AgentPublic/cnil huggingface dataset:
66. La formation restreinte considère tout d’abord que les mesures techniques et organisationnelles mises en œuvre n’étaient pas suffisantes au regard du risque de violation de données en l’espèce puisqu’aucun processus de levée d’alerte n’a été mis en œuvre pour contrôler la réalisation effective des séquences de tests incluant l’effacement des données. Cette défaillance a rendu possible l’accès, par des tiers non autorisés, en l’occurrence les nouveaux détenteurs des 4 137 boîtiers […] mal reconfigurés, aux données d’anciens abonnés qui auraient été stockées sur les disques durs de ces boîtiers. Ces données pouvaient être des photos, des vidéos personnelles ou l’enregistrement des programmes de télévision par l’utilisateur. La formation restreinte rappelle également que ce n’est pas la violation de données qui est en cause, mais l’insuffisance de mesures de sécurité qui a rendu possible la survenance d’une telle violation.
67. Ensuite, sur la probabilité limitée de réalisation du risque du fait de la réception d’un seul signalement par la société, la formation restreinte note que ce signalement est révélateur de l’insuffisance de mesures techniques et organisationnelles mises en œuvre, ce dernier ayant conduit à la découverte de l’incident.
68. En outre, sur la nature des données stockées dans les boîtiers […], la formation restreinte prend acte de ce que l’usage courant et principal des […] est l’enregistrement par l’utilisateur des programmes de télévision, mais considère que cet usage courant ne permet pas d’écarter la possibilité que certains des boîtiers […] mal reconditionnés contiennent des photos ou des vidéos personnelles, qui ont un caractère hautement personnel.
69. Enfin, la formation restreinte considère que le fait qu’une […] de remplacement ait été adressée aux 322 abonnés n’ayant pas restitué leurs anciens boîtiers ne permet pas d’écarter le risque que des ces derniers aient eu accès aux données d’anciens abonnés. En effet, à la date du 31 mars 2022 – soit plus de trois ans après le signalement de l’incident - la société indiquait que ce risque n’était toujours pas écarté puisque 322 [boîtiers] sont toujours utilisés par les abonnés sans que nous [la société] sachions si les données enregistrées sont celles de l’abonné antérieur ou de l’abonné qui l’utilise . En outre, seule la désactivation des 322 […] non restitués a permis d’écarter ce risque ; or cette désactivation a eu lieu en juillet 2022, soit plus de trois ans après le signalement de l’incident.
70. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 32 du RGPD est constitué en raison de l’insuffisance des mesures techniques et organisationnelles du processus de reconditionnement des boîtiers […] pour assurer la sécurité des données à caractère personnel des abonnés de la société. 
71. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD.
D. Sur le manquement à l’obligation de documenter toute violation de données à caractère personnel
72. Aux termes de l’article 33, paragraphe 5, du RGPD : 
 Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article. 
73. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 33 du RGPD, fait valoir que la violation de données n’a pas été documentée conformément aux dispositions de l’article précité.
74. En défense, la société fait valoir que l’article 33 du RGPD n’impose pas de formalisme et que la documentation d’un incident de sécurité n’a pas obligatoirement à figurer dans un registre de violation de données. Elle considère que la documentation fournie à la suite du contrôle est conforme aux conditions de l’article précité et qu’elle n’est pas tenue d’y spécifier le résultat des mesures prises à savoir, comme le demande le rapporteur, le nombre de […] récupérées par […] après l’incident et la date de leur récupération .
75. La formation restreinte relève qu’à l’issue des deux jours de contrôle sur place, la société n’avait pas documenté la violation de données constituée par la remise en circulation de 4 137 boîtiers mal reconditionnés au sein d’un registre de violation de données. La documentation communiquée ultérieurement en réponse aux demandes de la délégation de contrôle ne permettait pas de savoir si l’ensemble des boîtiers […] dont le reconditionnement n’avait pas été effectif avaient été rapatriés et, le cas échéant, à quelle date. Or, la formation restreinte relève qu’il ressort du principe de responsabilité posé par le RGPD que le responsable de traitement doit suffisamment documenter ses pratiques pour être en mesure de démontrer sa conformité. En l’espèce, la formation restreinte considère que les éléments précités - à savoir si l’ensemble des boîtiers […] dont le reconditionnement n’avait pas été effectif avaient été rapatriés et, le cas échéant, à quelle date - font partie des informations devant être communiquées pour connaître les éléments factuels permettant d’apprécier l’effectivité de la mesure prise dans le traitement de la violation.
76. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 33 du RGPD est constitué dès lors que la documentation établie à l’issue des deux jours de contrôle sur place et ultérieurement en réponse aux demandes de la délégation de la CNIL, ne permettait pas de prendre connaissance de l’ensemble des mesures prises pour remédier à la violation de données à caractère personnel et de ses effets. 
77. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 33 du RGPD.
 
III. Sur les mesures correctrices et leur publicité
78. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. 
79. Aux termes de l’article 83 du RGPD :
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
80. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas nécessaire et ne serait pas proportionnée au regard des faits qui lui sont reprochés.
81. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
82. La formation restreinte considère d’abord que la société a fait preuve d’une négligence certaine s’agissant de principes fondamentaux du RGPD puisque plusieurs manquements sont constitués, portant notamment sur les droits des personnes et la sécurité. La formation restreinte ajoute que trois manquements ont donné lieu à des plaintes.
83. La formation restreinte relève ensuite que la société est un acteur particulièrement important du secteur des fournisseurs d’accès à Internet puisqu’elle dénombrait, en 2021, environ 6,9 millions d’abonnés, ce qui la classait parmi les principaux fournisseurs d’accès à Internet en France. Elle dispose donc de ressources importantes lui permettant de traiter les questions de protection des données personnelles. 
84. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 12, 15, 17, 32 et 33 du RGPD. 
85. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. En l’espèce, la formation restreinte considère que la société a méconnu ses obligations résultant des articles 12, 15, 17, 32 et 33 du RGPD, portant notamment sur les droits des personnes et sur des mesures élémentaires en lien avec la sécurité des données à caractère personnel. La formation restreinte ajoute que plusieurs manquements ont donné lieu à des plaintes, même si elle observe que les plaintes révélant l’existence de manquements apparaissent peu nombreuses – en effet, leur nombre, de dix, doit être rapporté au nombre d’abonnés s’élevant à environ 6,9 millions –de sorte que ces manquements ne peuvent être regardés comme ayant un caractère systémique.
86. La formation restreinte rappelle également que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2020 pour un résultat net s’élevant à environ […] euros. 
87. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative de 300 000 (trois cent mille) euros apparaît justifié.
88. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du CPCE et des articles 7-1, 15, 17, 32 et 33 du RGPD a été proposée par le rapporteur lors de la notification du rapport.
89. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonction du rapporteur.
90. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité de ses traitements avec les dispositions des articles 17, 32 et 33 du RGPD. La formation restreinte considère cependant que la société n’a pas fourni, à la date de la clôture de l’instruction, d’éléments lui permettant d’attester d’une mise en conformité de ses traitements avec les dispositions de l’article 15 du RGPD, dans la mesure où elle entend fournir uniquement des informations relatives à l’identité de la source primaire de la collecte des données de la personne concernée (c’est-à-dire le premier acteur de la chaîne à avoir collecté les données à caractère personnel de la personne concernée). En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une injonction sur ce point.
91. En dernier lieu, s’agissant de la publicité de la décision de sanction, la société soutient qu’une telle mesure ne serait ni nécessaire ni proportionnée au regard des manquements allégués qu’elle réfute et de sa mise en conformité.
92. La formation restreinte considère que la publicité de la sanction se justifie au regard de la pluralité des manquements commis et de la nécessité de porter à la connaissance des personnes, et notamment des clients concernés, les défaillances liées aux traitements de données à caractère personnel mis en œuvre par la société. Elle estime par ailleurs que cette mesure permettra d’informer les personnes concernées de l’existence passée des manquements sanctionnés, dans la mesure notamment où ces faits ont fait l’objet de plusieurs plaintes. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 300 000 (trois cent mille) euros pour les manquements aux articles 12, 15, 17, 32 et 33 du RGPD ;
• prononcer à l’encontre de la société […] une injonction d’apporter une réponse exhaustive aux demandes de Messieurs […] (plainte n° 19014037), […] (plainte n° 19015831), […] (plainte n° 19016618) et […] (plainte n° 19005208) qui précise l’identité du courtier en données à partir duquel elle a obtenu les données des personnes concernées ;
• assortir l’injonction d’une astreinte de 500 (cinq cent) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la société Thésée au nom et pour le compte du groupe Leyton, le 16 septembre 2019, d’une demande d’approbation de ses BCR sous-traitant ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 73 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 47-1 du RGPD dispose que la CNIL approuve des règles d’entreprise contraignantes ( BCR ) sous réserve que celles-ci répondent aux exigences prévues par cet article.
La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ( UE ) afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers.
Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’espace économique européen ( EEE ) est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’EEE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR.
Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’Union, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné.
Conformément à la procédure de coopération décrite par le document de travail WP263.rev.01, la documentation relative aux BCR sous-traitant du groupe Leyton a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-instructeurs. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’EEE en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ( CEPD ).
L’instruction des BCR sous-traitant du groupe Leyton permet de conclure que celles-ci sont conformes aux exigences imposées par l’article 47-1 du RGPD et le document de travail WP257.rev.01, notamment car les BCR susmentionnées :
i. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité participante du groupe Leyton, y compris à leurs employés, de les respecter (articles 4.1, 6.1.1 et 6.1.2 des BCR) ;
ii. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 8.2 des BCR ;
iii. répondent aux exigences imposées par l’article 47-2 du RGPD :
la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités sont détaillées dans le formulaire WP265 qui a été fourni dans le cadre de l’instruction du dossier et dans l’annexe 1 des BCR ;
les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question sont précisés à l’article 5 et en annexe 1 des BCR ;
la nature juridiquement contraignante, tant interne qu’externe, des BCR sous-traitant est reconnue à l’article 6.1 des BCR ainsi qu’à l’article 5 du projet de contrat intra-groupe fourni par le groupe ;
l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes sont visés aux articles 5.2, 5.3, 6.3, 6.6.1, 6.7 et 6.8 des BCR et en annexes 2 et 3 des BCR ;
le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément à l'article 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus aux articles 7 et 8 des BCR ;
l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'Union est précisée à l’article 7 des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’intéressé prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ;
la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD est spécifiée à l’article 9 des BCR ;
les missions de tout délégué à la protection des données, désigné conformément à l'article 37, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations, sont détaillées à l’article 10 des BCR ;
les procédures de réclamation y compris l’obligation de Leyton en tant que sous-traitant d’informer le responsable du traitement de la réclamation ou de la demande, sont décrites aux articles 6.2, 6.6.1 et 8 des BCR ;
les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 12 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises (en l’occurrence, au siège social de Leyton ainsi qu’à l’équipe responsable de la protection de la vie privée), et sont mis à la disposition de l'autorité de contrôle compétente sur demande ;
les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 11 des BCR ;
le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 13 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visées au point j) ci-dessus est spécifiée par ce même article ;