AgentPublic/cnil huggingface dataset:
L'existence de journaux recopiant certaines des données contenues dans le fichier peut conduire, lorsque ces données sont sur le point d'être supprimées du fichier, à les conserver plus longtemps que leur durée de conservation initiale. Si ce phénomène est souvent inévitable et acceptable eu égard au rôle que jouent ces dispositifs de journalisation dans la sécurité du traitement, la Commission recommande de limiter au maximum cette extension de la durée de conservation. La conservation des données de traçabilité ne devrait pas conduire les responsables de traitement à conserver de manière excessive des données à caractère personnel au-delà de celles du traitement principal. Elle recommande également de minimiser l'inclusion de données à caractère personnel dans les données de journalisation. En tout état de cause, le responsable de traitement doit définir des modalités permettant de garantir la confidentialité, la disponibilité et l'intégrité des données de journalisation. En particulier, la Commission recommande d'horodater et de signer les journaux dès leur création. De même, les modalités d'utilisation des traces collectées doivent en principe faire l'objet de règles et de procédures formalisées et documentées.
Les utilisateurs habilités à accéder au traitement doivent être informés de la mise en place du dispositif de journalisation, de la nature des données collectées et de la durée de conservation de ces dernières. Cela peut par exemple être réalisé via des mentions d'information présentées au moment de l'authentification lors de l'accès au traitement. Dans la mesure où les journaux sont accessoires à un traitement principal et dans un souci de clarté pour les responsables de traitement, la Commission recommande que les droits des personnes, tels que décrits au chapitre III du RGPD ou bien au chapitre III du titre III de la loi informatique et libertés relativement à la journalisation, s'exercent auprès du responsable du traitement principal.
La Commission recommande que, lorsque le traitement de données à caractère personnel devant faire l'objet d'une mesure de journalisation est mis en œuvre, en totalité ou en partie, par un sous-traitant au sens du RGPD et de la loi informatique et libertés , le contrat de sous-traitance prévoie une obligation de journalisation conforme à la présente recommandation.
Concernant l'inscription au registre de traitements tel que prévu par l'article 30 du RGPD ou par l'article 100 de la loi informatique et libertés , la Commission considère que celle-ci peut être réalisée de manière alternative au sein de l'entrée du registre relative au traitement auquel la journalisation est adossée, ou bien dans une entrée spécifique du registre dans le cas d'une journalisation transversale et commune à différentes opérations de traitement.
CAS DE CONTROLES INTERNES
Pour certains traitements, en raison de l'importance du risque pour les personnes en cas de détournement des finalités du traitement et de la fréquence d'occurrence de telles pratiques, la Commission estime qu'une journalisation telle que décrite au paragraphe 6 pour une durée supérieure à un an peut également contribuer au contrôle interne. La capacité dissuasive d'un tel processus participe alors à la sécurité du traitement, en limitant les risques d'atteinte à la sécurité du traitement principal. Une durée supérieure à un an peut donc participer à constituer une garantie appropriée de la protection de la vie privée des personnes concernées au regard des risques spécifiques liés à ce type de traitement.
Pour justifier de son usage à cette fin, il est recommandé que le responsable de traitement :
démontre le risque, pour les personnes concernées par le traitement principal, lié à un détournement de la finalité de l'utilisation des données les concernant. Ce point peut être notamment justifié par le fait que le traitement projeté ou mis en œuvre traite des données sensibles ou d'infraction, à grande échelle ou conduit à une surveillance systématique des personnes concernées ;
dispose de procédures documentées en matière d'analyse et d'investigation internes, de manière régulière et en cas de signalement ou de suspicion de détournement de finalité.
La Commission rappelle que la mise en œuvre d'une telle politique de traçabilité ne doit pas en principe conduire le responsable de traitement à collecter des données présentant des risques excessifs d'atteinte à la vie privée pour les personnes accédant ou concernées par les journaux de connexion, notamment des données sensibles (telles que définies au paragraphe 1 de l'article 6 de la loi informatique et libertés et au paragraphe 1 de l'article 9 du RGPD) ou hautement personnelles, lorsque ces données ne sont pas déjà présentes dans le traitement.
Elle rappelle également que la durée de conservation des journaux devra dès lors être déterminée de manière proportionnée à la finalité poursuivie, notamment en fonction des temporalités décrites dans les processus du responsable de traitement. Le responsable de traitement devra également tenir compte de la durée de conservation des données du traitement pour déterminer une durée de conservation des traces proportionnée. Dans les cas les plus courants, une durée maximale de trois ans pourra ainsi être justifiée. En tout état de cause, la Commission rappelle qu'il n'est pas possible de motiver la durée de conservation des données de traçabilité par la seule durée de prescription des infractions pénales délictuelles liées au mésusage des données du traitement par ceux qui y accèdent.
AUTRES CAS
Certains traitements, quel que soit le régime juridique qui leur est applicable, présentent des spécificités qui peuvent justifier un allongement supplémentaire de la durée de conservation des données de journalisation. Elles peuvent, par exemple, correspondre :
à une obligation légale de conserver des traces pour une durée précise prévue par les textes ;
à une finalité spécifique atteinte à l'aide des données de journalisation, comme par exemple dans le cadre d'un traitement permettant la gestion des contentieux pour prouver que les parties ont bien accédé aux pièces et aux actes de procédure ou encore pour permettre une certaine transparence vis-à-vis des personnes concernées ;
au besoin de pouvoir réaliser des analyses post-attaque ou post-intrusion, ou suite à une suspicion d'attaque liée à l'évolution de la connaissance de la menace dans un système de traitement automatisé de données.
Il est recommandé que le responsable de traitement justifie, de manière précise et documentée, des raisons le conduisant à envisager une durée plus longue, par exemple en excipant d'une obligation légale particulière ou de particularités liées à la finalité qui est poursuivie. La nécessité de conserver les données pendant une période plus longue peut également être justifiée par le fait que cette mesure constitue la seule manière de traiter des risques élevés pour les personnes dans le cadre d'une analyse d'impact relative à la protection des données (AIPD) ou d'une étude équivalente. Cette analyse devrait être menée au cas par cas en appliquant les principes du RGPD, et de la loi informatique et libertés le cas échéant, pour déterminer les garanties nécessaires en termes de conditions de sécurité, d'accès et de finalités du stockage de ces données.
A l'inverse, lorsque la durée de conservation des données à caractère personnel du traitement principal est inférieure à six mois, il est préconisé d'aménager les pratiques pour éviter une conservation des données du traitement dans les journaux au-delà de la durée prévue, tout en préservant l'intégrité des journaux. En pratique, pour ce type de cas, la Commission recommande de ne pas conserver dans les journaux des données à caractère personnel issues du traitement principal. Le journal peut ne conserver que des identifiants pseudonymes, ou des identifiants pour lesquels la réidentification est particulièrement difficile. En cas d'impossibilité, il est aussi possible de mettre en place des procédures et outils de purge automatique des journaux visant à supprimer au sein de ceux-ci les données issues du traitement principal dont la durée de conservation est échue.
Enfin, il est rappelé que, en application des lois en vigueur, les données des journaux de connexion peuvent faire l'objet d'une communication à certains tiers autorisés , notamment dans le cadre d'enquêtes de police ou de procédures pénales à la suite d'une violation de données.
La présente recommandation concerne les mesures de journalisation applicables à des traitements génériques ; des mesures additionnelles de protection peuvent être nécessaires pour certains traitements. La conduite d'une AIPD est recommandée pour déterminer les mesures complémentaires adéquates.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la saisine no du 13 mai 2020 ;
Vu la décision n° 2020-101C du 23 juin 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par X ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 12 février 2021 ;
Vu le rapport de Madame Albane GAILLOT, commissaire rapporteure, notifié à X le 12 mai 2021 ;
Vu les observations écrites versées par X le 11 juin 2021 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 1er juillet 2021 :
- Madame Albane GAILLOT, commissaire, entendue en son rapport ;
En qualité de représentants de X :
- […] ;
- […] ;
- […] ;
 X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. X dont le siège social est situé […], est un établissement public à caractère industriel et commercial. X est l’entité mère du groupe X, qui employait en 2019 environ 65 000 salariés. En 2020, son chiffre d’affaires s’élevait à […] euros et son résultat net à […] euros.
2. Les opérations en lien avec le réseau de bus de X sont gérées par le département BUS, au sein de la direction des opérations de transport et de maintenance de l X. Le département BUS compte environ 16 000 machinistes-receveurs (qui sont les conducteurs de bus), répartis en seize unités opérationnelles, qui couvrent chacune plusieurs lignes de bus. La direction gestion et innovation sociales (GIS) est en charge des ressources humaines du groupe.
3. Le 13 mai 2020, la Commission nationale de l’informatique et des libertés (ci-après la " CNIL " ou la " Commission ") a été saisie par l’organisation syndicale CGT-X d’une plainte (saisine n°) portant sur un fichier d’évaluation des agents de X, constitué dans le cadre de la procédure d’avancement de carrière des agents dans le centre de bus X. L’organisation syndicale faisait valoir que le fichier en cause contenait un certain nombre de catégories de données à caractère personnel qui lui confèreraient un caractère illicite, voire discriminatoire. Cette plainte a été complétée par un courrier en date du 5 juin 2020, portant sur un fichier similaire concernant les agents du centre de bus X.
4. Le 18 mai 2020, X a notifié à la Commission une violation de données à caractère personnel. Cette notification a été complétée par une notification complémentaire en date du 4 juin 2020, qui développait notamment la description de la violation et des circonstances de sa découverte. Par ces notifications, X faisait état d’une violation qui aurait consisté en l’utilisation d’un fichier contraire aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD " ou le " Règlement ") dans le cadre des commissions de classement des agents du département BUS (commissions paritaires composées de représentants des organisations syndicales et de la direction, visant à établir quels agents bénéficient d’un avancement), entraînant la perte de confidentialité de données à caractère personnel. Cette violation aurait duré du 9 avril au 11 mai 2020. X a en outre qualifié les fichiers en cause de contraires à la politique et aux règles de fonctionnement de X. Les notifications ont été complétées par des informations fournies par X par courriels à la CNIL en date des 11 juin et 5 août 2020. Ces informations portaient sur le nombre de centres de bus concernés par la violation et, par conséquent, sur le nombre de personnes concernées.
5. En application de la décision n° 2020-101C du 23 juin 2020 de la présidente de la CNIL, il a été procédé à une mission de contrôle sur pièces auprès de X, afin de vérifier le respect par cette dernière de l’ensemble des dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi du 6 janvier 1978 modifiée "). Il s’agissait plus particulièrement de donner suite à la saisine n° relative à la procédure d’avancement et à la mise en œuvre de fichiers préparatoires aux commissions de classement tenues dans les centres de bus. Cette mission s’est effectuée par l’envoi d’un questionnaire, adressé par lettre recommandée du 26 juin 2020, auquel X a répondu par courrier du 9 juillet 2020. 
6. En application de la même décision, une délégation de la Commission a procédé le 21 juillet 2020 à une mission de contrôle sur place dans trois centres de bus : le centre de bus X, celui d’X et celui de X. Ces trois missions ont porté sur l’organisation et la préparation de la procédure d’avancement des conducteurs de bus et sur la répartition des compétences en lien avec la gestion des ressources humaines entre le siège de X et les centres de bus. Par courriel en date du 31 juillet 2020, X a fourni les éléments complémentaires sollicités par la délégation lors des contrôles sur place.
7. En réponse aux demandes complémentaires de la délégation de contrôle transmises par courriels des 11 août et 23 septembre 2020, X a fourni des éléments complémentaires par courriels des 31 août, 6 octobre et 2 novembre 2020. Ces éléments portaient notamment sur les différents traitements de données à caractère personnel faisant état des journées de grève par agent, sur la politique de durées de conservation des données à caractère personnel traitées par X ainsi que sur l’application X, qui est un outil de visualisation et d’extraction des données à partir de cinq applications informatiques pour le traitement et la gestion des ressources humaines du département BUS (ayant notamment pour finalité " l’exploration de données opérationnelles " et portant sur des données d’exploitation, la qualité de service et les données relatives aux ressources humaines et économiques).
8. Au cours de ces contrôles, X a informé la délégation de la CNIL que des commissions de classement sont tenues annuellement, au niveau de chaque unité opérationnelle. Dans la perspective de ces commissions, la direction des unités opérationnelles formule des propositions concernant les agents qui devraient, selon elle, bénéficier d’un avancement. Ces propositions sont débattues lors desdites commissions. À l’issue de ces commissions, une liste des agents bénéficiant de l’avancement est éditée par la direction du département.
9. S’agissant de l’organisation et de la préparation des commissions de classement, la délégation a été informée que la direction gestion et innovation sociales élabore une liste d’agents dits " proposables " (agents éligibles à l’avancement, en fonction de la date d’ancienneté dans leur grade) et transmet cette liste aux centres de bus. Est ensuite organisée dans chaque unité opérationnelle, en amont des commissions, une réunion préparatoire qui permet aux managers de réaliser un arbitrage et pendant laquelle est élaborée une liste des agents proposés à l’avancement. La direction du centre de bus, les responsables des ressources humaines et les responsables d’équipe de lignes (managers, en charge d’une équipe de conducteurs de bus) participent à cette réunion d’arbitrage. En vue de cette réunion, un fichier d’aide à la décision est créé par les personnels affectés aux services des ressources humaines des unités opérationnelles, à la demande des directions des centres de bus. X a indiqué qu’il s’agissait de fichiers sous format Excel recensant des données objectives propres au métier exercé, telles que le nombre de jours de conduite par exemple. Ces données sont en principe celles listées dans la fiche correspondante du registre tenu en application des dispositions de l’article 30 du RGPD. Les propositions d’avancement établies lors de la réunion d’arbitrage sont transmises aux membres de la commission de classement en amont de la tenue de la commission mais pas les fichiers
préparatoires.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 12 février 2021, désigné Madame Albane GAILLOT en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
11. À l’issue de son instruction, la rapporteure a fait notifier à X, le 12 mai 2021, un rapport détaillant les manquements aux dispositions du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de X une amende administrative et que cette décision soit rendue publique mais ne permette plus d’identifier nommément l’établissement public à l’expiration d’un délai de deux ans à compter de sa publication.
12. Était également jointe au rapport une convocation à la séance de la formation restreinte du 1er juillet 2021 indiquant à X qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.
13. X a répondu au rapport de sanction par des observations écrites en date du 11 juin 2021.
14. Le 22 juin 2021, X a formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos. Par courrier du 24 juin 2021, le président de la formation restreinte a rejeté cette demande.
15. X et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
 
III. Motifs de la décision
A. Sur la qualité de responsable de traitement de X et l’imputabilité des traitements en cause
16. Le responsable de traitement est défini, aux termes de l’article 4, point 7 du RGPD, comme " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
17. La rapporteure estime que X est responsable des traitements en cause, au sens de l’article 4.7 du RGPD, notamment dans la mesure où elle détermine les finalités et les moyens des traitements relatifs aux commissions de classement. La rapporteure relève également que X a procédé aux notifications de violation de données en tant que responsable de traitement. Enfin, la rapporteure estime que les manquements en cause lui sont imputables en ce qu’ils ne relèvent pas d’un incident isolé mais d’une pratique constatée dans au moins six unités opérationnelles et en ce que X n’a pas mis en œuvre de moyens suffisants pour prévenir ces manquements.
18. En défense, X ne conteste pas sa qualité de responsable de traitement. Elle précise cependant que si elle détermine les finalités des traitements liés aux commissions de classement, chaque département en détermine les modalités d’organisation. X souligne également qu’il ne s’agit pas d’une pratique généralisée. En outre, elle se prévaut d’avoir mis en œuvre des moyens suffisants pour prévenir la survenance de faits tels que ceux qui font l’objet de la présente procédure, et met en avant plusieurs actions réalisées, telles que la formation des agents, la désignation de " référents/correspondants RGPD ", la documentation mise à disposition.
19. En premier lieu, s’agissant de la responsabilité du traitement, la formation restreinte estime que X est l’entité qui détermine les finalités et les moyens des traitements relatifs à la préparation des commissions de classement et, partant, est responsable des traitements en cause. En effet, la formation restreinte relève que les services centraux de X déterminent les règles générales relatives à la tenue des commissions de classement et à l’avancement et, ainsi, les finalités des traitements relatifs à la préparation des commissions de classement, qui ne sont pas propres aux différents départements qui les réalisent mais sont communes à X. Il peut être relevé à cet égard que ces traitements découlent en partie des accords collectifs négociés entre les organisations syndicales et X. Celle-ci met également à la disposition de ses différents départements les moyens qui leur permettent de réaliser les traitements relatifs aux commissions de classement, tels que l’application X. La formation restreinte souligne également que X a procédé à la notification de la violation de données en son propre nom, sans attribuer la responsabilité des traitements mis en cause dans cette notification à une autre entité et qu’elle a indiqué dans cette notification avoir agi pour mettre fin à la violation. En outre, elle note que le délégué à la protection des données de X, attaché aux services de la direction générale de X, a répondu aux demandes des services de la CNIL, en tant que
représentant de l’établissement public et non des différents départements en particulier.
20. En second lieu, la formation restreinte considère que les manquements, dont l’existence est examinée dans le cadre de la présente procédure, sont imputables à X. À cet égard, elle observe, certes, que X fait valoir que les agissements relevés ne sont pas conformes à ses règles de fonctionnement. Cependant, tout d’abord, la formation restreinte note que les fichiers en cause ne relèvent pas d’un incident isolé dans un centre de bus. Au contraire, la délégation de contrôle a pu constater que cette pratique était établie non seulement dans le centre de bus des X, visé par une plainte, mais également dans les centres de bus d’X et de X, qui n’avaient pas fait l’objet d’un signalement avant leur contrôle par la délégation.
21. Ensuite, la formation restreinte considère qu’il appartient au responsable de traitement de s’assurer de la mise en œuvre de la règlementation relative à la protection des données au sein de ses services, notamment par la mise en place de procédures adéquates et la formation du personnel. En l’espèce, il est reproché à X de ne pas avoir mis en œuvre de moyens suffisants pour prévenir de telles atteintes à la protection des données à caractère personnel de ses agents dans le cadre des traitements relatifs aux commissions de classement.
B. Sur le manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées en application des articles 5.1.c et 5.2 du RGPD
22. L’article 5, paragraphe 1, c) du RGPD prévoit que les données à caractère personnel doivent être " adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ".
23. L’article 5, paragraphe 2, du RGPD dispose : " Le responsable de traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité) ".