AgentPublic/cnil huggingface dataset:
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 6 décembre 2021 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2021-134 du 26 novembre 2021 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
 
La Commission nationale de l’informatique et des libertés (ci-après " CNIL ") a été saisie entre mai et décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société X (ci-après " la société ").
Dans le cadre de l’assistance mutuelle prévue à l’article 61 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " RGPD "), la CNIL s’est vue communiquer par plusieurs de ses homologues européens des informations utiles relatives aux traitements mis en œuvre par la société.
 
Une délégation de la CNIL a procédé à une mission de contrôle sur pièces par l’envoi d’un questionnaire le 27 octobre 2020, qui portait sur les différents traitements mis en œuvre par la société, les organismes utilisateurs des services de la société (actuels ou anciens) ayant leur principal établissement en France ou au sein de l’Union européenne ainsi que sur plusieurs réclamations.
 
Le 27 mai 2021, la CNIL a également été saisie d’une plainte de l’organisme Privacy International portant sur le logiciel de reconnaissance faciale de la société et son utilisation par les forces de l’ordre.
 
Il ressort de ces éléments que la société a développé et commercialisé un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration de photographies ou vidéos, contenant des visages, publiquement accessibles sur des millions de sites web, y compris sur des réseaux sociaux.
Il a été constaté que la société met en œuvre ce traitement de manière illicite puisqu’elle ne dispose d’aucune base juridique pour ce faire, en méconnaissance de l’article 6 du RGPD. En outre, il est relevé que la société a méconnu son obligation de respecter et de faciliter l’exercice des droits d’accès et d’effacement des personnes concernées, en méconnaissance des articles 12, 15 et 17 du RGPD.
 
En conséquence, par décision du 26 novembre 2021, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de deux (2) mois les manquements constatés aux obligations prévues aux articles 6, 12, 15 et 17 du RGPD. Elle a enjoint à la société de ne plus procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise.
 
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
 
Le bureau a été réuni à cette fin le 6 décembre 2021.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison, tout d’abord, des caractéristiques du traitement en cause. En effet, ce traitement concerne plus de dix milliards d’images ainsi qu’un nombre considérable de personnes concernées. Ce sont  plusieurs millions de personnes en France dont le visage apparaît sur une photographie ou une vidéo publiquement accessible sur Internet, et notamment sur un compte de réseau social, qui sont susceptibles d’être concernées par ce traitement. La base de données étant en outre actualisée très régulièrement pour intégrer les informations nouvellement disponibles, le nombre de ces personnes est en constante évolution.
 
Ce traitement massif présente par ailleurs un caractère particulièrement intrusif en ce qu’il recueille sur une personne donnée un nombre potentiellement très important de données photographiques, auxquelles sont associées d’autres données à caractère personnel susceptibles de révéler divers aspects de leur vie privée tels que leurs goûts et préférences (par exemple, en termes de loisirs) ou leurs convictions politiques ou religieuses, exprimés sur des réseaux sociaux, dans des articles de blogs ou encore des articles de presse.
À partir de ces données, est en outre constitué un gabarit biométrique, c’est-à-dire une donnée biométrique considérée comme sensible, qui vise à identifier la personne de façon unique à partir d’une photographie de l’individu. Il s’agit donc d’un dispositif de reconnaissance faciale et la société a pour objectif qu’il puisse être utilisé, notamment, par les forces de l’ordre pour identifier des auteurs et des victimes d’infractions à partir d’une photographie.
 
Dans ce contexte, le bureau rappelle, ensuite, la très haute gravité du manquement à l’article 6 du RGPD relevé par la CNIL. En effet, la société met en œuvre ce traitement en toute illicéité puisqu’elle ne dispose d’aucun fondement juridique à cette fin : ni intérêt légitime du responsable de traitement, ni consentement des intéressés.
 
Le bureau souligne enfin que la publicité de la décision de mise en demeure est également nécessaire pour informer les personnes concernées de l’existence de ce dispositif, que la grande majorité d’entre elles ignore qu’il puisse les concerner.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2021-134 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si la société se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication.
 
La Président
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie pour avis sur un projet de décret en Conseil d'Etat modifiant les articles R. 131-3, R. 131-4 et R. 131-10-2 du code de l'éducation en application de l'article L. 131- 6 du code de l'éducation et du a du 4° du I de l'article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de l'éducation, notamment son article L. 131-6 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Sylvie ROBERT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement
Etant rappelés les éléments de contexte suivants :
Dans un objectif de renforcement de l’efficacité du contrôle de l’obligation d’instruction par les maires, le ministère de l’éducation nationale, de la jeunesse et des sports souhaite ajouter de nouvelles données, d’une part, à la liste scolaire que les maires doivent établir (articles R. 131-3 et suivants du code de l’éducation) et, d’autre part, au traitement automatisé relatif au recensement des enfants soumis à l’obligation scolaire et par l’amélioration du suivi de l’assiduité (R. 131-10-1 et suivants du même code) qu’ils ont la possibilité de mettre en œuvre.
La liste scolaire constitue la liste de référence pour le contrôle de l’obligation d’instruction en déterminant la situation de chaque enfant entre trois et seize ans présents sur le territoire de la commune (instruction en famille, inscription dans un établissement scolaire, etc.). Elle est établie à chaque rentrée scolaire et mise à jour tous les mois à partir des listes transmises par les écoles et les établissements publics et privés et les déclarations d’instruction en famille que le maire recueille.
Les modifications envisagées par le projet soumis à la Commission visent à mettre en cohérence les données traitées par les maires dans ce cadre avec celles nécessaires à l’attribution de l’identifiant national élève (INE) par le ministère. En effet, le ministère souhaite s’appuyer sur les dispositifs existants pour étendre l’attribution de l’INE aux élèves des premier et second degrés hors contrats et aux enfants instruits en famille, qui apparaissent sur la liste scolaire établie par le maire.
Plus précisément, le projet de décret vise à ajouter aux traitements mis en œuvre par les maires, notamment, l’adresse du domicile ainsi que le niveau de classe fréquenté ou l’intitulé de la formation suivie par l’enfant, pour l’année scolaire en cours et pour la précédente. Les modalités de collecte et de déclaration au directeur académique des services de l’éducation nationale des données de cette liste seront fixées par un arrêté dont la Commission n’est pas saisie.
La Commission rappelle que si d’autres traitements de données à caractère personnel étaient affectés par le traitement des nouvelles données collectées auprès des maires, le ministère devrait mettre à jour les actes encadrant les traitements qui alimentent ou sont destinataires des données et s’assurer de leur conformité à l’égard de la réglementation en vigueur avant la mise en œuvre des traitements modifiés. Les systèmes d’information ONDE et SIECLE , qui concernent respectivement les élèves scolarisés dans les établissements d’enseignement du premier et du second degrés, seraient principalement concernés.
La Commission souligne que tout projet de décret portant sur les modalités de mise en œuvre du troisième alinéa de l’article L.131-6 du code de l’éducation doit faire l’objet d’un décret pris en Conseil d’Etat, après avis de la CNIL, y compris lorsque ces projets de décrets interviennent pour modifier ces modalités. Cette consultation apparaît dès lors obligatoire pour les modifications du traitement de données à caractère personnel prévu par les articles R. 131-10-3 et suivants du code de l’éducation.
La Commission rappelle également que conformément au a) du 4° du I de l’article 8 de la loi n°78-17 du 6 janvier 1978 modifiée, elle doit être consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données. Une telle consultation apparaît nécessaire pour les modifications du traitement de données à caractère personnel prévu par l’article R. 131-3 du code de l’éducation.
Emet l’avis suivant sur le projet de décret :
Sur l’économie générale des traitements :
Le projet de décret soumis à la Commission concerne deux traitements de données à caractère personnel.
Le premier concerne le recensement par le maire des enfants soumis à l’obligation d’instruction (articles L. 131-6 et R. 131-3 du code de l’éducation) et relève d’une obligation légale au sens du c) du 1. de l’article 6 du règlement (UE) 2016/679 (RGPD).
Le second offre la possibilité pour le maire de mettre en œuvre un traitement automatisé afin de procéder au recensement des enfants soumis à l'obligation scolaire résidant dans la commune et de recueillir les informations concernant l'inscription et l'assiduité scolaires de ces enfants afin de lui permettre de prendre les mesures à caractère social ou éducatif dans le cadre des compétences qui lui sont conférées (article R. 131-10-1 et suivants du même code). La Commission estime que ce traitement n’est pas obligatoire mais constitue une faculté pour le maire et relève dès lors de l’exécution d’une mission d’intérêt public au sens du e) du 1. de l’article 6 du RGPD.
Enfin, la Commission relève que l’article R. 131-10-6 portant sur les droits des personnes concernées renvoient à des dispositions obsolètes depuis l’entrée en application du RGPD et des modifications de la loi du 6 janvier 1978 en conséquence. La Commission estime qu’il est nécessaire que ces dispositions soient mises à jour.
Sur les données collectées : 
Le projet de décret ajoute aux données traitées par les maires les modalités d’instruction et, le cas échéant, le niveau de classe fréquenté ou l’intitulé de la formation suivie dans l’établissement, pour l’année scolaire en cours et pour la précédente ainsi que le lien de parenté des personnes responsables de l’enfant avec celui-ci.
Au regard des missions de contrôle de l'obligation, de la fréquentation et de l'assiduité scolaires par les maires, la collecte des données sur la formation suivie au cours de l’année scolaire et la précédente apparaît proportionnée, pertinente et limitée à ce qui est nécessaire.
Concernant le lien de parenté, le ministère a indiqué qu’il appartient au maire de s’assurer, lors de l’inscription sur la liste scolaire, que les personnes qui y procèdent ont bien la charge de l’enfant et que connaître leur qualité lui permet de s’adapter à ses interlocuteurs en fonction de leur situation et de celle de l’enfant. La Commission prend acte de l’engagement du ministère de remplacer la donnée relative au lien de parenté des personnes responsables de l’enfant avec celui-ci, par la collecte de la donnée lien avec l’enfant afin de couvrir l’ensemble des possibilités de liens entre les personnes responsables de l’enfant et celui-ci (parents, tuteur, ou personne qui exerce de manière continue une autorité de fait). Dès lors, la collecte de cette donnée apparaît justifiée.
Sur l’exercice des droits des personnes concernées :
La Commission relève que le droit d’opposition est écarté par l’article R. 131-10-6 du code de l’éducation. Dans le cadre de l’actualisation nécessaire de cet article au regard de la nouvelle réglementation, elle demande que cet article mentionne également le droit à la limitation conformément à l’article 18 du RGPD.
La Commission observe que de nombreuses personnes sont concernées par le dispositif. En conséquence, elle appelle l’attention des différents acteurs qui alimentent les traitements en lien avec l’obligation d’instruction et le contrôle de l’assiduité (notamment les organismes chargés du versement des prestations familiales et les directeurs des écoles ou les chefs des établissements scolaires, publics ou privés) sur la nécessité d’informer les personnes auprès desquelles sont collectées des données de la possibilité ou l’obligation, le cas échéant, de communiquer celles-ci au maire pour le contrôle de l’obligation d’instruction et de l’assiduité scolaire. L’information de l’ensemble des personnes concernées devra être fournie conformément aux articles 12, 13 et 14 du RGPD, d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples .
Enfin, la Commission rappelle que les maires, en leur qualité de responsable de traitement, devront notamment préciser les modalités concrètes d’exercice des droits des personnes concernées.
Les autres aspects du projet n’appellent pas, de la part de la Commission, d’observation supplémentaire
Estime, quant aux conditions de mise en œuvre : 
La Commission souligne que le maire est le seul responsable des traitements mentionnés.
Dès lors, il lui revient de définir précisément les conditions de mise en œuvre de ces traitements et de s’assurer que ceux-ci sont mis en œuvre conformément à la réglementation en matière de protection des données, en particulier s’agissant de l’exercice des droits des personnes, de l’information délivrée auprès de ces personnes et des mesures de sécurité à mettre en place.
Sur la nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD)
 
La réflexion sur la nécessité de réaliser une AIPD relève du responsable de traitement, et donc du maire. La Commission considère que les critères définis par les lignes directrices concernant l’AIPD et la manière de déterminer si le traitement est susceptible d’engendrer un risque élevé pouvant rendre obligatoire la réalisation d’une AIPD pourraient être réunis, notamment s’agissant, dans certains cas, d’un traitement à large échelle au regard de la proportion que représentent les personnes concernées (enfants et adultes responsables de ceux-ci) sur l’ensemble de la population d’une commune et de la vulnérabilité des enfants du fait de leur âge.
 
La consultation préalable de la CNIL pourrait également être obligatoire selon le résultat de l’évaluation des risques réalisée par le responsable de traitement, conformément à l’article 36 du RGPD.
Sur les mesures de sécurité du traitement :
La Commission rappelle qu’il revient au responsable de traitement de garantir la sécurité des données à caractère personnel en répondant aux exigences prévues par les articles 5.1-f et 32 du RGPD, et que le respect de ces obligations impose une réévaluation régulière des risques pour les personnes concernées ainsi qu’une mise à jour régulière des mesures de sécurité pour chacun des traitements de données à caractère personnel affectés par le dispositif projeté.
 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la direction interministérielle du numérique d’une demande d’avis concernant un projet de décret relatif à relatif à l’expérimentation du téléservice dénommé Mon FranceConnect ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, le 20 août 2021, sur le fondement de l’article 8-I-4° a) de la loi du 6 janvier 1978 modifiée, d’un projet de décret relatif à l’expérimentation du téléservice dénommé Mon FranceConnect , créé par la direction interministérielle du numérique (ci-après DINUM).
Elle prend acte de ce que le téléservice Mon FranceConnect , dont l’accès s’effectuera au moyen du téléservice FranceConnect , est un téléservice facultatif pour les usagers et qu’il est mis en œuvre à titre expérimental, pour une durée de douze mois et à destination de 25 000 usagers expérimentateurs.
Ce téléservice permettra de mettre à disposition de l’usager, via un accès consolidé, un ensemble d’informations, dont des données à caractère personnel le concernant et détenues par les administrations, afin que l’usager puisse les consulter, les partager et les réutiliser à l’initiative et sous le contrôle de l’usager.
A titre liminaire, la Commission souligne que la création de ce téléservice s’inscrit au sein des politiques de transparence des données détenues par les administrations vis-à-vis des usagers et de simplification administrative, le tout dans la lignée du programme Dites-le nous une fois (DLNUF) sur lequel la Commission s’est prononcée à de nombreuses reprises.
Elle a de manière constante estimé que les échanges de données entre administrations, qui font l’objet d’un encadrement par le code des relations entre le public et l’administration (CRPA), participent à la simplification des formalités administratives des usagers lorsqu’ils ont pour finalité de dispenser les usagers, personnes physiques ou morales, de fournir les mêmes justificatifs plusieurs fois.
De manière générale, la Commission rappelle que, si la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes, la mise en œuvre d’échanges de données à caractère personnel dans ce cadre doit être limitée aux données strictement nécessaires et garantir le respect des droits des personnes ainsi que la sécurité et la confidentialité de leurs données à caractère personnel. A cet égard, la transparence sur les données échangeables entre administrations constitue une garantie souhaitable dans le cadre de la mise en place du DLNUF.
Enfin, la Commission rappelle que le caractère expérimental du dispositif projeté ne préjuge en rien de la pérennisation d’une telle démarche. À cet égard, la Commission estime que cette expérimentation devra faire l’objet d’une évaluation rigoureuse avant d’envisager de maintenir ou non un tel dispositif.
Si elle observe que l’article 7 du projet de décret prévoit expressément qu’un bilan d’expérimentation sera dressé au plus tard six mois après la fin de l’expérimentation, elle demande que celui-ci lui soit adressé à l’issue de ce délai. La Commission estime que ce bilan devra mentionner a minima :
des éléments chiffrés sur le nombre de consultations, de partages et de réutilisations par les usagers de leurs données échangées par les administrations ;
des éléments chiffrés sur l’impact relatif aux délais administratifs ;
une description des conditions de mise en œuvre technique et opérationnelle du dispositif expérimenté ;
des éléments de conclusion généraux relatifs au fonctionnement du dispositif expérimenté et aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques.
Sur la finalité du traitement
L’article 4 du projet de décret prévoit que le traitement mis en œuvre dans le cadre du téléservice Mon FranceConnect a pour finalité de mettre à disposition de l’usager un espace en ligne placé sous le contrôle de l’usager, ouvert et clos à sa demande .
La Commission relève que cet espace en ligne permettrait à l’usager :
d’obtenir un accès aux informations et aux données susceptibles de faire l’objet d’un échange entre administrations dès lors que cet échange s’opère par voie d’interfaces standardisées de programmation (API) ;
d’obtenir un accès à des informations utiles dans le cadre de ses échanges avec les autorités administratives ;
de bénéficier, sur la base de ses données, de conseils utiles à l’exercice de ses droits et devoirs ;
de générer, à partir de ses données échangées entre les administrations, des justificatifs susceptibles de lui être demandés lors de l’accomplissement de ses démarches.