et qu’elles seront détruites dans un délai déterminé.
Or l’article 89 de la loi "informatique et libertés" dispose que si le traitement est mis en œuvre pour le compte de l’État pour au moins l’une des finalités énoncées au premier alinéa de l’article 87 (notamment de prévention et de détection des infractions pénales, d’enquêtes et de poursuites), il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues à l’article 31 de cette loi.
Il résulte des dispositions du II de l'article 31 de la loi du 6 janvier 1978 que les traitements de données à caractère personnel mis en œuvre pour le compte de l'État, ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, d’enquêtes et de poursuites et qui portent sur des données sensibles, mentionnées au I de l'article 6 de cette loi, doivent être autorisés par décret en Conseil d'État pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés.
La Commission considère que le projet de traitement présenté ne peut être autorisé sur la base d’un arrêté.
Sur les opérateurs de plateformes visés 
L’article 1
er
 prévoit que seront collectées les données "issues d’avis en ligne de contributeurs, avis librement accessibles et manifestement rendus publics". L’AIPD précise que les plateformes concernées dans le cadre de l’outil "Polygraphe" seraient uniquement "Google Maps" et "Tripadvisor". La Commission a pris acte de ce que le ministère n’envisageait pas d’élargir le périmètre des plateformes concernées et qu’un tel élargissement, s’il était décidé, ferait l’objet d’une information de la Commission. Outre le rapport d’expérimentation, la Commission recommande de réaliser un bilan du dispositif préalablement à tout élargissement, en particulier sur l’évaluation du score de suspicion de faux avis.
Le ministère indique mettre en place une série de garanties relatives à l’usage du présent traitement mentionnées dans l’AIPD. À cet égard, il est pris acte de l’absence de prise de décision automatisée, et de l’engagement du ministère de procéder à la formation des agents habilités afin notamment de limiter les biais de confirmation ou d’automatisation dans l’usage du traitement "Polygraphe". La Commission recommandait et prend acte de l’engagement du ministère de préciser qu’aucune décision automatisée ne sera prise sur le fondement du présent traitement.
 
 
Sur les durées de conservation 
Compte tenu du volume important de données susceptibles d’être collectées et, plus particulièrement, d’informations se révélant potentiellement non nécessaires aux finalités poursuivies par le traitement, les données considérées comme non pertinentes devront être supprimées le plus rapidement possible à l’issue de leur collecte, et si possible immédiatement et automatiquement.
 
L’article 3 du projet d’arrêté indique que les données sont conservées pour la durée nécessaire à la réalisation d’une campagne de récupération et de leur analyse, sans que cette durée ne puisse excéder six mois. Le ministère indique par ailleurs que la durée de conservation n’est pas modulée en fonction du score global de suspicion des avis relatifs à un professionnel.
Dans la mesure où les professionnels dont les avis présenteront un score de suspicion nul ne seront pas accessibles aux agents de la DGCCRF, la Commission recommande de les supprimer dès que possible. Elle invite le ministère à préciser le projet de texte sur ce point.
 
 
Sur l’information et les droits des personnes concernées 
 
Une information générale sera affichée de manière pérenne sur le site web de la DGCCRF, conformément à l’exigence de l’article 104 de la loi "informatique et libertés" qui impose au responsable de traitement de "mettre à disposition" des personnes concernées cette information, de façon permanente et sans demande de leur part. La Commission insiste sur la nécessité de délivrer une information compréhensible par le plus grand nombre afin de permettre aux internautes de prendre conscience des conditions précises dans lesquelles ces données à caractère personnel sont susceptibles d’être collectées.
 
L’article 5 du projet d’arrêté prévoit que les droits d’accès, d’effacement, de rectification et à la limitation s’exercent auprès du référent protection des données de la DGCCRF. Il est rappelé que l’article 104 de la loi "informatique et libertés" impose la transmission, le cas échéant, des coordonnées du délégué à la protection des données ce à quoi le ministère s’est engagé. Il est pris acte de ce que le droit d’opposition des personnes physiques est écarté, conformément à l’article 111 de la loi "informatique et libertés".
Sur les accédants et destinataires 
 
Aucun destinataire du traitement n’est prévu, ce dont la Commission prend acte. Les accédants aux traitements sont prévus à l’article 1er du projet d’arrêté, et la Commission prend acte de ce que seuls les agents habilités au sein de ces services pourront accéder au traitement.
 
 
Sur les mesures de sécurité
Le ministère indique qu'une analyse automatisée des journaux, permettant notamment la détection de tentatives d'intrusion, pourrait être envisagée. La Commission recommande qu'une telle analyse automatisée soit mise en œuvre.
Par ailleurs, la mise en œuvre d’un traitement d’un grand nombre de données, eu égard à la sensibilité qu’il présente, nécessite que des garanties spécifiques soient prises afin d’assurer que le logiciel de collecte et d’analyse ne puisse procéder qu’au seul calcul d’un score de suspicion. Il doit être impossible de requêter le dispositif afin de tirer des données collectées d’autres informations et conclusions que celles décrites dans ce traitement.
Au regard de la nature et du volume de données concentrées, une vigilance particulière devra être apportée à la définition et au maintien d’un niveau de sécurité adapté.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜÉ, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (" RGPD ") ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-267C du 20 octobre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ; 
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 décembre 2021 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié à la société X le 7 juillet 2022 ;
Vu les observations écrites versées par la société X le 8 août 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 15 septembre 2022 :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants de la société X :
- […]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X (ci-après " X " ou " la société ") est une société par actions simplifiée, immatriculée au registre du commerce et des sociétés de Lyon sous le numéro …, dont le siège social est situé […] La société exploite plusieurs sites web afin de proposer à ses clients des consultations de voyance par chat ou par téléphone, dont le site web […]. La société emploie six salariés.
2. En 2019, le chiffre d’affaires net de la société s’élevait à […] euros et son résultat net était de […] euros. En 2020, son chiffre d’affaires net s’élevait à […] euros avec un résultat net déficitaire de […] euros.
3. Le 1er octobre 2020, un article de presse, paru sur le site web du média Numerama, a révélé l’existence d’une violation de données à caractère personnel concernant les données conservées sur le serveur de X. Selon cet article, la base de données de la société ne faisant pas l’objet de mesures de sécurité particulières, celle-ci était librement accessible sur Internet jusqu’au 23 juillet 2020. De nombreuses données, dont des données d’identification et des données de contact, auraient ainsi été exposées.
4. Le 21 janvier 2021, une délégation de contrôle de la Commission nationale de l’informatique et des libertés (ci-après " CNIL " ou " Commission ") a procédé à un contrôle sur pièces en adressant un questionnaire à la société, auquel cette dernière a répondu par un courrier reçu le 25 mars 2021. 
5. Un contrôle en ligne a également été effectué le 15 avril 2021 sur le site web […], édité par la société. Le procès-verbal n° 2020-267/1, dressé à l’issue du contrôle, a été notifié à l’organisme le 26 avril 2021. La société a fourni à la délégation des éléments complémentaires par courriels des 17 mai et 18 juin 2021.
6. Un contrôle sur place a été effectué le 15 juillet 2021. Le procès-verbal n° 2020-267/2, dressé à l’issue du contrôle, a été notifié à l’organisme le 21 juillet 2021. Par la suite, la société a fourni à la délégation des éléments complémentaires par courriels des 26 août, 20 septembre, 19 octobre et 3 novembre 2021.
7. La base de données de X comporte les adresses électroniques de […] clients et […] prospects, comme cela ressort des observations en réponse de la société.
8. Conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par X, résultant de ce que son établissement unique se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, la Belgique, le Luxembourg, l’Italie, l’Espagne, le Portugal, la Bulgarie, Berlin et l’Irlande se sont déclarées concernées par le traitement.
9. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 23 décembre 2021, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après " loi Informatique et Libertés ").
10. Le 7 juillet 2022, la rapporteure a fait notifier à la société X un rapport détaillant les manquements aux dispositions du RGPD et de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que la décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
11. Le 2 août 2022, X a sollicité un délai pour répondre au rapport de la rapporteure. Par courrier du 4 août 2022, le président de la formation restreinte a avisé la société de sa décision de ne pas faire droit à cette demande. 
12. La société a répondu au rapport de sanction par des observations écrites en date du 8 août 2022.
13. Par courrier du 16 août 2022, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.
14. Le 22 août 2022, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 15 septembre 2022.
15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
16. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 4 mai 2023 aux huit autorités de contrôle européennes qui se sont déclarées concernées. 
17. Au 1er juin 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
A. Sur le manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées en application de l’article 5-1-c du RGPD 
18. L’article 5, paragraphe 1, c) du RGPD dispose que les données à caractère personnel doivent être " adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ".
19. En premier lieu, la rapporteure relève que la société enregistre systématiquement l’intégralité des appels téléphoniques passés entre les téléopérateurs et les prospects, ainsi qu’entre les voyants et les clients, à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires. La rapporteure considère que cela conduit à collecter des données non limitées à ce qui est nécessaire au regard des finalités poursuivies.
20. En défense, la société indique avoir cessé de proposer à ses clients des consultations de voyance par téléphone. 
21. Afin de justifier les faits passés, elle indique que ces enregistrements lui permettaient de contrôler les propos tenus par les voyants lors des consultations, notamment pour apprécier leurs compétences. Selon elle, l’enregistrement d’un échantillon des consultations ne permettrait pas de répondre à ses besoins.
22. La formation restreinte prend note de l’arrêt des consultations de voyance par téléphone, ce qui implique l’arrêt des enregistrements des appels téléphoniques passés entre les téléopérateurs et les prospects et ceux passés entre les voyants et les clients.
23. Toutefois, la formation restreinte relève qu’au jour des contrôles, la société enregistrait systématiquement et intégralement ces appels téléphoniques à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires. 
24. La formation restreinte note que la société ne donne pas de justification, pour le passé, concernant la nécessité d’enregistrer systématiquement l’intégralité des conversations téléphoniques, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, à des fins de contrôle qualité, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires.
25. Or, un responsable de traitement ne peut pas mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés.
26. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de contrôle de la qualité du service, la formation restreinte considère que la finalité visant à contrôler la qualité du service fourni par les téléopérateurs et les voyants peut être atteinte par un moyen moins intrusif. 
27. À cet égard, elle relève que la mise en place d’un enregistrement ponctuel et aléatoire de seulement quelques conversations téléphoniques permet à la personne chargée du suivi du contrôle qualité de disposer des éléments nécessaires à l’évaluation de la qualité des services proposés par la société. 
28. Dès lors que le contrôle de la qualité du service peut être réalisé par échantillonnage, la formation restreinte considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, est excessive au regard de la finalité poursuivie.
29. La formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui procédait à l’enregistrement des conversations téléphoniques reçus par les salariés du service clients d’une société à des fins de formation que " la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. (…) Si le nombre d’enregistrements peut varier en fonction de chaque salarié et des circonstances, en particulier des besoins de formation de celui-ci, (…) la société ne démontre pas avoir mis en place, pour le passé et l’avenir, un enregistrement des conversations téléphoniques des salariés limité à ce qui est nécessaire au regard de la finalité poursuivie. Or, un responsable de traitement ne peut mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué ".