Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 7 septembre 2017 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2017-053 du 30 août 2017 de la Présidente de la Commission mettant en demeure X
A adopté la délibération suivante :
Par décision du 30 août 2017, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure X sis […], de faire cesser sous un délai de trois mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment ceux relatifs à la mise en œuvre d’un traitement automatisé destiné à définir les profils des intéressés sans intervention humaine, au droit d’accès et à l’information des personnes.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 7 septembre 2017.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie d’une part, par la nature du traitement concerné qui illustre le recours croissant aux algorithmes pour la prise de décision dans le cadre de traitements de données à caractère personnel. La décision de la CNIL s’inscrit dans le prolongement du législateur qui, depuis la loi pour une République numérique, impose aux responsables de traitement, davantage de transparence dans l’utilisation des algorithmes.
Le bureau considère que la mesure de publicité se fonde, d’autre part, sur le nombre particulièrement important de personnes concernées par le traitement […], à savoir tous les étudiants et lycéens s’inscrivant dans l’enseignement supérieur, et sur le fait que les décisions adoptées ont un effet substantiel sur leur vie.
Le bureau estime enfin que la publicité de la mise en demeure a vocation à informer les personnes concernées de l’existence de leur droit d’accès aux informations relatives au fonctionnement de l’algorithme pour procéder au classement et à l’affectation des élèves au sein des établissements de l’enseignement supérieur. Les personnes peuvent en effet avoir accès à un grand nombre d’informations relatives notamment à la méthode ayant permis de développer l’algorithme, les contraintes ou les besoins définis par l’administration mais aussi au score qu’elles ont obtenu.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2017-053 de la Présidente de la CNIL mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
La Présidente
Isabelle FALQUE-PIERROTIN