AgentPublic/cnil huggingface dataset:
L’article 13 du RGPD prévoit que, lorsque des données à caractère personnel relatives à une personne sont collectées auprès de celle-ci, le responsable du traitement lui fournit les mentions d’information au moment de la collecte. La CNIL recommande que, dès le début de l’enquête, l’enquêteur vérifie que la personne a bien reçu les mentions informatives. L’ensemble des éléments prévus par l’article 13 devraient être à nouveau délivrés à l’enquêté verbalement ou dès le début du questionnaire web, le cas échéant, y compris concernant les modalités d’exercice des droits. À titre de bonne pratique et afin de se prémunir contre tout risque de fraude, elle recommande en outre de mettre en place un dispositif permettant à l’enquêté de vérifier qu’il s’agit bien d’une enquête de l’Ined. Par exemple, un portail d’information comprenant les points de vérification que les personnes enquêtées pourraient vérifier avant de répondre à l’enquête pourrait être mis en ligne.
Elle rappelle que le responsable de traitement doit prévoir une information relative aux destinataires du traitement, qui comprendront également la communauté scientifique via les réseaux Quetelet Progedo Diffusion et le CASD.
Des paradonnées - données recueillies en parallèle d’un dispositif de collecte et qui en décrivent le processus, là où les métadonnées décrivent les données collectées - seront enregistrées. La CNIL invite l’Ined à publier sur son site web l’information selon laquelle ces paradonnées issues de la navigation dans le questionnaire, retraçant l’ensemble des actions effectuées par les enquêtés sur l’interface web ainsi que leur date et heure, seront collectées.
S’agissant de l’information des personnes tierces dont les données pourraient être collectées, l’Ined entend mobiliser la dérogation prévue à l’article 14.5.b du RGPD dès lors que, notamment, "l’obtention de leurs identités et coordonnées et la fourniture des informations exigeraient des efforts disproportionnés, en particulier parce que les données relatives aux personnes tierces sont traitées pour caractériser les répondants et non pas en vue de collecter des informations précises sur des tiers", ce dont la CNIL prend acte.
Par ailleurs, le site web de l’enquête comportant les mentions informatives requises restera accessible en ligne au moins deux ans après l’étude. La CNIL rappelle que tant que les données à caractère personnel ne sont pas détruites, même lorsqu’elles sont archivées, l’information doit demeurer accessible à toute personne souhaitant exercer ses droits.
D - Sur les droits des personnes
Les enquêtés pourront s’opposer à l’appariement de leurs réponses avec des données administratives via une adresse électronique indiquée dans les mentions informatives des lettres-avis. La CNIL invite l’Ined à prévoir un mécanisme d’opposition facile et accessible à toute personne, y compris celles ne disposant pas de matériel informatique et/ou ne maîtrisant pas les outils informatiques.
S’agissant des modalités d’exercice des droits, une fois le "fichier contact" détruit, les personnes qui souhaitent exercer leurs droits, en particulier leur droit d’accès, seront retrouvées soit avec leur identifiant, soit, pour celles ayant accepté d’être recontactées, avec leur nom, numéro de téléphone ou leur adresse électronique. À défaut, l’Ined pourra leur poser quelques questions afin de retrouver le questionnaire qui les concerne.
La CNIL relève que ces modalités d’exercice des droits reposent sur des informations qui peuvent être publiques (par exemple, le numéro de téléphone). Elle invite, au regard de la sensibilité des données traitées, à la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers. Elle recommande ainsi que les opérateurs chargés de la mise en œuvre de ces exercices de droits soient sensibilisés à la possibilité de tentatives d’abus.
Elle demande également à l’Ined d’envisager des solutions combinant des secrets transmis au participant pendant sa démarche (par exemple, lors de l’information sur ses droits) avec des questions d’identification reposant sur les données collectées.
E - Sur les accédants et destinataires des données
L’Ined précise que seules les données issues du "fichier d’étude", du "fichier de production et de recherche", ainsi que des versions enrichies de ces fichiers avec des données administratives, seront mises à la disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion ou le CASD.
La CNIL appelle l’attention de l’Ined sur le fait que la consultation de son système de stockage par une personne se situant sur le territoire d’un État tiers à l’Union européenne constitue un transfert de données hors de l’Union européenne qui doit être réalisé conformément au Chapitre V du RGPD.
F - Sur les mesures de sécurité
L’Ined a réalisé et transmis à l’appui de la demande d’avis une analyse d’impact relative à la protection des données spécifique au traitement envisagé.
Compte tenu de la sensibilité des données collectées, la CNIL recommande que l’ensemble des outils, en particulier les espaces de stockage et de travail utilisés pour mener l’étude, et mesures de sécurité soient conformes à l’état de l’art et notamment à des mesures de sécurité équivalentes aux exigences du référentiel de la CNIL "entrepôt de données dans le domaine de la santé".
À cet égard, la CNIL recommande une surveillance, automatique ou manuelle, de tout export de données hors de ces espaces, afin d’en vérifier systématiquement le caractère anonyme.
Différents pseudonymes aléatoires sont attribués aux participants dans les fichiers produits à partir de la collecte des réponses aux deux volets de l’enquête. Ceux-ci devront être distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et la génération de nouveaux pseudonymes pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace de travail devront être générés.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Afin de garantir la confidentialité des secrets et l'effectivité du chiffrement des données, la CNIL rappelle que la transmission de tout secret doit se faire via des canaux de communication séparés de ceux des données chiffrées ou de leur lien de mise à disposition.
La CNIL considère que la nature des données de l’étude exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données, des tables de correspondance que des sauvegardes.
L’Ined devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il lui appartiendra de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Les autres dispositions du projet de décision n’appellent pas d’observations de la part de la CNIL.
La Présidente
Marie-Laure DENIS
Délibération de la formation restreinte no SAN-2023-013 du 18 septembre 2023 concernant la société […]
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Mesdames Anne DEBET et Christine MAUGÜÉ, et Messieurs Alain DRU et Bertrand du MARAIS, membres ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les saisines no 20013079 et n° 20013664 ;
Vu la décision n° 2021-221C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de la conformité des traitements de données à caractère personnel mis en œuvre par la société […] ou pour son compte, aux dispositions du règlement (UE) 2016/679 susvisé et de la loi n°78-17 du 6 janvier 1978 modifiée et, le cas échéant aux dispositions des articles L. 251-1 et suivants du code de la sécurité intérieure ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 3 juin 2022 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié à la société […] le 21 février 2023 ;
Vu les observations écrites versées par la société […] le 11 avril 2023 ;
Vu la réponse de la rapporteure à ces observations, notifiée le 11 mai 2023 au conseil de la société ;
Vu les observations écrites versées par la société […] le 12 juin 2023 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 juillet 2023 :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
- […].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société "), établie à […], exerce une activité de transport de fret aérien en provenance de la Chine et à destination de l’Europe. La société a été créée le […]. Elle employait, en 2020, quarante salariés. Elle a réalisé, en 2020, un chiffre d’affaires d’environ […] d’euros, pour un résultat net d’environ […] euros, en 2021 un chiffre d’affaires de […] d’euros pour un résultat net de […] euros environ, puis en 2022, un chiffre d’affaires d’environ […] d’euros, pour un résultat net négatif de […] euros. 
2. La société faisait partie du groupe international […], qui fait lui-même partie du […], propriété de l’Etat chinois. Le […], la société […], associée unique de la société […] a cédé l’ensemble de ses parts à la société […], elle-même propriété d’une société chinoise, basée à Hong-Kong. Le […], la société a changé sa dénomination sociale pour celle de […]. Son gérant reste inchangé, en la personne de Monsieur […]. La plupart des salariés de la société sont des ressortissants chinois résidant et travaillant en France et dont les contrats de travail sont soumis à la loi française.
3. Le 4 août 2020, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de deux plaintes qui signalaient que la société avait demandé à l’ensemble de son personnel de renseigner, par l’intermédiaire d’un formulaire rédigé en langue chinoise envoyé le 30 juillet 2020, de nombreuses informations relatives à leur vie privée, notamment l’ethnie, l’affiliation à un parti politique, leur situation familiale ainsi que le nom de leurs parents, de leurs éventuels frères, sœurs et enfants. Par courriers des 13 août et 17 septembre 2020, les services de la CNIL ont sollicité des informations complémentaires sur le traitement visé dans les plaintes.
4. En application de la décision n° 2021-221C du 29 juin 2021 de la Présidente de la CNIL une mission de contrôle a eu lieu le 21 octobre 2021, au sein des locaux de la société […].
5. Cette mission a eu pour principal objet de procéder à la vérification de la conformité des traitements de données à caractère personnel mis en œuvre par la société […] ainsi que de tout traitement lié, aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD ") et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée (ci-après " la loi Informatique et Libertés ") et, le cas échéant aux dispositions des articles L.251-1 et suivants du code de la sécurité intérieure. Cette mission a donné lieu à l’établissement du procès-verbal n° 2021-221/1, et à des documents communiqués par la société les 4 novembre 2021, 18 mars et 22 avril 2022. A ces occasions, la société a produit deux traductions en français du formulaire en question.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 3 juin 2022, désigné Madame Sophie LAMBREMON en qualité de rapporteure sur le fondement de l’article 39 du décret n°2019-536 du 29 mai 2019 modifié.
7. À l’issue de son instruction, la rapporteure a, le 21 février 2023, fait notifier à la société un rapport détaillant les manquements aux articles 5-1-c), 9, 10 et 31 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et que cette décision soit rendue publique mais ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
8. Le 11 avril 2023, la société a produit ses observations en réponse au rapport de sanction.
9. La rapporteure a répondu aux observations de la société le 11 mai 2023.
10. Le 12 juin 2023, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
11. Par courrier du 22 juin 2023, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019.
12. Par courrier du 22 juin 2023, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 13 juillet 2023.
13. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte du 13 juillet 2023.
II- Motifs de la décision
A- Sur la qualité de responsable de traitement de […]
14. Le responsable de traitement est défini, aux termes de l’article 4, point 7, du RGPD, comme " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
15. Le traitement objet de la présente procédure concerne la collecte de données par le biais d’un formulaire envoyé par la société aux salariés souhaitant candidater à un poste en Chine afin d’alimenter ce qui est qualifié de " base de talents interne " par […].
16. La rapporteure considère qu’en l’espèce, s’il n’est pas contesté que le formulaire litigieux n’a pas été élaboré par […] mais par sa maison mère chinoise, la société […], ceci n’exclut pas que la société […] doit être regardée comme responsable de traitement pour les raisons suivantes. 
17. Tout d’abord, elle rappelle que, à la suite de la demande d’un salarié souhaitant travailler en Chine, la société s’est rapprochée de sa société-mère pour obtenir le formulaire afin de le transmettre aux autres salariés pour la première fois le 30 juillet 2020. La rapporteure note à cet égard que si […] n’avait pas pris l’initiative de solliciter le formulaire auprès de la société-mère dans le but de le diffuser à ses salariés, le traitement en cause n’aurait pas eu lieu.
18. La rapporteure considère ensuite que la société traite une partie des données renseignées par ses salariés par le biais du formulaire litigieux pour une autre finalité déterminée par elle et qui apparait propre à ses besoins, à savoir lui permettre de contacter les proches des salariés en cas de problème.
19. En défense, la société estime que son rôle dans la diffusion du formulaire ne suffit pas à lui conférer la qualité de responsable de traitement. Elle a indiqué lors de la séance de la formation restreinte ne pas avoir utilisé les données issues du formulaire pour son propre compte dès lors que le formulaire a été établi par la société mère dans le cadre du recrutement de salariés en Chine, et ne pas avoir utilisé les données issues du formulaire pour informer les proches des salariés en cas d’urgence. 
20. Dans ses observations, la société soutient qu’elle s’est limitée à diffuser le formulaire à une vingtaine de salariés, ce qui n’implique pas qu’elle ait eu un rôle déterminant ou une influence dans la détermination des finalités et des moyens du traitement. Elle affirme ainsi, dans ses observations en réponse, qu’" elle a agi comme une simple " boite aux lettres " pour les personnes qui souhaitent postuler auprès de la Société Mère " et qu’elle n’a donc défini ni les finalités, ni les moyens du traitement.
21. Au cours de la séance devant la formation restreinte, la société a finalement indiqué que c’est le salarié souhaitant travailler en Chine qui avait lui-même diffusé le formulaire auprès de ses collègues. 
22. En premier lieu, la formation restreinte rappelle que le responsable de traitement est la personne qui détermine les finalités du traitement mis en œuvre, c’est-à-dire le résultat attendu ou recherché, et les moyens de ce traitement, c’est-à-dire la façon de parvenir à ce résultat.
23. A titre d’éclairage, dans ses lignes directrices sur les notions de responsable du traitement et de sous-traitant, qui ont été adoptées le 7 juillet 2021, le Comité européen de protection des données (CEPD) explicite la définition du responsable de traitement en ces termes : " La détermination des finalités et des moyens revient à décider respectivement du "pourquoi" et du "comment" du traitement : pour une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé la raison pour laquelle le traitement a lieu (c’est-à-dire "à quelles fins" ou "pourquoi") et comment cet objectif sera atteint (c’est-à-dire quels moyens doivent être mis en œuvre pour atteindre l’objectif). Une personne physique ou morale qui exerce cette influence sur le traitement de données à caractère personnel participe ainsi à la détermination des finalités et des moyens du traitement en question, conformément à la définition énoncée à l’article 4, paragraphe 7, du RGPD. Le responsable du traitement doit décider à la fois des finalités et des moyens du traitement, comme indiqué plus haut. Par conséquent, le responsable du traitement ne peut pas se limiter à déterminer uniquement la finalité. Il doit également prendre des décisions concernant les moyens du traitement. À l’inverse, la partie qui agit comme sous-traitant ne peut jamais déterminer la finalité du traitement ".
24. Il ressort donc tant du RGPD que de la lecture qui en est faite par le CEPD que l’organisme qui définit les finalités pour lesquelles un traitement de données à caractère personnel est mis en œuvre ainsi que les modalités pratiques de ce traitement doit être qualifié de responsable du traitement. La formation restreinte considère que la notion de responsable de traitement doit faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer cette qualité à une entité.
25. En second lieu, la formation restreinte note qu’il ressort des éléments communiqués à la CNIL que c’est la société […] qui a demandé à la société-mère chinoise de lui transmettre le formulaire, afin de le diffuser à ses salariés. Ce n’est donc pas la société-mère qui a donné l’ordre à […] de transmettre le formulaire aux salariés, mais bien cette dernière qui a pris cette décision en tant que responsable de traitement. Dans ses observations en réponse du 11 avril 2023, la société précise à ce propos : " L’envoi de ce formulaire faisait suite à la demande d’un employé chinois qui souhaitait postuler en Chine et connaitre le processus de candidature. […] a pris contact avec la société mère en Chine à ce sujet " et qu’elle avait " envoyé un formulaire à des salariés dans l’hypothèse où certains d’entre eux auraient la volonté d’aller travailler auprès de la société mère en Chine ". Il apparait ainsi que la société, en souhaitant identifier les salariés potentiellement intéressés par un départ en Chine et non uniquement le salarié ayant fait la demande initiale, a défini le " pourquoi " du traitement. Ensuite, en se procurant le formulaire auprès de la société-mère et en le diffusant à une vingtaine de personnes, la société a défini les moyens du traitement, autrement dit le " comment ".
26. S’agissant de l’argument présenté en séance par la société selon lequel c’est le salarié souhaitant partir en Chine qui aurait transmis le formulaire à ses collègues, la formation restreinte relève qu’outre le fait que cet argument contredit les écritures de la société, il ressort du dossier que ce formulaire a été diffusé aux salariés par la société au moyen de la messagerie WeChat.
27. La formation restreinte considère donc, compte tenu de ces éléments, que la société […] doit être qualifiée de responsable du traitement lié à la collecte des données renseignées par le biais du formulaire. 
B- Sur la compétence de la CNIL
28. L’article 3-1) du RGPD dispose que " le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union ".
29. L’article 55-1 du RGPD dispose que " chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’Etat membre dont elle relève ".
30. L’article 8-2° de la loi Informatique et Libertés précise en outre que " la Commission nationale de l'informatique et des libertés (…) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France ".
31. La société considère que dans la mesure où elle n’est pas responsable du traitement lié au formulaire, la CNIL n’est pas compétente pour prononcer une mesure correctrice à son encontre.
32. La formation restreinte rappelle que la CNIL est compétente pour veiller, sur le territoire français, à ce que les traitements auxquels les dispositions du RGPD ou de la loi du 6 janvier 1978 modifiée qui s’appliquent soient mis en œuvre conformément aux dispositions de ces textes.
33. En l’espèce, la formation restreinte relève que, dès lors que la société […], qui est responsable du traitement lié au formulaire, est établie sur le territoire de l’Union Européenne, en l’occurrence en France, les critères de la compétence territoriale de la CNIL sont remplis.
34. La CNIL est dès lors compétente, sur le fondement de l’article 3-1) du RGPD, pour connaître du traitement des données à caractère personnel mis en œuvre dans le cadre du formulaire transmis à ses salariés par la société […].