Délibération de la formation restreinte n°SAN-2022-015 du 7 juillet 2022 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜE, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; Vu le code des postes et des communications électroniques ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu les saisines nos […] ; Vu la décision n° 2019-046C du 18 février 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société[…]; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 16 octobre 2020 ; Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteur, notifié à la société […] le 24 novembre 2020 ; Vu les observations écrites versées par la société […] le 22 décembre 2020 ; Vu les autres pièces du dossier ; Vu la décision […] concernant le litige relatif au projet de décision de l’autorité de contrôle française concernant […] en application de l’article 65, paragraphe 1, point a), du RGPD Étaient présents, lors de la séance de la formation restreinte du 28 janvier 2021 : - Madame Sophie LAMBREMON, commissaire, entendue en son rapport ; En qualité de représentants de la société […]: […] La société […] ayant eu la parole en dernier ; La formation restreinte a adopté le projet de décision suivant : I. Faits et procédure 1. La société […] (ci-après " la société ") est une société anonyme à conseil d’administration créée […], spécialisée dans le secteur de l’hôtellerie. Son siège social est situé […] 2. En 2021, la société a réalisé un chiffre d’affaires de […]. À l’été 2020, […] hôtels, implantés dans […] pays, sous […] marques différentes, étaient exploités dans le cadre de contrats liant leurs propriétaires à la société […] (contrats de franchise ou de " management ", principalement). La société emploie environ 1500 salariés. 3. Entre décembre 2018 et septembre 2019, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été directement saisie de cinq plaintes (saisines nos […]) portant sur l’absence de prise en compte du droit d’opposition à la réception par courriel de messages de prospection commerciale (courriels publicitaires, courriels de bienvenue au programme de fidélité, newsletters) de la part de la société. Le 22 septembre 2019, la CNIL a en outre reçu une plainte (saisine n° […]) relative aux difficultés rencontrées dans le cadre de l’exercice du droit d’accès notamment à des données bancaires collectées par la société à l’occasion de la réservation d’une chambre d’hôtel. 4. Conformément à l’article 56 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD "), dans le cadre du traitement des plaintes reçues à l’encontre de la société, la CNIL a informé, le 12 décembre 2018, l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par la société, compétence tirée par la CNIL de ce que l’établissement principal de la société se trouve en France. 5. Par le biais de la plateforme d’échange entre autorités de protection des données européennes, la CNIL a engagé la procédure permettant aux autorités de contrôle concernées de se déclarer. Dix autorités se sont déclarées concernées par cette procédure, au sens de l’article 4 (22) du RGPD. 6. Parallèlement, entre janvier 2019 et février 2020, la CNIL a été rendue destinataire, en qualité " d’autorité chef de file ", en application des mécanismes de coopération prévus par le Règlement, de cinq autres plaintes reçues respectivement par les autorités de contrôle de la Sarre, de l’Espagne, de l’Irlande, de la Pologne et de la Basse Saxe (saisines nos […]). Ces plaintes portaient également sur des demandes d’opposition au traitement de données personnelles à des fins de prospection commerciale par courriel et à l’exercice du droit d’accès à des données collectées par la société […]. 7. Le 6 mars 2019, en application de la décision n° 2019-046C du 18 février 2019 de la présidente de la CNIL, un questionnaire a été adressé à la société […], auquel cette dernière a répondu par courrier du 8 avril puis par des courriers complémentaires des 22 mai, 1er août, 11 octobre et 27 décembre 2019. Cette mission de contrôle sur pièces a eu pour objet de vérifier le respect par la société […] de l’ensemble des dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou la loi " Informatique et Libertés "). 8. À la suite de ce premier contrôle, la CNIL, tenant compte de la réponse apportée par la société au courrier d’instruction qui lui avait été adressé et de sa mise en conformité sur plusieurs points, a soumis à ses homologues européens, le 23 décembre 2019, en application de l’article 60 du RGPD, un projet de décision de sa présidente rappelant la société à ses obligations, conformément aux dispositions de l’article 58.2.b) du RGPD. 9. Ce projet de décision a fait l’objet de la part de certaines autorités concernées d’objections pertinentes et motivées au sens de l’article 60 du RGPD, demandant que la société ne fasse pas seulement l’objet d’un rappel à l’ordre mais qu’elle soit sanctionnée par une amende administrative et soulignant, notamment, le nombre de manquements, le nombre de plaintes et la taille de la société. Compte tenu de ces objections et des nouvelles plaintes reçues depuis le premier contrôle, la CNIL a décidé de reprendre ses investigations auprès de la société. 10. Le 11 février 2020, la délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société. Un contrôle en ligne du site web de la société ([…]) a ensuite été réalisé le 24 février 2020, en application de la décision n° 2019-046C précitée. À la suite de ces investigations, la société a adressé à la CNIL des éléments complémentaires par courriers en date des 21 février, 10 mars, 19 mars et 7 août 2020. 11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 16 octobre 2020, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 12. À l’issue de son instruction, la rapporteure a fait notifier à la société, le 24 novembre 2020, un rapport détaillant les manquements aux dispositions des articles L. 34-5 du code des postes et des communications électroniques (ci-après le " CPCE ") et 12-1, 12-3, 13, 15-1, 21-2 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative et que cette décision soit rendue publique mais ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 13. Était également jointe au rapport une convocation à la séance de la formation restreinte du 28 janvier 2021 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019. 14. La société […] a répondu au rapport de sanction par des observations écrites en date du 22 décembre 2020. 15. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte. II. Motifs de la décision A. Sur la procédure de coopération européenne 16. Aux termes de l’article 56, paragraphe 1, du Règlement " l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 ". 17. En l’espèce, la formation restreinte relève, d’abord, que le siège social de la société se trouve en France depuis la création de l’entreprise […] et que la société est immatriculée au registre du commerce et des sociétés en France depuis l’origine. 18. La formation restreinte relève, ensuite, que les premiers hôtels du groupe […] étaient implantés en France, la société ayant lancé son activité à l’étranger seulement dans un second temps. 19. […] 20. L’ensemble de ces éléments concourent à considérer que l’établissement principal de la société se trouve en France et que la CNIL est compétente pour agir en tant qu'autorité de contrôle chef de file concernant les traitements transfrontaliers effectués par cette société, conformément à l’article 56, paragraphe 1, du Règlement. 21. La formation restreinte relève qu’à la date du présent projet de décision les autorités de contrôle des pays suivants étaient concernées par la présente procédure : Allemagne, Autriche, Belgique, Bulgarie, Croatie, Danemark, Espagne, Estonie, Grèce, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Pays-Bas, Pologne, Portugal, Roumanie, Slovaquie, Slovénie, Suède et République tchèque. 22. À l’issue d’une procédure contradictoire, un projet de décision a été adopté par la formation restreinte et a été transmis aux autres autorités de contrôle européennes concernées en application de l’article 60, paragraphe 3, du RGPD. 23. Le 28 mai 2021, l’autorité polonaise de protection des données a formulé trois objections, conformément à l’article 60, paragraphe 4, du RGPD. 24. Par la délibération nº SAN-2022-001 du 13 janvier 2022, la formation restreinte a exposé son point de vue sur les objections de l’autorité polonaise et expliqué les motifs pour lesquels elle a décidé de ne pas suivre ces objections. 25. Le 15 juin 2022, le Comité européen de protection des données (ci-après " CEPD ") a adopté la décision 01/2022 concernant le litige relatif au projet de décision de l’autorité de contrôle française concernant […] en application de l’article 65, paragraphe 1, point a), du RGPD. Par cette décision, le CEPD s’est prononcé sur le litige relatif au projet de décision qui ne portait plus que sur une seule objection de l’autorité polonaise, concernant le montant de l’amende fixé dans le projet de décision. B. Sur le manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE 1. Sur l’absence de consentement des personnes à la réception de messages de prospection commerciale de la société […] 26. L’article L. 34-5 du CPCE dispose : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe. Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation. […] ". Aux termes de l’alinéa 6 du même article, " La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'un abonné ou d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. A cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article […] ". 27. Il ressort des investigations réalisées par la CNIL que, lorsqu’une personne réservait une chambre d’hôtel directement auprès du personnel d’un hôtel d’une des marques hôtelières du groupe […] (sur place ou par téléphone) ou sur le site d’une des marques hôtelières du groupe ([…].), elle était rendue destinataire des courriels de la société contenant la newsletter " […]", la case relative au consentement à recevoir la newsletter étant pré-cochée par défaut. 28. La rapporteure estime que, dans ces hypothèses, le consentement des personnes destinataires des courriels électroniques de la société contenant la newsletter " […]" n’était pas valablement recueilli. Elle relève notamment à cet égard que les offres commerciales et promotionnelles présentes dans la newsletter " […]" ne portent pas uniquement sur des services fournis par la société mais portent également sur les services de sociétés " partenaires " – telles que, par exemple, des compagnies aériennes ou de sociétés gestionnaires de parcs de stationnement. 29. Dans ces conditions, la rapporteure considère que la société ne peut pas se prévaloir de l’exception prévue à l’article L. 34-5 alinéa 4 du CPCE, qui prévoit qu’un organisme peut adresser des messages de prospection commerciale par courrier électronique sans recueillir préalablement le consentement des personnes concernées lorsque les données ont été collectées auprès de ces personnes à l'occasion d'une vente ou d'une prestation de services et que la prospection commerciale concerne des produits ou services analogues fournis par la même personne physique ou morale. 30. La société soutient que c’est bien elle qui collecte dans tous les cas les données auprès des personnes concernées car, d’une part, elle édite et gère tous les sites de réservation de toutes les marques du groupe et, d’autre part, même lorsqu’ils sont utilisés par les personnels des hôtels du groupe à la demande de clients, les outils de réservation et d’adhésion au programme de fidélité sont gérés par elle seule et viennent alimenter sa propre base de données. 31. La formation restreinte prend acte de ce que la société est détentrice des sites de réservation de toutes les marques du groupe ([…]). La formation restreinte relève néanmoins que les messages de prospection commerciale adressés par la société ne portent pas exclusivement sur des produits ou services analogues fournis par cette société mais qu’ils sont susceptibles de contenir par exemple des offres promotionnelles de partenaires, telle que des compagnies aériennes ou des sociétés gestionnaires de parcs de stationnement. 32. Dans ces conditions, la formation restreinte considère que la société était tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes à recevoir des messages de prospection directe par courrier électronique, conformément à l’alinéa 1er de l’article L. 34-5 du CPCE, ce que ne permettait pas l’existence, en l’espèce, d’une case relative au consentement à recevoir la newsletter pré-cochée par défaut. La formation restreinte rappelle que dans son arrêt Planet49 du 1er octobre 2019 (affaire C-673/19), la Cour de justice de l’Union européenne a indiqué qu’un consentement recueilli au moyen d’une case pré-cochée ne peut pas être considéré comme valablement donné par l’utilisateur. 33. Dans le cadre de la procédure, la société a justifié avoir pris des mesures pour mettre en conformité l’ensemble de ses outils de collecte du consentement des personnes concernées à recevoir des messages de prospection commerciale par courriel électronique, afin que pour chacun des parcours de réservation et d’adhésion au programme ce consentement ne soit plus recueilli par défaut. 34. La formation restreinte considère par conséquent que le manquement à l’article L. 34-5 du CPCE est constitué, mais que la société s’est mise en conformité à la date de clôture de l’instruction. 2. Sur l’absence de consentement des personnes créant un espace client, à la réception des messages de prospection commerciale 35. Dans le cadre de l’instruction, la délégation de contrôle de la CNIL a constaté que, lors de la création d’un espace client, la société ne recueillait pas le consentement des personnes pour le traitement de leurs données à caractère personnel à des fins de prospection commerciale par courriers électroniques. En effet, il a été constaté que les données à caractère personnel utilisées par la société à des fins de prospection commerciale pouvaient être collectées depuis un formulaire de création d’un espace client, indépendamment d’une réservation, sur lequel figurait une case " pré-cochée " par défaut portant sur le consentement à recevoir de la prospection commerciale. 36. La formation restreinte considère que la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes créant un espace client sur son site web, à recevoir des messages de prospection directe par courriers électroniques, conformément à l’alinéa 1 de l’article L. 34-5 du CPCE. En effet, dans la mesure où la création d’un espace client peut intervenir sans réservation préalable, l’exemption au recueil du consentement prévue à l’article L. 34-5 lorsque sont proposés des services analogues n’est pas mobilisable dans ce cas de figure. 37. En réponse, la société a justifié avoir modifié son formulaire de création d’un espace client, afin que le consentement des personnes concernées à recevoir des messages de prospection ne soit plus recueilli par défaut. 38. Dans ces conditions, la formation restreinte considère que le manquement à l’article L. 34-5 du CPCE est constitué, mais que la société s’est mise en conformité à la date de clôture de l’instruction. C. Sur le manquement relatif à l’obligation d’informer les personnes en application des articles 12 et 13 du RGPD 39. Aux termes de l’alinéa 1 de l’article 12 du RGPD : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ". 40. L’article 13 du RGPD exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, les finalités du traitement et sa base juridique, les destinataires ou les catégories de destinataires des données à caractère personnel, le cas échéant les transferts de données à caractère personnel, la durée de conservation des données à caractère personnel, les droits dont bénéficient les personnes ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle. 41. En premier lieu, s’agissant du caractère accessible de l’information, la délégation a constaté lors du contrôle en ligne du 24 février 2020 que les formulaires permettant la création d’un compte client ou l’adhésion au programme de fidélité du groupe […] ne comportaient pas les informations exigées par l’article 13 du RGPD. Les personnes n’étaient pas non plus invitées à effectuer une quelconque démarche pour prendre connaissance de l’information fournie au titre de l’article 13 du RGPD, par exemple en accédant par le biais d’un lien hypertexte à la " charte de protection des données personnelles " de la société. 42. La formation restreinte rappelle que pour considérer qu’un responsable de traitement satisfait à son obligation de transparence, il convient notamment que l’information fournie soit " aisément accessible " pour les personnes concernées au sens de l’article 12 du Règlement. 43. Elle relève, à cet égard, que cette disposition doit être interprétée à la lumière du considérant 61 du Règlement, aux termes duquel : " les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d'elle ". En ce sens, elle partage la position du G29 présentée dans les lignes directrices sur la transparence au sens du Règlement, adoptées dans leur version révisée le 11 avril 2018 et endossées le 25 mai 2018 par le Comité européen de protection des données (CEPD) qui rappelle que " la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder ". 44. La formation restreinte considère qu’en l’espèce les mentions d’information des personnes concernées n’étaient pas " aisément accessibles " pour ces dernières, en ce que, lors de la création d’un compte, l’accès à la " charte de protection des données personnelles " de la société n’était organisé que via un lien hypertexte disponible tout en bas des pages du site internet, ce qui nécessitait que l’internaute fasse défiler la page dans son intégralité et recherche l’information, en méconnaissance de l’article 12 du RGPD. 45. Dans le cadre de l’instruction, la société a indiqué avoir procédé à des rectifications, afin de délivrer une information conforme aux exigences du RGPD. Par une vérification informelle, il a en effet été constaté que les mentions d’informations relatives au traitement des données personnelles avaient été complétées sur les formulaires de création de compte et d’adhésion au programme de fidélité et que la " charte de protection des données personnelles des clients " était désormais directement accessible à partir d’un lien inséré sur ces formulaires. 46. En second lieu, la délégation de contrôle a constaté que la " charte de protection des données personnelles des clients " de la société précise que la base légale du traitement des données personnelles en lien avec l’envoi de prospections commerciales est " l’intérêt légitime " ou " l’exécution d’un contrat ". 47. Or, la rapporteure soutient que, dans les hypothèses précédemment mentionnées, pour l’envoi de messages de prospection relatifs aux produits ou services de tiers, la société ne peut se dispenser de recueillir le consentement des personnes concernées à recevoir des messages de prospection commerciale. 48. En réponse, la société indique que, même si le consentement des personnes concernées doit être recueilli en vertu des dispositions de l’article L. 34-5 du CPCE, les traitements mis en œuvre aux fins de prospection commerciale ont pour base légale l’intérêt légitime. 49. Ainsi qu’il a été précédemment exposé, la formation restreinte considère que dans certaines hypothèses la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes concernées à recevoir des messages de prospection directe par courriers électroniques, conformément aux dispositions de l’alinéa 1 de l’article L. 34-5 du CPCE. 50. La formation restreinte estime que lorsque le recueil du consentement de la personne concernée s’impose pour le traitement de ses données à caractère personnel pour une finalité déterminée (et non seulement pour une opération donnée), la base légale du traitement ainsi mis en œuvre est le consentement. 51. Par conséquent, la formation restreinte relève qu’en ne mentionnant pas le consentement comme base légale du traitement, pour la prospection tendant à promouvoir les produits ou services de tiers, la société a méconnu son obligation au titre de l’article 13 du RGPD. 52. La formation restreinte considère dès lors que l’ensemble de ces faits constituent des manquements aux articles 12 et 13 du RGPD. D. Sur le manquement relatif à l’obligation de respecter le droit d’accès des personnes en application de l’article 15 du RGPD 53. L’article 15.1 du RGPD prévoit un droit d’accès de la personne concernée à ses données à caractère personnel en ces termes : " La personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel (…) ". 54. L’article 12.3 du RGPD précise en outre que " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande ". 55. Lors de l’instruction de la réclamation n° […] reçue par la CNIL, il est apparu que la société a manqué à son obligation de fournir à la plaignante, dans le délai imparti par le RGPD, une copie de ses données à caractère personnel qu’elle détenait dans sa base de données. 56. La rapporteure relève que l’auteure de la réclamation a formulé une demande de droit d’accès le 1er août 2019, date à laquelle son compte client avait fait l’objet d’une suspension à la suite d’une détection de connexion frauduleuse. Toutefois, alors que la plaignante avait justifié de son identité le 10 janvier 2020, permettant ainsi la réouverture de son compte client par la société, aucune réponse n’avait encore été fournie à sa demande de droit d’accès à la date du contrôle de la délégation de la CNIL, le 11 février 2020. La société a fait droit à la demande de la plaignante le 24 février 2020. 57. La formation restreinte considère, que dans l’hypothèse où le compte d’un client a fait l’objet d’une détection de connexion frauduleuse, la société peut certes avoir un doute raisonnable sur l’identité du demandeur souhaitant exercer son droit d’accès, justifiant qu’une pièce d’identité soit sollicitée auprès de la personne concernée. 58. La formation restreinte estime toutefois que, dès lors que le doute est levé sur l’identité de la personne, la demande de droit d’accès doit être honorée par le responsable du traitement. 59. Dans ces conditions, la formation restreinte considère que le manquement à l’article 15 du RGPD est constitué s’agissant de la plainte n° […], bien qu’il ne ressorte pas du dossier qu’au-delà de cette plainte ponctuelle le manquement ait eu un caractère structurel. E. Sur le manquement relatif à l’obligation de respecter le droit d’opposition des personnes en application de l’article 21 du RGPD 60. Aux termes de l’article 21.2 du RGPD : " lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection ". 61. En premier lieu, la rapporteure a relevé que l’auteur de la plainte n° […] s’est opposé à la réception de messages de prospection de la part de la société sur ses deux adresses de messagerie électronique, le 11 décembre 2018. 62. La rapporteure a considéré que la société n’avait pas répondu de manière satisfaisante à la demande d’opposition du plaignant, dès lors que sa demande d’opposition n’a été prise en compte que le 11 janvier 2020 et pour une seule des deux adresses électroniques concernées. 63. En réponse, la société a indiqué ne pas avoir trouvé trace de cette demande d’opposition dans ses systèmes. Elle indique en outre ne pas avoir retrouvé non plus dans sa base de données la première adresse électronique visée par le plaignant dans sa demande et précise, s’agissant de la seconde adresse électronique, que c’est l’auteur de la plainte lui-même qui s’est désinscrit des newsletters le 11 janvier 2020. 64. La formation restreinte considère que, s’agissant de cette première plainte, les éléments du débat ne permettent pas de conclure à l’existence d’un manquement commis par la société. 65. En second lieu, l’instruction des plaintes n° […] reçues par la CNIL a révélé l’existence de dysfonctionnements du lien de désinscription figurant en bas des courriels de prospection adressés par la société, résultant de deux types de problèmes techniques affectant l’une ou l’autre des étapes du processus de désabonnement. 66. D’abord, entre le 11 novembre 2018 et le 21 janvier 2019, des dysfonctionnements sont intervenus dans la transmission d’informations relatives aux désabonnements entre l’outil permettant de gérer l’envoi des newsletters et le référentiel clients, qui consigne l’information selon laquelle un client est, ou non, abonné aux newsletters. Ainsi, pendant cette période, l’outil de gestion des newsletters n’était pas informé par le référentiel clients des créations ou mises à jour de contacts et des désabonnements aux newsletters associés réalisés tous les dimanches entre 0 h et 20 h. Dès lors, jusqu’au 21 janvier 2019, l’auteur de la réclamation n°[…] a continué à recevoir des messages de prospection commerciale de la part de la société, malgré sa demande de désabonnement formulée le dimanche 18 novembre 2018 dans l’après-midi. 67. Ensuite, une autre anomalie, affectant également la synchronisation des désabonnements entre le référentiel clients et l’outil qui gère l’envoi des newsletters, a été identifiée par la société le 8 février 2019. Cette anomalie explique que l’auteure de la réclamation n° […] ait continué à recevoir la newsletter de la société […] entre le 2 janvier 2019 et le 8 février 2019, malgré la suppression de ses données au sein du référentiel clients dès le 1er janvier 2019. 68. La formation restreinte considère que ces deux anomalies, qui se sont reproduites pendant plusieurs semaines, sont susceptibles d’avoir empêché un nombre significatif de personnes de s’opposer efficacement à la réception des messages de prospection. Elle relève à cet égard qu’il ressort des pièces du dossier qu’en 2019, 35,3 millions de personnes recevaient sur une adresse électronique valide au moins l’une des newsletters du groupe […]. 69. En réponse, la société indique avoir pris des mesures visant à améliorer la gestion des demandes d’exercice des droits et à prévenir les anomalies dans la prise en compte des demandes d’opposition. 70. La formation restreinte prend acte des mesures de mise en conformité adoptées par la société, mais considère que la société a méconnu pour le passé ses obligations au titre des dispositions de l’article 21.2 du RGPD, dès lors que les anomalies précitées ont fait échec à la prise en compte dans un délai raisonnable des demandes d’opposition à recevoir des messages de prospection commerciale de la part des personnes concernées. F. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD 71. L’article 32 du Règlement dispose : " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : a) la pseudonymisation et le chiffrement des données à caractère personnel ; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ; d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […]". 72. En premier lieu, la rapporteure relève que, lors du contrôle sur place du 11 février 2020, la délégation a constaté que l’utilisation d’un mot de passe composé de huit caractères contenant seulement deux types de caractères (sept lettres majuscules et un caractère spécial) permettait d’accéder à l’outil de gestion l’envoi des communications aux clients. 73. La rapporteure estime que, compte tenu notamment du volume de données à caractère personnel traité par l’outil " Adobe Campaign ", les exigences mises en place par la société en matière de robustesse des mots de passe sont insuffisantes et ne permettent pas d’assurer la sécurité des données à caractère personnel. 74. En réponse, la société fait valoir que, compte tenu de l’existence d’une mesure complémentaire de sécurité – tenant en ce que l’accès au logiciel " Adobe Campaign " n’est possible que depuis un terminal connecté au réseau […] – un seul niveau de complexité (minuscule ou chiffre) manquait pour que le mot de passe constaté par la délégation réponde aux recommandations de la CNIL. La société justifie par ailleurs avoir renforcé les règles de complexité du mot de passe d’accès au logiciel " Adobe Campaign ", qui doit désormais comprendre un minimum de neuf caractères et quatre niveaux de complexité. 75. La formation restreinte considère que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle relève à cet égard que la nécessité d’un mot de passe fort est également soulignée par l’Agence nationale de sécurité des systèmes d’information. 76. À titre d’éclairage, la formation restreinte rappelle que pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu’une authentification repose uniquement sur un identifiant et un mot de passe, la CNIL recommande, dans sa délibération n° 2017-012 du 19 janvier 2017, que le mot de passe comporte au minimum douze caractères - contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial - ou alors comporte au moins huit caractères - contenant trois de ces quatre catégories de caractères - s’il est accompagné d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (comme un " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses. 77. En l’espèce, la formation restreinte considère qu’au regard des règles encadrant leur composition, la robustesse des mots de passe admis par la société pour l’accès au logiciel " Adobe Campaign " était trop faible, conduisant à un risque de compromission des données à caractère personnel qu’il contient. 78. La formation restreinte relève toutefois que la société justifie avoir renforcé le niveau de complexité des mots de passe de connexion au logiciel " Adobe Campaign ". 79. En conséquence, la formation restreinte considère que le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel est constitué, mais que la société s’est mise en conformité sur ce point avant la clôture de l’instruction. 80. En second lieu, la rapporteure a indiqué que lorsque le compte d’un client est suspendu en raison d’une suspicion de connexion frauduleuse, le service client invite la personne concernée à transmettre la copie de sa pièce d’identité en pièce jointe d’un courriel. 81. La rapporteure relève que les conditions dans lesquelles la copie de la pièce d’identité des clients dont le compte a été suspendu est transmise, ne permettent pas de se prémunir contre son interception par un tiers. 82. La formation restreinte estime que la pratique consistant en la transmission de données non chiffrées par courriel électronique génère un risque important pour la confidentialité des données transmises. 83. A cet égard, la formation restreinte rappelle que, dans son guide sur " la sécurité des données personnelles ", la CNIL recommande comme précaution élémentaire de sécurité le chiffrement des données avant leur enregistrement sur un support physique ou leur transmission par messagerie électronique. Elle recommande également d’assurer la confidentialité du mot de passe de déchiffrement en le transmettant par un autre canal. 84. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les faits précités sont constitutifs d’un manquement à l’article 32 du RGPD. III. Sur les mesures correctrices et leur publicité 85. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ". 86. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. 87. En défense, la société soutient qu’une sanction n’est pas nécessaire compte tenu de l’ensemble des mesures qu’elle a prises pour remédier aux manquements constatés et considère, en tout état de cause, que le montant de l’amende administrative proposée par la rapporteure est disproportionné eu égard, notamment, à la faible gravité des manquements, aux mesures prises pour y remédier, à sa coopération avec les services de la CNIL et à sa situation financière, sensiblement dégradée en raison de la crise sanitaire actuelle. La société soutient par ailleurs que la publicité de la décision de sanction de la formation restreinte aurait pour elle des conséquences manifestement disproportionnées. 88. S’agissant de la nature et de la gravité de la violation, la formation restreinte relève d’abord le nombre de manquements reprochés à la société : réalisation de campagnes de prospection massives par courrier électronique sans consentement des personnes, absence d’information aisément accessible et complète sur les traitements effectués, difficultés rencontrées dans le cadre de l’exercice de leurs droits par les plaignants et défauts de sécurité des données. Elle souligne que ces manquements portent sur plusieurs principes fondamentaux de la législation applicable en matière de protection des données à caractère personnel et qu’ils constituent une atteinte substantielle aux droits des personnes concernées. 89. La formation restreinte relève ensuite le nombre particulièrement important de personnes concernées par ces manquements, dès lors qu’en 2019, 35,3 millions de personnes recevaient sur une adresse électronique valide au moins l’une des newsletters du groupe […]. 90. La formation restreinte retient, enfin, que ces manquements ont eu des conséquences directes pour les personnes concernées, comme en témoigne notamment le fait que la CNIL a été saisie de onze plaintes portant en particulier sur le droit d’opposition à recevoir des messages de prospection commerciale. 91. Dès lors, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués. 92. S’agissant du montant de l’amende concernant les manquements au RGPD, la formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. 93. La formation restreinte relève que le chiffre d’affaires de la société s’élevait à […] d’euros en 2021. 94. S’agissant du montant de l’amende relative au manquement à l’article L.34-5 du CPCE, la formation restreinte rappelle qu’en ce qui concerne les manquements à des dispositions trouvant leur origine dans d’autres textes que le RGPD, comme c’est le cas de l’article L.34-5 du CPCE qui transpose en droit interne la directive " ePrivacy ", l’article 20, paragraphe III, de la loi " informatique et libertés " lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. En outre, la détermination du montant de cette amende s’apprécie également au regard des critères précisés par l’article 83 du RGPD. 95. Pour évaluer la proportionnalité de l’amende, la formation restreinte a tenu compte de ce que la société s’est mise en conformité avec l’ensemble des manquements relevés et de ce que certains d’entre eux, en lien avec l’exercice des droits des personnes, ne revêtaient pas un caractère structurel. Elle relève en outre que la société a pleinement coopéré avec la CNIL. 96. La formation restreinte tient également compte, dans la détermination du montant de l’amende prononcée, de la situation financière de la société. À cet égard, la société fait état d’une baisse de son chiffre d’affaires en 2020 et 2021 par rapport à 2019. En effet, le chiffre d’affaires de la société s’élevait à […] en 2019, […] en 2020 et […] en 2021. 97. Enfin, la formation restreinte prend acte de la décision du CEPD […] concernant le litige relatif au projet de décision de l’autorité de contrôle française concernant […] en application de l’article 65, paragraphe 1, point a), du RGPD. En particulier, elle note que le CEPD a enjoint la CNIL de réexaminer les éléments sur lesquels elle s’est fondée pour calculer le montant de l’amende, afin de s’assurer que ladite amende satisfait au critère d’effet dissuasif prévu par l’article 83, paragraphe 1, du RGPD. 98. Dès lors, au regard du contexte économique causé par la crise sanitaire de la Covid-19, de ses conséquences sur la situation financière de la société et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende administrative de 600 000 euros apparaît justifié. 99. La formation restreinte estime enfin que la publication de sa décision de sanction pour une durée de deux ans se justifie au regard de la pluralité des manquements relevés, de leur gravité et du nombre de personnes concernées. 100. La formation restreinte précise que l’amende administrative de 600 000 euros à l’encontre de la société […] s’applique à hauteur de 100 000 euros pour le manquement aux dispositions de l’article L. 34-5 du CPCE et à hauteur de 500 000 euros pour les manquements de la société aux dispositions des articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du Règlement. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la société […] une amende administrative d’un montant de 600 000 euros pour l’ensemble des manquements constatés, qui se décompose comme suit : o 100 000 (cent mille) euros au titre du manquement de la société à l’article L. 34-5 du Code des postes et des communications électroniques ; o 500 000 (cinq cent mille) euros au titre des manquements de la société aux articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.


Délibération de la formation restreinte n° SAN-2022-017 du 3 août 2022 concernant la société x


Délibération n° 2024-010 du 8 février 2024 portant avis sur un projet de décret portant modification des dispositions relatives au traitement automatisé de données à caractère personnel dénommé PARAFE

N° de demande d’avis : 23015126 Textes concernés : projet de décret portant modification des dispositions relatives au traitement automatisé de données à caractère personnel dénommé PARAFE Organisme(s) à l’origine de la saisine : ministère de l’intérieur Fondement de la saisine : article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : Le traitement PARAFE repose sur le déploiement de sas visant à faciliter les contrôles aux frontières extérieures. Le projet de décret modifie ce traitement pour notamment permettre l’utilisation de sas PARAFE par les ressortissants de pays tiers qui se sont préalablement pré-enregistrés dans le système européen d’entrée-sortie ( entry-exit system ou EES ). En particulier, la CNIL estime qu’il conviendra de : renforcer l’information des voyageurs concernés ; clarifier la distinction des données traitées au moyen de PARAFE et de celles relevant d’autres traitements, notamment du dispositif de pré-enregistrement dans l’EES. ___________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 32 ; Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte Le traitement PARAFE est encadré par les articles R. 232-6 à R. 232-11-2 du code de la sécurité intérieure (CSI). Il repose sur le déploiement de sas destinés à améliorer et faciliter les contrôles de police aux frontières extérieures. En pratique, les voyageurs aériens, maritimes et ferroviaires éligibles au dispositif peuvent volontairement emprunter un sas PARAFE s’ils disposent d'un passeport comportant des données biométriques. Le contrôle aux frontières est alors réalisé au moyen d’une authentification biométrique du voyageur, via le traitement de l’image numérisée du visage. Le traitement a été récemment modifié pour, en particulier, étendre le périmètre des voyageurs éligibles (v. CNIL, SP, 11 mai 2023, avis sur projet de décret, PARAFE, n° 2023-045, publié). Un dispositif complémentaire de facilitation des contrôles aux frontières sera prochainement déployé. Il s’agit des systèmes en libre-service (kiosques ou dispositifs mobiles) pour le pré-enregistrement de ses données dans le système européen d’entrée / de sortie ( entry-exit system ou EES ). A cet égard, l’EES permettra, en remplacement du système actuel d’estampillage des passeports, l’enregistrement électronique des entrées, sorties et refus d’entrée des ressortissants de pays tiers admis pour un court séjour sur le territoire ou pour lesquels l’entrée a été refusée ; le pré-enregistrement dans l’EES repose sur le volontariat des voyageurs. L’utilisation de ces systèmes implique la mise en œuvre d’un traitement de données à caractère personnel, sur lequel la CNIL s’est prononcée (CNIL, SP, 9 juin 2022, avis sur projet de décret, dispositif de pré-enregistrement, n° 2022-066, publié). B. L’objet de la saisine Le ministère de l’intérieur a saisi la CNIL d’un projet de décret modifiant les dispositions relatives au traitement PARAFE. Les évolutions projetées visent à : prendre en compte l’entrée en service prochaine de l’EES, en permettant aux ressortissants de pays tiers qui se sont pré-enregistrés dans ce système d’utiliser PARAFE ; étendre le bénéfice de PARAFE aux voyageurs détenant une carte nationale d’identité électronique européenne (CNIe) ; ajouter les personnels de l’agence européenne de garde-frontières et de garde-côtes (Frontex) à la liste des accédants aux données du traitement ; permettre le déploiement de PARAFE en Polynésie française, en Nouvelle-Calédonie et à Wallis-et-Futuna. Au-delà des modifications portées par le projet de décret, le ministère prévoit d’étendre la liste des mises en relation avec d’autres traitements, en ajoutant notamment une interconnexion avec le traitement Travel Documents Associated with Notices database (TDAWN). II. L’avis de la CNIL A. Sur les conditions d’utilisation des sas PARAFE et l’information des personnes Le projet de décret prévoit que l’usage d’un sas PARAFE est subordonné, pour certains ressortissants de pays tiers, au pré-enregistrement préalable dans l’EES à partir de systèmes en libre-service. Il ressort des précisions apportées que : seule une partie des personnes éligibles au dispositif de pré-enregistrement pourront bénéficier de PARAFE à la suite de leur pré-enregistrement (les personnes disposant d’un dossier EES constitué lors d’un précédent passage à la frontière de l’espace Schengen) ; parmi ces personnes, seules certaines d’entre elles pourront utiliser PARAFE en entrée et en sortie (le bénéfice de PARAFE à l’entrée étant réservé, s’agissant des ressortissant de pays tiers, aux seules nationalités éligibles énumérées par l’arrêté du 30 juin 2023 fixant la liste des pays tiers dont les ressortissants sont autorisés à bénéficier du traitement PARAFE en entrée sur le territoire). Ces modalités d’articulation des dispositifs de pré-enregistrement et des sas PARAFE entrainent une multiplication des parcours de franchissement de la frontière possibles (en fonction de la nationalité, de la durée de séjour autorisée et, le cas échéant, de l’existence ou non d’un dossier préalablement enregistré dans l’EES). Cette diversification des procédures risque d’être source de confusion et d’incertitude pour les voyageurs, pour ce qui concerne : leur éligibilité à l’un ou l’autre des dispositifs de facilitation des contrôles aux frontières ; le caractère facultatif du pré-enregistrement dans l’EES et de l’utilisation de sas PARAFE, et ainsi la possibilité alternative de se présenter devant un garde-frontière pour réaliser les contrôles. La CNIL rappelle que, pour assurer la transparence des traitements et l’effectivité des droits, les personnes devront être informées : par les gestionnaires d’infrastructures (aéroports, ports maritimes, gares ferroviaires), de leur éligibilité aux sas PARAFE et du caractère optionnel de leur utilisation ; de l’articulation de PARAFE avec les dispositifs de pré-enregistrement (v. CNIL, SP, 11 mai 2023, avis sur projet de décret, PARAFE, n° 2023-045, publié). En particulier : la signalétique mise en place pourrait être complétée par l’affichage ou la fourniture d’une information écrite avant le passage de la frontière ; les personnels chargés d’orienter et d’informer les voyageurs devront être déployés en nombre suffisant (v. en ce sens l’article 8 quater du règlement (UE) 2016/399 ou code frontières Schengen ) et bénéficier d’une formation appropriée. Lors de l’instruction de la saisine, le projet de décret a été modifié pour étendre le périmètre des personnes qui, pour pouvoir utiliser PARAFE, devront préalablement passer par un dispositif de pré-enregistrement. Il s’agira, en plus des ressortissants de pays tiers éligibles à l’EES (catégories de personnes initialement visées par le projet de décret), des ressortissants de pays tiers non éligibles à l’EES (à l’exception des ressortissants d’Andorre, de Monaco et de Saint-Martin) qui incluent, par exemple, les ressortissants de pays tiers disposant d’un titre de séjour. Selon les précisions apportées, il est prévu que le dispositif de pré-enregistrement, qui concerne actuellement les seuls ressortissants de pays tiers éligibles à l’EES (en vue de leur enregistrement dans ce dernier système), soit étendu aux ressortissants de pays tiers disposant d’un titre de séjour ou d’un visa long séjour délivré par la France. La CNIL souligne qu’il conviendra de s’assurer de la conformité des évolutions projetées avec les dispositions pertinentes de droit de l’Union européenne ; de prévoir la modification du décret encadrant le dispositif de pré-enregistrement, dont elle devra être saisie. B. Sur l’articulation des traitements PARAFE, dispositif de pré-enregistrement et EES a) L’architecture de PARAFE et du dispositif de pré-enregistrement Selon les précisions apportées, les traitements dispositif de pré-enregistrement et PARAFE reposeront sur le déploiement d’un central commun aux frontières (CCAF), qui permettra : d’interroger certains fichiers (le fichier des personnes recherchées ou FPR , par exemple) et de consulter le résultat de ces interrogations ( hit / no hit ) dans le cadre des vérifications aux frontières ; pour le dispositif national de pré-enregistrement dans l’EES, d’interroger l’EES pour déterminer l’éligibilité de la personne et de stocker temporairement les données pré-enregistrées ; pour PARAFE, de demander la création d’une fiche (d’entrée ou de sortie) dans l’EES. Il conviendra de garantir la possibilité de distinguer les données et opérations relevant de PARAFE d’une part, et du dispositif de pré-enregistrement d’autre part. Cela permettra, en particulier, de garantir l’effectivité des droits des personnes concernées et d’assurer le contrôle et la sécurité de chacun des traitements indépendamment l’un de l’autre. La CNIL prend acte des dernières précisions apportées selon lesquelles une traçabilité propre à chaque traitement sera assurée. b) Les vérifications effectuées au moyen de ces traitements Lorsqu’une personne utilise le dispositif de pré-enregistrement puis PARAFE, la consultation des bases de données pour les vérifications aux frontières est effectuée à deux reprises, au niveau de chaque dispositif. Dans cette hypothèse, une interrogation des bases de données à partir de PARAFE ne serait pas nécessaire. Dès lors, des mesures devront être mises en place pour garantir que cette consultation n’est pas effectuée, au niveau de PARAFE, pour les personnes pré-enregistrées dans l’EES. La CNIL prend acte des dernières précisions apportées selon lesquelles l’architecture des systèmes est amenée à évoluer en ce sens. Ces interrogations conduiront à l’affichage, au niveau de la console de supervision du garde-frontière, de l’indication selon laquelle la personne est inscrite ou non dans les bases de données consultées. La CNIL prend acte de ce que cette information, qui constitue une donnée à caractère personnel, transite par le CCAF sans être enregistrée dans PARAFE. Elle rappelle que les opérations de traitement le cas échéant réalisées au moyen du CCAF devront être conformes aux dispositions encadrant les fichiers dont elles relèvent (FPR ou N-SIS, par exemple). c) La création de fiches dans l’EES à partir de PARAFE Les sas PARAFE permettront la création dans l’EES de fiches d’entrée et de sortie, en communiquant à ce dernier système des informations relatives à l’entrée et à la sortie (à ce propos, v. not. les art. 14, 16 et 17 du règlement (UE) 2017/2226). Dans cette perspective, le projet de décret autorise le traitement, dans PARAFE, des informations relatives à la date et l’heure de l’entrée et de la sortie, au point de passage frontalier d’entrée et de sortie, et à l’autorité qui a autorisé l’entrée. Selon les précisions apportées, ces données seront collectées pour les seuls voyageurs de nationalité éligible à l’EES (identifiée à partir de la bande MRZ du document de voyage). Il conviendra, également, de prendre en compte le pré-enregistrement préalable de la personne dans l’EES. La prise en compte de ce critère permettrait de prévenir la collecte, non nécessaire, de données relatives aux personnes de nationalité couverte par l’EES mais non éligibles à ce dernier dispositif (ressortissants de pays tiers bénéficiant d’un titre de séjour, par exemple). La CNIL prend acte de l’engagement du ministère de préciser dans le décret que les personnes concernées par le traitement des données relatives à l’entrée et à la sortie correspondent aux seules personnes éligibles à l’EES. C. Sur les mises en relation avec d’autres traitements a) Le périmètre des mises en relation projetées PARAFE est actuellement mis en relation avec le fichier des personnes recherchées (FPR), le système informatique national du système d'information Schengen (N-SIS) et le fichier des documents de voyage volés et perdus d'Interpol (SLTD). Ces mises en relation s’inscrivent dans le cadre des vérifications aux frontières (v. supra, §§17-26). Le ministère prévoit que PARAFE sera, dans cette même perspective, interconnecté avec le traitement TDAWN d’Interpol. Au regard de l’architecture du traitement et des flux de données projetés (v. supra, §§17-31), la CNIL estime que PARAFE sera également mis en relation avec les traitements EES et dispositif de pré-enregistrement . Les AIPD de ces traitements devront être complétées en ce sens, ce à quoi le ministère s’engage. Par ailleurs, le périmètre des mises en relation diffère selon le territoire sur lequel les sas sont mis en place. Dans la mesure où les territoires d’outre-mer se situent en dehors de l’espace Schengen, les sas qui y sont déployés ne pourront interroger les systèmes d’information européens (EES) ni les traitements nationaux associés (dispositif de pré-enregistrement ; N-SIS). La CNIL prend acte de ce que l’interrogation des bases de données à partir de PARAFE fera l’objet d’un paramétrage spécifique pour les sas déployés outre-mer. b) Les transferts de données qu’impliquent certaines mises en relation Les mises en relation avec les traitements SLTD et TDAWN d’Interpol impliquent un transfert de données vers une organisation internationale au sens du chapitre V du RGPD. En effet : ces mises en relation reposent sur la transmission de données à caractère personnel relatives au document de voyage ; ces données sont communiquées par un responsable de traitement soumis au RGPD à un responsable de traitement importateur qui est une organisation internationale (v. Lignes directrices 05/2021 sur l’interaction entre l’application de l’article 3 et des dispositions relatives aux transferts internationaux du chapitre V du RGPD, adoptées le 14 février 2023). De tels transferts ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. D. Sur les mesures de sécurité L’extension du dispositif aux titres d’identité comportant des données biométriques n’appelle pas de mesures de sécurité spécifiques mais appelle à accroître la vigilance à porter sur les performances biométriques des systèmes déployés, en raison de l’augmentation prévisible du nombre de personnes concernées par le traitement. La CNIL incite le ministère à suivre la performance des dispositifs biométriques dans le temps et pour chaque déploiement au regard des critères détaillés dans l’une de ses délibérations précédentes (CNIL, SP, 28 janvier 2016, avis sur projet de décret, PARAFE, n° 2016-012, publié). Les nouveaux accédants prévus par le décret seront soumis à la même politique d’authentification et d’habilitation spécifique que les accédants actuels, permettant un niveau de sécurité approprié en ce qui concerne le contrôle d’accès logique. L’audit de sécurité, initialement prévu pour arriver à son terme avant fin 2023 dans le cadre de l’homologation SSI, a débuté mais n’est pas terminé. La CNIL encourage le ministère à déployer les efforts nécessaires à l’aboutissement rapide de cet audit de sécurité, en particulier en raison de la mutualisation de certains dispositifs, tels que le CCAF, avec d’autres traitements de données, qui peut être source d’accroissement des risques. La CNIL accueille positivement le déploiement du dispositif de gestion de crise qui était prévu dans le plan d’action et incite le ministère à le citer parmi les mesures déployées en raison de son impact positif sur la disponibilité du système permettant de réduire les effets sur les personnes en cas de problèmes de fonctionnement imprévus. Elle invite aussi le ministère à préciser certaines mesures de sécurité déployées, notamment concernant les contrôles d’intégrité (dont les conditions de déclenchement ne sont pas précisées) et la supervision (pour laquelle aucun détail n’est donné hormis l’outil utilisé). Enfin, la CNIL invite à mettre en cohérence les évaluations des mesures de chiffrement, de gestion des incidents et des violations de données, et de supervision entre leurs descriptions détaillées et la synthèse. Les autres mesures de sécurité décrites par le responsable de traitement semblent conformes à l'exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD et n’appellent pas d’observations. E. Sur l’analyse de risques La CNIL considère que les risques issus de la nouvelle architecture basée sur CCAF devraient faire partie de l’analyse. Aussi, elle considère que les risques liés à l’indisponibilité des données devraient être évalués et positionnés dans la cartographie, en cohérence avec les échelles de gravité et de vraisemblance, en raison de leur impact sur la vie privée des personnes. Enfin, et de manière plus générale, le positionnement des risques devrait être mis en cohérence entre l’analyse et l’estimation des risques, d’une part, et les cartographies, d’autre part, afin de permettre la bonne analyse des enjeux du traitement. Aussi, l’ensemble des risques devrait être évalué selon des valeurs comprises dans les échelles définies et les éléments obsolètes retirés de l’analyse. La Présidente Marie-Laure DENIS


Délibération n° 2024-028 du 4 avril 2024 portant avis sur un projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « plainte en ligne » (PEL)

N° de demande d'avis : 24002546 Organisme(s) à l'origine de la saisine : ministère de l'intérieur Textes concernés : projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé plainte en ligne (PEL) Thématiques : téléservice, télédéclaration, dépôt de plainte dématérialisé Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : Le traitement Plainte en ligne (PEL) est un téléservice facultatif permettant, sous certaines conditions, un dépôt de plainte totalement dématérialisé. La PEL a un périmètre défini, cohérent avec les autres téléservices de signalement ou de plainte. La CNIL se félicite du déploiement de ce téléservice qui est de nature à faciliter les démarches des victimes. Ses finalités sont déterminées, explicites et légitimes. Le traitement PEL contiendra des données (informations, photographies, etc.) d'une nature particulière. L'AIPD et le projet de décret entourent le traitement de ces données de garanties satisfaisantes (sécurité, durée de conservation, droits des personnes, etc.). Le traitement est susceptible d'enregistrer des données sensibles ; la CNIL prend acte de la garantie selon laquelle aucun outil de requête n'est accessible dans l'application PEL pour effectuer des recherches sur les informations et les données sensibles collectées dans les champs libres. La CNIL invite le ministère à prévoir un contrôle systématique afin d'assurer que seules des photographies pertinentes seront intégrées dans les logiciels de rédaction des procédures de la police nationale ou de la gendarmerie nationale. Au regard de la sensibilité du traitement, la CNIL accueille favorablement l'engagement du ministère d'ajouter des mentions d'information portées directement à la connaissance des personnes concernées dans leur portail dédié, au lieu de les intégrer au sein des conditions générales d'utilisation, les rendant moins accessibles. ______________________ La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le traitement Plainte en ligne (PEL) permet à la victime d'une infraction, ou à son représentant légal, d'adresser une plainte par voie électronique (ordinateur, ordiphone ou tablette) lorsque les faits sont constitutifs d'une atteinte aux biens (vol, dégradation, escroquerie, etc.) et l'auteur inconnu. Ce traitement permettra également de limiter le travail de saisie des enquêteurs : les éléments de texte rédigés par le déclarant sont recueillis puis intégrés directement dans les logiciels de rédaction de procédure (LRP) de la police nationale et de la gendarmerie nationale. Les victimes ont le choix entre utiliser le téléservice PEL ou se déplacer physiquement en commissariat ou en brigade de gendarmerie. Le décret n° 2018-388 du 24 mai 2018 relatif au téléservice de Pré-plainte en ligne (PPEL), qui supposait un rendez-vous systématique avec un agent, est abrogé par le projet de décret. La PEL permet le traitement totalement dématérialisé du dépôt de plainte. B. - L'objet de la saisine Le ministère de l'intérieur a saisi la CNIL, sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée, d'un projet de décret portant autorisation du traitement PEL. Dans la mesure où les finalités poursuivies permettent la prévention, la recherche, la constatation ou la poursuite des infractions pénales, le traitement relève des dispositions du titre III de la loi informatique et libertés . Le projet de décret codifie au sein du code de procédure pénale (CPP) les dispositions relatives à la PEL. Il s'inscrit plus largement dans le cadre juridique de la loi de programmation de la justice 2018-2022 qui autorise la plainte en ligne (article 15-3-1 du CPP) et encadre : la liste des catégories de données à caractère personnel et informations pouvant être enregistrées dans le traitement et notamment les données sensibles ; la durée de conservation de six mois des données à caractère personnel et des informations collectées dans le traitement à compter de leur enregistrement. II. - L'avis de la CNIL A. - Sur les finalités et le périmètre du traitement Le traitement PEL est un téléservice qui a pour finalités de : permettre à la victime ou à son représentant légal d'effectuer une plainte en ligne, contre un auteur inconnu, pour une des infractions dont la liste est fixée par arrêté du garde des sceaux, ministre de la justice et, le cas échéant, d'obtenir un rendez-vous auprès d'un service de police nationale ou d'une unité de gendarmerie nationale afin de finaliser sa démarche ; permettre aux personnels de la police nationale et les militaires de la gendarmerie nationale d'instruire la plainte effectuée par la victime ou son représentant légal et de les informer des suites réservées. Le ministère a précisé que le champ infractionnel concerné est volontairement plus restrictif que celui de la PEL. En effet, la PEL est limitée aux infractions dont il résulte un préjudice matériel pour la victime (enjeu assurantiel) : les délits d'appropriations frauduleuses prévus et réprimés aux articles 311-1 à 314-13 à l'exclusion des infractions prévues et réprimées aux articles 311-4-2, 313-6, 313-6-1, 314-5, 314-6, 314-7, 314-8 et 314-9 du code pénal (CP) ; les délits de destructions, dégradations et détériorations prévus et réprimés aux articles 322-1 à 322-18 du CP à l'exclusion des infractions prévues et réprimées aux articles 322-3 3°, 322-3-1, 322-3-2 et 322-14 du CP ; le délit de fuite prévu et réprimé à l'article 434-10 du CP ; les contraventions contre les biens prévues et réprimées par les articles R. 631-1, R. 632-1, R. 634-1, R. 635-1, R. 635-2 et R. 635-8 du CP. Il ressort de l'analyse d'impact relative à la protection des données (AIPD) qu'à l'issue du renseignement du formulaire de plainte en ligne, l'enquêteur peut : valider la télédéclaration et intégrer les éléments dans les LRP ; prendre rendez-vous avec l'usager par téléphone afin de compléter sa déclaration et finaliser sa démarche sur site ; rejeter la télédéclaration si celle-ci ne comporte pas les éléments constitutifs d'une infraction pénale éligible au dispositif de la PEL. La page d'accueil du site internet PEL rappellera à l'usager les finalités du traitement et l'incitera à vérifier qu'il respecte les critères pour continuer sa démarche (majorité, infraction d'atteintes aux biens hors infractions du ressort d'autres applications, auteur inconnu). Il lui sera également indiqué qu'il ne pourra finaliser sa démarche totalement en ligne que sous certaines conditions : authentification au moyen de FranceConnect, absence de violences ou de menaces, cohérence et complétude de la déclaration et clarté du récit soumises à l'appréciation de l'enquêteur. Un majeur protégé pourra indiquer le type de mesure de protection dont il fait l'objet et les coordonnées de son tuteur ou de son curateur. La CNIL comprend que ces données sont collectées en vue d'informer le tuteur ou le curateur de la démarche de la personne reconnue vulnérable par la loi et du fait qu'elle sera éventuellement entendue par un agent en présentiel. La victime dispose, tout au long de sa démarche, de la possibilité d'abandonner le processus de plainte en ligne et d'opter pour un dépôt de plainte classique. Un rendez-vous en unité de police ou de gendarmerie est obligatoire lorsque les informations renseignées par le déclarant relèvent des exceptions à l'établissement d'une plainte totalement dématérialisée (par exemple, infraction commise avec violences ou menaces, incohérences et manque de clarté du récit). Il permettra le contrôle des informations renseignées, à l'occasion de l'échange entre le déclarant et l'agent. Le traitement PEL est limité aux infractions contre les biens et lorsque l'auteur est inconnu ; il s'inscrit dans un cadre déjà existant comprenant le dépôt de plainte en ligne pour les arnaques sur internet (THESEE) et pour le signalement de la fraude à la carte bancaire (PERCEVAL). L'orientation de l'usager s'effectue en fonction de l'infraction concernée notamment via le service Ma Sécurité . Il n'y a pas de chevauchement du champ infractionnel entre ces différents téléservices. La CNIL estime que les finalités du traitement PEL sont déterminées, explicites et légitimes. Elles sont rappelées de manière satisfaisante à l'usager qui s'apprête à remplir sa télédéclaration. B. - Sur les catégories de données traitées 1. Concernant la collecte de données sensibles via les champs libres Le projet de décret liste les données à caractère personnel pouvant être collectées dans le traitement selon la distinction entre les différentes catégories de personnes conformément à l'article 98 de la loi informatique et libertés (personne physique ou morale déposant plainte, témoins éventuels, description physique du ou des auteurs présumés, personnels de police nationale et de la gendarmerie nationale). La PEL vise à collecter les informations factuelles et contextuelles les plus précises possibles et permettre ce recueil dans un délai très court afin de faciliter l'élucidation des infractions. A ce titre, des champs normés, liés aux référentiels des LRP, sont utilisés mais de nombreux champs libres demeurent et concernent notamment : les circonstances de l'infraction (exposé des faits et violences subies le cas échéant) : ces données permettent de contextualiser et de définir la nature et la gravité de l'infraction ; le lieu des faits pour précisions ; la description du ou des auteurs : un menu déroulant aurait induit le choix d'une valeur par défaut ne garantissant pas la précision et exactitude de l'identification de l'individu ; la description des témoins. Le ministère a précisé que ces champs libres sont réduits et guidés par des questions afin de limiter la collecte à des informations strictement nécessaires à la description de l'infraction (s'agissant notamment des catégories de données liées aux circonstances de l'infraction et à la description du ou des auteurs ). Les déclarations en ligne doivent être reprises sans altération dans les LRP, ce qui implique la collecte de données sensibles, à l'exception des données génétiques et biométriques. Les télédéclarations validées sont stockés dans le coffre-fort numérique certifié SecNumCloud. Aucune modification des documents n'est alors possible (intégrité des données). L'usager tout comme l'agent ne disposent pas d'accès direct au coffre-fort numérique. En revanche, les déclarations n'entrant pas dans le champ du traitement, par mésusage du déclarant, sont supprimées de la PEL mais peuvent justifier l'ouverture d'une enquête distincte. La collecte de ces catégories de données est adéquate, pertinente et nécessaire pour que la victime puisse fournir l'ensemble des éléments utiles au traitement de son dépôt de plainte en ligne. La CNIL est consciente de la difficulté particulière qui s'attache à l'énumération anticipée de tous les types de données à caractère personnel pouvant être traitées dans le cadre d'une déclaration en ligne complétée par des usagers, et susceptible de concerner les faits les plus divers (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). La collecte de ces données devra être précédée d'un avertissement rappelant aux usagers qu'elles ne peuvent conduire à la désignation nominative de l'auteur présumé des faits, conformément aux finalités du traitement. La CNIL prend acte de la garantie selon laquelle aucun outil de requête n'est accessible dans l'application PEL pour effectuer des recherches sur les informations et les données sensibles collectées dans les champs libres. 2. Concernant la collecte de photographies des biens Le projet de décret prévoit la collecte de photographies et documents justificatifs relatifs aux objets volés ou dégradés. Ces informations doivent permettre de confirmer les déclarations de l'usager et de qualifier l'infraction ou de déterminer l'ampleur du préjudice (par exemple, dégradations, vols par effraction ou à la roulotte). Le ministère a apporté des garanties de nature à empêcher que les usagers n'enregistrent des photographies de personnes dans le traitement : l'agent peut trier les pièces jointes transmises par le déclarant sur l'application PEL, avant de les intégrer dans les LRP. La CNIL accueille favorablement le contrôle des agents sur les pièces jointes et invite à sa systématisation (par exemple, une formation des agents avec un point de sensibilisation spécifique les inciterait à filtrer davantage les pièces jointes). C. - Sur les durées de conservation des données En cours de réalisation de la déclaration par l'usager, les données constituant le brouillon sont conservées au maximum sept jours à compter de leur enregistrement (premiers éléments et pièces jointes éventuelles). Ce délai s'applique également aux pièces jointes annexées à la PEL. Une fois la télédéclaration finalisée par l'usager, elle est transmise dans le coffre-fort numérique où elle est conservée pour une durée de six mois, quelle que soit la suite donnée au dépôt de plainte en ligne (validation, rejet, rendez-vous physique pour la compléter ou transmission vers un LRP pour génération du procès-verbal de plainte). Le ministère justifie cette durée de conservation par la nécessité de : prévoir un délai suffisant afin de pouvoir contacter l'usager pour compléter sa déclaration ; permettre au service de police ou de gendarmerie concerné de répondre à l'usager en cas de contestation de celui-ci en s'appuyant sur l'ensemble des éléments du dossier. Ce délai est identique à celui à partir duquel un plaignant peut demander les suites de sa plainte au procureur de la République. Cette durée de conservation de six mois des données enregistrées dans le coffre-fort numérique est proportionnée aux besoins exposés par le ministère. La CNIL prend acte de ce que : un dispositif d'effacement automatique des données à caractère personnel recueillies sera mis en œuvre à l'expiration du délai de six mois à compter de leur enregistrement ; un effacement manuel anticipé est possible pour faire droit à un usager qui le demanderait en application de l'article 106 de la loi informatique et libertés . La suppression des données sera limitée à l'application PEL et n'aura pas d'effet sur les données transmises dans les LRP, dont les règles de fonctionnement relèvent des textes réglementaires qui leur sont propres. La CNIL prend acte de l'engagement du ministère d'ajouter des mentions précisant ces modalités de mise à jour des données dans les conditions générales d'utilisation (CGU). D. - Sur les mises en relation avec d'autres traitements Le traitement PEL est mis en relation avec les traitements suivants : FranceConnect, qui met à disposition des usagers un mécanisme d'authentification unique ( fédérateur d'identités ) pour tous les téléservices de l'administration. Le dispositif s'appuie sur des fournisseurs d'identité qui garantissent l'identification électronique de la personne concernée. À la première utilisation de la PEL, l'usager peut faire le choix de s'identifier par FranceConnect ou non. Dans ce dernier cas, il lui est demandé de créer un espace usager avec un identifiant et un mot de passe et un rendez-vous avec l'agent est alors obligatoire ; LRPGN et LRPP : l'application PEL transmet aux LRP les télédéclarations récupérées dans le coffre-fort numérique. Les données doivent être reprises en intégralité, soit de façon automatique lors de l'intégration des déclarations dans les LRP, soit de façon manuelle pour les pièces jointes conservées par les agents. Le recours au téléservice FranceConnect permet de simplifier la démarche de plainte en ligne et d'en assurer la traçabilité et le suivi et permet d'éviter les principaux risques d'usurpation d'identité. Le fait de ne pas recourir à ce dispositif n'empêche pas l'utilisation de la PEL mais impose d'effectuer un rendez-vous. L'agent pourra, à cette occasion, contrôler l'identité et les déclarations du déclarant. Par ailleurs, le traitement peut faire l'objet d'interconnexions et de rapprochements manuels avec LRPGN et LRPPN via le numéro de télédéclaration. La CNIL considère que les actes réglementaires autorisant ces traitements permettent ces mises en relation à sens unique. E. - Sur l'information des personnes Les personnes sont informées conformément à l'article 104 de la loi informatique et libertés par les mentions présentes sur le site web du ministère. Ces mentions sont prévues dans les CGU, accessibles dans un onglet en bas de page du site de la PEL. Aucune information individuelle ou particulière des personnes concernées n'est directement accessible sur le site de la PEL. La CNIL accueille favorablement l'engagement du ministère d'ajouter une mention dans le portail usager afin de rendre l'information des plaignants directement accessible et la plus claire possible sur ce traitement d'une certaine sensibilité, notamment en ce qui concerne l'exercice de leurs droits. La CNIL prend acte de ce que l'information des agents sur la collecte de leurs données est mise en œuvre lors de leur connexion à l'application PEL sur le portail qui leur est dédié. Elle estime, en outre, que les tuteurs ou curateurs des déclarants faisant l'objet d'une mesure de protection devraient être informés de l'enregistrement de leurs données à caractère personnel dans le traitement PEL. F. - Sur les mesures de sécurité La CNIL prend acte de la mise en œuvre sur le portail usager et le coffre-fort numérique de solutions de chiffrement à l'état de l'art permettant d'assurer la confidentialité des données traitées. Elle relève qu'une authentification forte par carte agent est nécessaire pour accéder au portail agent de la PEL. Elle prend acte de la mise en œuvre d'une journalisation conservée pour une durée de six mois sur le portail usager et pour une durée de trois ans pour le portail agent. Elle retient que des mécanismes sont mis en œuvre pour assurer l'intégrité et la non modification des données apportées par les usagers dans leur déclaration lors de leur intégration dans les LRP. La présidente, M.-L. Denis


Délibération n° 2024-012 du 15 février 2024 portant avis sur un projet de décret relatif à la délivrance des bulletins n° 2 du casier judiciaire à la RATP

Date de l'avis : 15 février 2024. N° de la délibération : 2024-012. N° de demande d'avis : 23016891. Organisme(s) à l'origine de la saisine : ministère de la justice. Textes concernés : projet de décret relatif à la délivrance des extraits de casier judiciaire à la Régie autonome des transports parisiens. Thématiques : transmission du bulletin n° 2 du casier judiciaire, RATP, condamnations pénales, enquête administrative. Fondement de la saisine : article 779 du code de procédure pénale. L'essentiel : Le projet de décret vise à modifier l'article R. 79 du code de procédure pénale (CPP) pour habiliter la RATP à solliciter du casier judiciaire national automatisé, la délivrance du bulletin n° 2 du casier judiciaire pour certains agents lors leur recrutement ou dans le cadre de l'exercice de leurs fonctions. La CNIL considère que cet accès constitue un moyen proportionné en raison de la sensibilité des fonctions pour lesquelles la RATP a sollicité cette habilitation. Au vu des conséquences possibles sur les personnes concernées (candidats et agents déjà en poste), la CNIL attire l'attention de la RATP sur les garanties nécessaires qui devront être mises en œuvre une fois l'accès au B2 effectif (détermination d'une durée très brève de conservation, critères conduisant à ne pas recruter une personne, etc.). Enfin, la CNIL appelle l'attention du ministère sur l'intérêt, au regard de la protection des données, que présenterait une modification de l'article R. 79 du CPP afin de mieux encadrer les conditions d'accès au B2 des organismes concernés. _____________________ La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la loi informatique et libertés ), notamment son article 8-I-4° a ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Les conditions de mise en œuvre du casier judiciaire national automatisé sont prévues aux articles 768 à 781 et R. 62 à R. 90 du code de procédure pénale (CPP) ; son article R. 79 fixe la liste des administrations et personnes morales habilitées à se voir délivrer le bulletin n° 2 du casier judiciaire ( B2 ). La consultation du B2 constitue la principale vérification réalisée dans le cadre de l'accès et du contrôle de certains emplois publics : elle permet de s'assurer que les candidats à certains emplois publics ou à certaines professions régies par des textes spéciaux présentent les garanties nécessaires à l'exercice des fonctions auxquelles ils postulent. Certains emplois plus sensibles (notamment les conducteurs ou les agents en charge de la sécurité interne) nécessitent que soient menées des enquêtes administratives donnant lieu à une consultation du B2 ainsi que de traitements automatisés de données à caractère personnel relevant de l'article 31 de la loi informatique et libertés . Aujourd'hui, la RATP peut déjà demander la remise du bulletin n° 3 du casier judiciaire ( B3 ). Cette possibilité semble légitime au regard de son statut. B. - L'objet de la saisine La CNIL a été saisie par le ministère de la justice d'un projet de décret visant à compléter l'article R. 79 du CPP afin d'autoriser la Régie autonome des transports parisiens (RATP) à solliciter la délivrance du B2 pour […] le recrutement ou l'affectation, ainsi que pour le contrôle de l'exercice de leurs fonctions notamment en vue de poursuites disciplinaires : des agents assermentés mentionnés au 4° du I de l'article L. 2241-1 du code des transports ; des agents chargés des procédures d'achat et de marché public ; des agents chargés de la cyber sécurité . Conformément aux dispositions de l'article 779 du CPP, la modification doit être autorisée par décret pris après avis motivé de la CNIL. II. - L'avis de la CNIL A. - Sur la proportionnalité de l'accès au B2 par la RATP Le ministère indique que la transmission du B2 vise à permettre à la RATP d' être en mesure de garantir la plus grande fiabilité et moralité des agents exerçant les fonctions les plus sensibles , a fortiori dans le contexte de la tenue des jeux Olympiques et Paralympiques. A cette fin, le projet de décret prévoit la possibilité pour la RATP d'accéder au B2, pour certains emplois, lors du recrutement et pour le contrôle de l'exercice de ces emplois, c'est-à-dire pour les agents en poste. Dans le secteur des transports, la SNCF (SNCF, SNCF Réseau, SNCF Voyageurs…) détient, depuis 1959, l'accès au B2 pour tous ses recrutements ainsi que pour les soumissions pour les adjudications de travaux ou de marchés publics, en vertu du 8° de l'article R.79 du CPP. Plus généralement, outre les accès prévus pour les administrations de l'Etat, certaines grandes entreprises chargées de missions de service public et les collectivités territoriales se sont vu reconnaître cet accès pour tous leurs emplois. Par ailleurs, la plupart des ordres professionnels ont également accès au B2 pour toute demande d'inscription au tableau de l'ordre. Si la CNIL constate que la délivrance du B2 à des fins de contrôle de l'accès ou de l'exercice de certains emplois a été octroyée à toute une série d'organismes, elle souligne qu'un juste équilibre doit être assuré entre les intérêts publics en cause et la protection de la vie privée et des données à caractère personnel. De ce point de vue, le projet de décret qui lui est soumis réserve cet accès à trois catégories d'emplois. La RATP a également tenu compte de ce que d'autres types d'emploi font l'objet d'une procédure de contrôle spécifique (notamment les agents en charge de la sécurité interne et les conducteurs). La CNIL estime que le fait de ne pas prévoir au bénéfice de la RATP un accès au B2 pour tous les emplois (recrutement ou en cours d'exercice), mais de l'avoir limité à certaines catégories d'entre eux, est un choix pertinent. Elle invite le gouvernement à prolonger cette réflexion pour les autres établissements publics et entreprises autorisés à accéder au B2. 1. Sur l'accès au B2 à l'embauche : Sur les agents assermentés exerçant des missions de contrôle : Ces agents (environ 7 000 personnes actuellement) sont notamment chargés de constater par procès-verbaux certaines infractions prévues au code des transports, ainsi que de dresser les contraventions prévues par les règlements relatifs à la police ou à la sûreté du transport et à la sécurité de l'exploitation des systèmes de transport ferroviaire ou guidé. En raison de leur statut particulier et des missions qu'ils exercent, ces agents sont soumis à une assermentation au cours de laquelle une consultation du B2 de leur casier judiciaire est réalisée. La RATP fait valoir que cette vérification intervient dans un temps relativement long après l'embauche de l'agent, ne lui permettant pas d'apprécier efficacement la compatibilité du profil de la personne avec les missions envisagées. La CNIL reconnait que le renforcement de la sécurité des transports publics de voyageurs constitue un volet important de la prévention des atteintes à la sécurité publique et peut, dès lors, conduire à certaines restrictions aux libertés, parmi lesquelles le respect de la vie privée. La CNIL considère que s'agissant des agents exerçant des missions de contrôle, l'accès au B2 à l'embauche est légitime. Sur les agents en charge de la cybersécurité : Les agents en charge de la cybersécurité (environ 40 personnes actuellement) évoluent dans un environnement particulièrement sensible. Dans la mesure où de nombreux équipements sont dépendants des systèmes d'information, les cyberattaques concernent aussi le secteur des transports. La fonction d'agent en charge de la cybersécurité relève d'une sensibilité particulière : les cyberattaques peuvent entraîner la perte de contrôle d'un système ou d'un véhicule totalement ou partiellement, entrainant un risque pour l'intégrité des personnes. A ce titre, la RATP fait valoir que la seule consultation du bulletin n° 3 n'est pas suffisante. Compte tenu des enjeux associés à la protection des systèmes d'information en cause, notamment sur la sécurité physique du réseau de transport, la CNIL estime que l'accès au B2 pour cette catégorie d'agents est légitime. Sur les agents en charge des marchés publics : Les agents en charge des marchés publics (environ 180 personnes actuellement) ont accès à des données confidentielles et participent à la préparation des choix des prestataires et des fournitures. Ces fonctions impliquent également l'intervention de fonds publics et la manipulation de sommes importantes. Selon la RATP, ces éléments justifient que les agents en charge des marchés publics témoignent, par principe, d'une intégrité incontestable. La CNIL reconnaît que la préparation et l'instruction des marchés publics peuvent engendrer des risques de corruption, de passation de marchés fictifs, d'espionnage industriel ou encore de prise illégale d'intérêt. Eu égard à ces risques, l'accès prévu pour la RATP apparaît légitime. 2. Sur l'accès au B2 dans le cadre des fonctions de l'agent : Le projet de décret ouvre la possibilité pour la RATP d'accéder au B2 de ces mêmes agents, lorsqu'ils sont en poste afin de pouvoir contrôler la continuité de leur bonne moralité . Dans ce cadre, la RATP envisage la possibilité d'une consultation périodique du B2 pour l'ensemble des agents visés par le projet de décret, qui pourrait intervenir à des moments prédéterminés de la carrière de l'agent ou à échéance régulières. La CNIL estime que l'accès au B2 des agents mentionnés dans le projet de décret pour s'assurer que ces derniers présentent les garanties nécessaires à l'exercice de leurs fonctions est légitime. B. - Sur les garanties entourant la mise en œuvre du dispositif par la RATP La délivrance du B2 par la RATP, soit lors de la phase de recrutement soit lors de l'exercice des missions des agents concernés, présente des risques pour les données des personnes en cause et est susceptible d'avoir des conséquences importantes pour celles-ci (non recrutement ou licenciement). Dans sa délibération n° 2015-415 du 19 novembre 2015, la CNIL a rappelé un certain nombre d'exigences et de garanties devant entourer, de manière générale, la délivrance du B2. En l'espèce, elle estime que les garanties suivantes devront être mises en œuvre, pouvant entraîner, le cas échéant, des modifications du statut du personnel ou de tout autre texte régissant la RATP : une durée de conservation très limitée des informations issues du B2 devra être déterminée ; un encadrement strict devra être organisé pour la consultation du B2 au cours des fonctions, notamment en déterminant une périodicité raisonnable ; des critères précis devront être fixés afin de s'assurer que le refus d'employer une personne ou le licenciement de celle-ci, n'est pas fondé sur une condamnation sans lien avec la fonction concernée ; l'ancienneté de la condamnation devra être prise en compte notamment afin de garantir le principe du droit à l'oubli et de ne pas faire du casier judiciaire un obstacle à la réinsertion professionnelle ; un cadre d'habilitation cohérent doit être assuré. La CNIL prend acte de ce que le gouvernement entend rappeler ces recommandations à la RATP et rappelle que le ministère doit assurer une authentification sécurisée pour l'accès au service. La présidente, M.-L. Denis