Délibération de la formation restreinte n° SAN-2022-011 du 23 juin 2022 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; Vu le code des postes et des communications électroniques ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2020-113C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par XX ou pour son compte ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 juillet 2021 ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X le 25 février 2022 ; Vu les observations écrites versées par la société X le 25 mars 2022 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte du 21 avril 2022 : - Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société X : - […] La société X ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : 1. Faits et procédure 2. La société X (ci-après " la société "), anciennement dénommée X, dont le siège social est situé […], est une société anonyme qui a pour activité la fourniture et la production d’électricité et de gaz en France. Créée en 2003, la société compte environ […] salariés. 3. Pour l’année 2020, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. En 2021, la société dénombrait près de 8 millions de clients et prospects, ce qui la classait au […] en France. 4. Entre le mois d’octobre 2019 et le mois de juillet 2020, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de 27 plaintes à l’encontre de la société. Parmi ces plaintes, 18 ont été examinées dans le cadre de la présente procédure de sanction. Les plaignants faisaient notamment état des difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’opposition à recevoir des appels téléphoniques de prospection commerciale. 5. Pour les besoins de l’instruction des plaintes, un contrôle en ligne a été effectué sur le site web " […] " le 10 août 2020. Le procès-verbal n° 2020-113-1, dressé par la délégation le jour du contrôle, a été notifié à la société le 19 août 2020. La délégation de la CNIL s’est notamment attachée à vérifier la gestion, par la société, des droits des personnes, et plus particulièrement la manière dont elle avait traité les demandes d’exercice des droits des personnes ayant saisi la Commission de plaintes. Ce contrôle avait également pour but de vérifier l’information fournie par la société aux prospects contactés dans le cadre d’opérations de démarchage téléphonique ainsi que la possibilité qui leur était offerte de pouvoir s’y opposer. 6. Trois demandes de complément d’informations ont ensuite été adressées à la société par lettres recommandées avec avis de réception, datées des 19 août 2020, 25 novembre 2020 et 19 février 2021. La société a répondu par courriers datés du 1er octobre 2020, du 11 décembre 2020 et du 5 mars 2021. 7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 29 juillet 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 8. Par courrier du 6 janvier 2022, le rapporteur a demandé à la société de fournir son bilan comptable de l’année 2020, ce qu’elle n’a pas fait. 9. Le rapporteur a, le 25 février 2022, fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce, accompagné d’une convocation à la séance de la formation restreinte du 21 avril 2022. 10. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative et une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du code des postes et des télécommunications électroniques (CPCE) et des articles 12, 14, 15 et 21 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 11. Le 25 mars 2022, la société a produit ses observations en réponse au rapport de sanction. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte. I. Motifs de la décision A. Sur le manquement aux obligations de l’article L. 34-5 du code des postes et des communications électroniques 12. Aux termes de l’article L. 34-5 du CPCE : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. (…) / Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation. (…) ". 13. Le rapporteur observe d’abord qu’à l’occasion du contrôle effectué le 10 août 2020, la société a indiqué à la CNIL effectuer différents types des campagnes de prospection commerciale, dont des campagnes dites de " relance " au cours desquelles elle contacte notamment des prospects ayant communiqué leurs données par le biais de formulaires disponibles sur son site web. Les prospects peuvent être contactés par téléphone ou par courriel. 14. Le rapporteur relève ensuite que la délégation de contrôle a constaté que, au moment de souscrire en ligne sur le site web de la société, l’utilisateur doit renseigner sur le formulaire de collecte correspondant son adresse électronique et son numéro de téléphone en dessous de la mention l’informant que : " En renseignant les informations suivantes, vous reconnaissez donner votre accord à leur utilisation par X pour vous présenter ultérieurement ses offres ". Il souligne que cette mention n’est accompagnée d’aucune modalité, telle qu’une case à cocher, permettant à l’utilisateur de s’opposer à l’utilisation de ses coordonnées à de telles fins, au moment où celles-ci sont recueillies. 15. En défense, la société apporte des éléments de réponse en lien avec deux formulaires disponibles sur son site web. Elle soutient d’abord que le formulaire de demande de devis en ligne est conforme aux règles applicables en ce qu’il informe l’utilisateur que ses coordonnées sont renseignées à titre facultatif et qu’il contient une case à cocher, non pré-cochée par défaut, lui permettant d’accepter de recevoir des offres commerciales de la société par courriel, par SMS ou par téléphone. La société soutient en outre que l’article L. 34-5 du CPCE n’a pas vocation à s’appliquer au formulaire de souscription en ligne dès lors que les appels téléphoniques et courriels émis auprès des personnes n’ayant pas finalisé leur souscription n’ont en principe pas vocation à promouvoir des produits ou services de l’entreprise mais ont pour objectif de proposer une assistance à l’utilisateur afin de l’aider à finaliser sa souscription en cours. La société précise toutefois avoir pris des mesures dans le cadre de la procédure de sanction pour ajouter une case à cocher sur ce formulaire et ajoute ne plus adresser, depuis septembre 2020, de courriels aux personnes qui débutent une souscription en ligne sans la finaliser. 16. En premier lieu, la formation restreinte relève que, s’agissant du formulaire de demande de devis, le rapporteur a précisé en cours de procédure que sa conformité n’était pas contestée, seul le formulaire de souscription en ligne étant visé dans son rapport. Elle considère également que les modalités de collecte des données par le biais de ce formulaire de demande de devis sont conformes aux règles applicables. 17. En second lieu, s’agissant du formulaire de souscription en ligne, la formation restreinte rappelle qu’il ressort des dispositions précitées de l’article L. 34-5 du CPCE que les responsables de traitement peuvent, à l’occasion d’une vente ou d’une prestation de services, collecter des données à caractère personnel à des fins de prospection commerciale pour des produits ou services analogues, sans recueillir le consentement des intéressés, sous réserve d’une collecte conforme aux exigences de la loi Informatique et Libertés, effectuée auprès de la personne concernée et en lui offrant la possibilité de s’opposer à un tel traitement de données au moment où elles sont recueillies, puis lors de chaque message de prospection. 18. En l’espèce, la formation restreinte considère que le fait que l’utilisateur, lorsqu’il remplit le formulaire de souscription en ligne, ne puisse s’opposer à l’utilisation de ses données à des fins de prospection commerciale électronique, au moment où celles-ci sont collectées, constitue un manquement aux obligations de l’article L. 34-5 du CPCE dès lors que le formulaire l’informe que les informations renseignées, comportant son adresse électronique, peuvent être utilisée par la société afin de lui " présenter ultérieurement ses offres ". 19. Dans ces conditions, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE. 20. Elle relève néanmoins que, dans le cadre de la présente procédure, la société a indiqué ne plus adresser de courriels aux personnes débutant une souscription sans la finaliser et a inséré sur le formulaire de souscription en ligne une case à cocher accompagnée de la mention suivante : " Veuillez cocher cette case si vous ne souhaitez pas que votre numéro de téléphone soit utilisé par X pour vous aider à finaliser votre souscription et vous proposer ses offres et services ". B. Sur le manquement à l’obligation d’information en application de l’article 14 du RGPD 21. Aux termes de l’article 14 du RGPD : " 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes : a) L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable de traitement ; b) Le cas échéant, les coordonnées du délégué à la protection des données ; c) Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ; d) Les catégories de données à caractère personnel concernées ; e) Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ; f) Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale (…) / 2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée (…) / a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ; b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ; c) l’existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des données ; d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ; e) le droit d’introduire une réclamation auprès d’une autorité de contrôle ; f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public (…) " Aux termes de l’article 14, paragraphe 3 : " Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 : a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ; b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne (…) ". 22. Le rapporteur relève que, dans le cadre du contrôle, la société a fourni à la délégation de la CNIL un échantillon composé de quatre-vingt-quatre enregistrements d’appels téléphoniques passés par trois conseillers le 20 octobre 2020. Ces appels ont été effectués dans le cadre de campagnes de prospection réalisées à partir de données collectées par la société auprès de ses partenaires fournisseurs de données de prospects. 23. Le rapporteur relève que l’écoute de cet échantillon a permis de constater l’absence d’information fournie aux personnes démarchées téléphoniquement ou le caractère incomplet de cette information. En effet, il ressort de ces enregistrements que, dans certains cas, les personnes contactées n’ont bénéficié d’aucune information relative à la protection de leurs données au cours de l’appel. Dans d’autres cas, l’information fournie était incomplète, certaines mentions précitées prévues à l’article 14 du RGPD n’étant pas portées à la connaissance des personnes contactées. Enfin, la société n’offrait aucune possibilité aux personnes contactées d’accéder à une information plus complète, par exemple via l’activation d’une touche sur leur clavier téléphonique. 24. En défense, la société souligne d’abord que les appels examinés dans le rapport ne reflètent pas les pratiques de l’ensemble des conseillers dès lors qu’il ne s’agit que de quatre-vingt-quatre enregistrements d’appels et qu’ils correspondent à des appels pour lesquels les conseillers n’ont pas respecté les consignes données. Ces consignes permettaient pourtant de fournir aux personnes concernées les " informations essentielles / prioritaires " selon la société. La société ajoute ensuite avoir modifié, dans le cadre de la procédure, le script fourni aux conseillers, afin de mettre davantage en exergue les informations essentielles en début d’appel et d’inviter les personnes qui le souhaitent à avoir plus d’informations, en appuyant sur une touche du téléphone. La société indique également avoir renforcé son second niveau d’information en enregistrant un message contenant l’ensemble des informations requises par l’article 14 du RGPD, accessible à partir de cette touche. Elle précise enfin que ses agents ont dû assister à des formations de sensibilisation sur ce sujet. 25. La formation restreinte relève que les quatre-vingt-quatre enregistrements d’appels de démarchage téléphonique recueillis dans le cadre du contrôle révèlent une méconnaissance de l’article 14 du RGPD. 26. La formation restreinte observe que, dans certains cas, les personnes contactées à des fins de prospection ne bénéficiaient d’aucune information. Dans d’autres cas, certaines mentions précitées prévues à l’article 14 du RGPD – comme les finalités du traitement ou encore l’existence des différents droits – n’étaient pas portées à leur connaissance. Dans la plupart des cas, des informations essentielles, comme celles relatives au principe même de l’enregistrement de l’appel et au droit de s’y opposer n’étaient pas communiquées. Les personnes ne se voyaient pas non plus offrir la possibilité d’obtenir une information plus complète relative aux traitements de leurs données à caractère personnel, par exemple via l’activation d’une touche sur leur clavier téléphonique. 27. Dès lors, la formation restreinte considère que les faits précités constituent un manquement à l’article 14 du RGPD. 28. La formation restreinte relève que la société a justifié avoir pris des mesures pour se mettre en conformité au cours de la procédure, en modifiant notamment les consignes contenues dans le script fourni aux conseillers contactant les prospects, et détaillant le message devant leur être délivré en début d’appel. Celui-ci mentionne l’ensemble des informations essentielles, ainsi que la possibilité d’obtenir des informations complémentaires relatives aux traitements de données à caractère personnel mis en œuvre par la société en appuyant sur une touche du clavier du téléphone. Les informations ainsi mises à disposition des personnes sont conformes à l’article 14 du RGPD. 2 Sur les manquements en lien avec l’exercice des droits 29. Aux termes de l’article 12 du RGPD : " 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. 2. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée. 3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. (…) ". 30. L’article 15, paragraphe 1, du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux données à caractère personnel la concernant et notamment " g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ". Il est également prévu au paragraphe 3 du même article que " le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. (…) ". 31. Aux termes de l’article 21 du RGPD : " 2. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. (…)" 1. Sur le manquement aux obligations relatives aux modalités d’exercice des droits des personnes (article 12 du RGPD) 32. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 12 du RGPD, se fonde sur quatre saisines de la CNIL, émanant de Mesdames […] (plainte n° […]) et […] (plainte n° […]), et de Messieurs […] (plainte n° […]) et […] (plainte n° […]), dans le cadre desquelles les plaignants faisaient état de difficultés rencontrées dans l’exercice de leurs droits. 33. Le rapporteur indique que ces quatre saisines concernent respectivement une demande de rectification d’adresse de consommation, la prise en compte d’une opposition au traitement des données à des fins de prospection commerciale, une demande d’origine des données et enfin une opposition au traitement des données à des fins de prospection commerciale accompagnée d’une demande de leur suppression. 34. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement par la société, que si cette dernière a pris en compte les demandes, elle n’y a apporté des réponses satisfaisantes que tardivement, au-delà des délais fixés par l’article 12 du RGPD, souvent après plusieurs relances du plaignant et engagement de la procédure de contrôle. 35. En défense, la société fait valoir que le manquement allégué au titre de ces quatre saisines n’est intervenu que dans des cas isolés ou complexes et est essentiellement révélateur d’erreurs humaines, durant une période de crise sanitaire et de confinements successifs durant lesquels les individus ont eu plus de temps pour exercer leurs droits. Elle précise que, selon la procédure détaillée que la société a élaborée en 2018 à destination des agents de la direction de la relation client et de son partenaire […] (sous-traitant en charge de la gestion des demandes d’exercice de droits), les demandes doivent être prises en charge immédiatement et au plus tard à J+1 à compter de leur réception, et elles doivent être traitées au plus tard à J+30. Elle détaille en outre les actions menées pour chacune de ces saisines et souligne qu’une réponse a été apportée à toutes ces demandes. 36. La formation restreinte rappelle qu’il résulte de l’article 12 du RGPD que lorsqu’une demande d’exercice de droit lui est adressée, le responsable de traitement doit fournir à la personne concernée des informations sur les mesures prises pour répondre à sa demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois. La formation restreinte rappelle également qu’il est possible de prolonger de deux mois ce délai en raison de la complexité de la demande. 37. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations de l’article 12 du RGPD est constitué dès lors que la société n’a pas traité certaines demandes d’exercice de droits dans le délai imparti, le délai pris pouvant aller jusqu’à deux ans. S’agissant d’une plaignante, alors même que sa situation était réglée, la société ne l’avait pas informée du traitement effectif de sa demande. Il en résulte que les personnes concernées étaient dans l’ignorance des suites apportées à leurs demandes. 38. Par suite, la formation restreinte considère que, quand bien même la société a justifié avoir traité les demandes précitées et avoir pris des mesures pour se mettre en conformité, le manquement à l’article 12 du RGPD est constitué. 2. Sur le manquement relatif à l’obligation de respecter le droit d’accès (article 15 du RGPD) 39. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD en matière de droit d’accès, se fonde sur huit saisines de la CNIL, émanant de Messieurs […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]) et […] (plainte n° […]). Dans le cadre de ces plaintes, les personnes faisaient état de difficultés rencontrées dans l’exercice de ce droit, alors même que leurs demandes avaient bien été réceptionnées. 40. Le rapporteur indique que ces huit saisines concernent notamment l’accès aux données à caractère personnel et plus particulièrement leur origine ainsi que l’accès aux enregistrements des conversations téléphoniques. 41. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que la société n’a pas apporté de réponse aux demandeurs ou a apporté des réponses tardives ou erronées. 42. En défense, la société fait valoir que les procédures qu’elle avait mises en place n’ont pas été respectées en raison d’erreurs humaines mais également d’un nombre important de demandes reçues en 2020 ainsi que d’un contexte perturbé lié à la crise sanitaire. Elle indique que si elle n’a pas pris en compte dans le délai imparti certaines demandes d’accès, c’est en raison de difficultés rencontrées pour obtenir ces informations auprès de ses partenaires commerciaux, de sorte qu’elle s’est trouvée dans l’incapacité d’informer correctement les plaignants sur la source de leurs données. La société indique avoir révisé son processus interne de gestion des demandes d’exercice de droit afin de prévenir la répétition de tels incidents et avoir renforcé la communication auprès des équipes concernant le traitement des demandes. Elle fait valoir qu’après des recherches approfondies une réponse a pu être apportée à Messieurs […] […] et […] et qu'elle a supprimé l’ensemble des données les concernant. 43. La formation restreinte relève que la société disposait d’informations relatives aux plaignants, mais qu’en raison de dysfonctionnements internes elle n’a pas traité de manière satisfaisante les différentes demandes. Elle considère que la société ne saurait se prévaloir de ses difficultés dans l’obtention d’informations auprès de ses partenaires commerciaux pour justifier l’absence de réponse fournie aux demandeurs dans le respect des dispositions applicables. En effet, la société fait appel à de nombreux partenaires commerciaux pour la fourniture de données de prospects et il lui appartient, dès lors, de s’organiser pour être en mesure d’assurer un traitement rigoureusement conforme des demandes d’accès et, notamment, fournir une information sur l’origine des données. Ces droits constituent un élément central de la maîtrise des personnes sur le traitement de leurs données à caractère personnel. La société pouvait en outre procéder en plusieurs fois pour communiquer les données dont elle disposait immédiatement dans le délai d’un mois. 44. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations de l’article 15 est constitué pour l’ensemble des plaintes précitées dès lors que la société n’a pas traité les demandes d’accès qui lui ont été adressées dans le délai qui lui était imparti, laissant ainsi les personnes dans l’ignorance des données traitées par la société et les concernant. 45. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 15 du RGPD. 3. Sur le manquement relatif à l’obligation de respecter le droit d’opposition (article 21 du RGPD) 46. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 21 du RGPD, se fonde sur six saisines de la CNIL, émanant de Mesdames […] (plainte n° […]) et […] (plainte n° […]) et de Messieurs […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]) et […] (plainte n° […]), dans le cadre desquelles les plaignants faisaient état de leurs difficultés dans l’exercice de leur droit d’opposition à la prospection commerciale. 47. Le rapporteur indique que ces six saisines concernent des demandes de suppression de données afin de ne plus recevoir d’appels de prospection commerciale et la poursuite de sollicitations commerciales nonobstant l’exercice du droit d’opposition au traitement des données pour cette finalité. 48. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que les plaignants n’ont, soit pas obtenu de réponse à leurs demandes d’opposition formulées par lettres recommandées et dont la société avait pourtant accusé réception, au motif qu’elles n’avaient pas été adressées à la cellule chargée de leur traitement, soit ont été informés de la prise en compte de leurs demandes par la société qui leur a confirmé la suppression de leurs données à caractère personnel, mais sans mettre en œuvre les mesures permettant de satisfaire leurs demandes d’opposition, dès lors qu’ils ont continué à recevoir des appels téléphoniques dans les mois qui ont suivi leurs demandes. Il ajoute que pour l’une des demandes d’opposition au traitement des données à caractère personnel à des fins de prospection, la plaignante n’a obtenu aucune satisfaction alors qu’elle avait été reçue par la société. 49. En défense, la société fait d’abord valoir que l’impact sur les droits et libertés des personnes concernées est limité et qu’il convient de mettre ces plaintes en perspective avec le traitement satisfaisant des très nombreuses autres demandes gérées par la société durant l’année 2020. Elle ajoute ensuite que, dans ces cas précis, le non-respect des procédures mises en place par la société était dû à des erreurs humaines d’agents qui n’ont pas toujours eu les réactions adéquates et n’ont pas suivi les procédures imposées. Il s’explique également en raison du contexte perturbé à l’époque des faits, dû à la crise sanitaire, qui a bouleversé l’organisation en place et complexifié les échanges entre les services de la société. 50. La société relève que trois demandes n’ont pas été adressées à la cellule chargée de leur traitement. Elle reconnaît avoir réceptionné les courriers. Cependant, elle souligne que le fait que les demandes n’aient pas été transmises à la cellule dédiée et que la personne qui a réceptionné les courriers n’ait pas su identifier leur objet, et ne les ait donc pas transmis à la cellule dédiée, explique leur absence de traitement. 51. Sur ce point, la formation restreinte considère que s’il n’est pas contesté que les plaignants n’ont pas adressé leurs demandes directement à la cellule en charge d’y répondre, il n’en demeure pas moins qu’il appartenait à la société, dès lors que les demandes, dont l’une était directement adressée au délégué de la protection des données, ont bien été réceptionnées par cette dernière et qu’elles étaient claires en leurs termes, de les traiter dans les délais prévus par le RGPD et de veiller à cet effet à ce qu’elles soient transmises au service compétent. En effet, si la mise en œuvre de mesures organisationnelles permettant de faciliter l’exercice des droits des personnes – telle que la mise en place de cette cellule dédiée – est conforme aux exigences et objectifs poursuivis par le RGPD, cela ne saurait en revanche exonérer la société de son obligation de répondre aux demandes qui lui sont faites par courrier même si elles ne lui sont pas adressées par le canal prévu à cet effet, a fortiori lorsque, comme c’est le cas en l’espèce, le contenu de la demande est clair. 52. La formation restreinte relève que, même si la société indique avoir pris en compte les demandes des plaignants, mais ne pas les avoir satisfaites en raison d’erreurs humaines ou de problèmes techniques, ce n’est pas pour autant qu’elle y a apporté une réponse satisfaisante puisque les plaignants ont continué à recevoir des appels téléphoniques de prospection commerciale. 53. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations qui découlent de l’article 21 du RGPD est constitué dès lors que la société n’a pas pris en compte l’opposition des personnes concernées par le traitement de leurs données à caractère personnel. 54. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 21 du RGPD. 55. Sur les mesures correctrices et leur publicité Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. " Aux termes de l’article 83 du RGPD : " 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende. 56. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas nécessaire et ne serait pas proportionnée au regard des faits qui lui sont reprochés. 57. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. 58. La formation restreinte considère d’abord que la société a fait preuve d’une négligence certaine s’agissant de principes fondamentaux du RGPD puisque cinq manquements sont constitués, portant notamment sur l’information et les droits des personnes. La formation restreinte ajoute que plusieurs manquements ont donné lieu à des plaintes. 59. La formation restreinte relève ensuite que la société est un acteur particulièrement important du secteur de la production et de la fourniture d’énergies puisqu’elle dénombrait, en 2021, environ 8 millions de clients et prospects, ce qui la classait au […] en France. Elle dispose donc de ressources importantes lui permettant de traiter les questions de protection des données personnelles. 60. La formation restreinte observe également que la société a recours très largement à la prospection commerciale réalisée par voie téléphonique ou par courriels. 61. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués à l’article L. 34-5 du CPCE et aux articles 12, 14, 15 et 21 du RGPD. 62. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. En l’espèce, la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE à l’égard des 4,6 millions de prospects, comptabilisés en septembre 2020, et pour lesquels une souscription, réalisée à partir du formulaire en ligne, était en cours. Outre les manquements liés à la prospection commerciale réalisée par la société qui ont été constatés dans le cadre du contrôle, la formation restreinte observe que les plaintes révélant l’existence de manquements apparaissent peu nombreuses – en effet, leur nombre, de dix-huit, doit être rapporté au nombre de clients et prospects d’environ 8 millions –, de sorte que ces manquements ne peuvent être regardés comme ayant un caractère systémique. 63. La formation restreinte rappelle également que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2020 pour un résultat net s’élevant à […] euros. 64. La formation restreinte acte par ailleurs les efforts réalisés par la société pour se mettre en conformité tout au long de la procédure. 65. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative d’un million d’euros apparaît justifié. 66. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du CPCE et des articles 12, 14, 15 et 21 du RGPD a été proposée par le rapporteur lors de la notification du rapport. 67. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonction du rapporteur. 68. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité de ses traitements avec les dispositions de l’article L. 34-5 du CPCE et des articles 12, 14, 15 et 21 du RGPD. Elle considère dès lors qu’il n’y a pas lieu de prononcer d’injonction. 69. En dernier lieu, s’agissant de la publicité de la décision de sanction, la société soutient qu’une telle mesure serait disproportionnée au regard du caractère limité des manquements allégués et de sa mise en conformité. Elle considère également que la publication de la sanction aurait un impact significatif en termes d’image pour la société et qu’elle serait favorable à ses principaux concurrents, sur un marché très concurrentiel. La formation restreinte considère que la publicité de la sanction se justifie au regard de la nature des manquements qui portent essentiellement sur les traitements de millions de données, réalisés dans le cadre de campagnes de prospection commerciale et notamment sur l’information délivrée aux personnes concernées, ainsi que sur les modalités d’exercice des droits. Elle estime par ailleurs que cette mesure permettra d’informer les personnes concernées de l’existence passée des manquements sanctionnés, dans la mesure notamment où ces faits ont fait l’objet de plusieurs plaintes. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la société X une amende administrative d’un montant de 1 000 000 (un million) d’euros pour les manquements à l’article L. 34-5 du CPCE et aux articles 12, 14, 15 et 21 du RGPD ; • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.


Décision du 7 novembre 2024 relative à l'organisation des services de la Commission nationale de l'informatique et des libertés

La présidente de la Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes ; Vu l'avis du comité social d'administration de la Commission nationale de l'informatique et des libertés en date du 14 octobre 2024, Décide : Article 1 Les services de la Commission nationale de l'informatique et des libertés sont organisés en sept directions et un secrétariat général : - la direction des relations avec les publics ; - la direction de l'accompagnement juridique ; - la direction des technologies, de l'innovation et de l'intelligence artificielle ; - la direction de l'exercice des droits et des plaintes ; - la direction des contrôles et des sanctions ; - la direction des systèmes d'information ; - la direction administrative et financière. Les attributions des directions sont fixées par les articles suivants. Article 2 Sous l'autorité du président, le secrétariat général encadre l'ensemble des services et coordonne l'action de la commission. A ce titre, notamment, il organise le fonctionnement du collège de la commission ainsi que de sa formation restreinte. Il assure l'exécution des délibérations et des décisions du président. Il assure l'animation transverse et la coordination inter-directionnelle des dossiers d'intérêt commun. Il veille à l'unité de la doctrine de l'institution. Il représente le président de la commission devant les autorités administratives en France et à l'étranger. Le secrétariat général supervise plus particulièrement l'activité des services et missions qui lui sont directement rattachés : - le service des affaires européennes et internationales coordonne et défend les positions de la commission dans les enceintes européennes et internationales, participe aux travaux européens intéressant la commission et contribue à renforcer la coopération européenne avec les homologues de la commission ; - le service de la communication est chargé de concevoir et de mettre en œuvre les actions de communication, d'information et de promotion de la commission, en interne comme en externe ; - la mission qualité, performance, risques est chargée, en lien avec les directions, de contribuer à la mise en œuvre des orientations stratégiques et opérationnelles de la commission et à leur supervision, en veillant au respect d'un cadre de conformité, de maîtrise des risques, de qualité et d'efficacité du service rendu ; - le service de la gestion de la connaissance est chargé de la capitalisation et de la gestion du patrimoine normatif et doctrinal de la commission, à la fois dans les ressources documentaires internes de la commission et sur le site Légifrance. Il réalise une veille juridique et technique sur la protection des données à caractère personnel. Il supervise la constitution des archives internes à la commission et leur versement aux archives nationales ; - le cabinet du secrétariat général assiste le président et les secrétaires généraux dans leurs interventions et prises de positions, en étroite relation avec les interlocuteurs institutionnels de la commission au niveau français et européen. Il assure également un rôle d'expertise juridique sur des dossiers transverses, les relations avec le Parlement et les principaux acteurs de la vie politique, et la réalisation d'une veille sur les questions parlementaires et institutionnelles. Article 3 La direction des relations avec les publics est chargée de définir et de mettre en œuvre la politique d'information et de sensibilisation des différents publics de la commission en ce qui concerne la protection des données à caractère personnel. Elle enregistre les courriers et demandes adressés à la commission en vue de leur attribution aux services compétents. Elle assure le standard téléphonique de la CNIL. Elle informe les différents publics, particuliers et professionnels, qui sollicitent la commission, dans une approche multicanale (courrier postal, web, téléphone). Elle définit la stratégie de sensibilisation du grand public aux enjeux de la protection de la vie privée et à l'exercice des droits en matière de protection des données à caractère personnel. Elle pilote les actions de promotion d'une culture de la protection des données et de l'éducation citoyenne au numérique auprès des publics, notamment par des actions dans les territoires. Elle contribue, en particulier, à la protection des mineurs, notamment en ligne. Elle développe un réseau de partenariats et des collaborations avec des institutions publiques et d'autres acteurs privés et associatifs propres à accroitre l'impact de ses actions de sensibilisation. A cet effet, elle gère notamment le comité Educnum. Elle comprend : - le service d'information du public qui répond aux demandes d'information écrites et par téléphone posées par les publics, particuliers et professionnels. Il travaille en étroite collaboration avec les autres services afin d'alimenter les réflexions et d'adapter les actions de la commission ; - le service de sensibilisation du public, qui a pour mission de toucher tous les publics en leur délivrant une information sur la protection des données, sur la vie privée et le numérique. Il produit des ressources et contenus adaptés au grand public. Article 4 La direction de l'accompagnement juridique est chargée de proposer et mettre en œuvre la politique d'accompagnement des organismes publics et privés dans leur démarche de mise en conformité vis-à-vis de la réglementation relative à la protection des données à caractère personnel. Elle élabore, en concertation avec les autres directions, la doctrine de la commission via la production d'instruments de droit souple (recommandations, référentiels, etc.) et produit des outils d'accompagnement et de formation ainsi que tout document destiné à aider les professionnels. Elle intervient, avec le service de l'intelligence artificielle, dans l'encadrement des systèmes d'intelligence artificielle. Elle développe et anime des partenariats et des réseaux avec des professionnels afin de promouvoir les principes de protection des données à caractère personnel. Elle pilote la promotion et le déploiement des nouveaux outils de conformité (AIPD, certification, code de conduite, etc.) prévus par le règlement général à la protection des données (RGPD). Elle accompagne de manière individualisée certains professionnels dans leurs projets de mise en conformité. Dans ce cadre, elle développe des programmes d'accompagnement et anime le réseau des délégués à la protection des données. Elle instruit les demandes d'autorisations prévues par la loi informatique et libertés , et les demandes d'avis sur des projets ou propositions de lois, ou de textes règlementaires adressés par le gouvernement. Elle participe au conseil des pouvoirs publics. Elle prépare, en lien avec les rapporteurs, les projets de délibération ou de communication soumis à l'examen du collège. Elle participe à la coopération européenne et représente la commission dans des sous-groupes du Comité européen de la protection des données (CEPD). Outre les agents directement rattachés aux directeurs, la direction comprend : - le service des délégués et de l'accompagnement, qui est en charge des relations avec les délégués à la protection des données (réponses à leurs sollicitations, conseils juridiques et pratiques sur le métier). Il est chargé du déploiement et de la supervision des activités innovantes d'accompagnement (bac à sable notamment) et de formation des professionnels (cours en ligne ouverts à tous, webinaires, journées RGPD en région, etc.) ; - le service des outils de la conformité, qui promeut et pilote le déploiement des outils de conformité prévus par le RGPD, y compris au niveau européen. Il instruit les dossiers de règles contraignantes d'entreprises et participe à la mise en place des mécanismes de certification, des codes de conduites et évalue les analyses d'impact (AIPD) soumises à consultation ; - le service de l'économie numérique et du secteur financier, qui est en charge de la création de la doctrine juridique au bénéfice des secteurs commerce et marketing, médias et communications électroniques, du secteur financier (banques et assurances), des acteurs privés qui interviennent dans le secteur des transports et des fournisseurs de solutions technologiques innovantes pour ces secteurs. Il accompagne et conseille ces acteurs, plus particulièrement en répondant à leurs demandes de conseil et en organisant des concertations en vue de l'élaboration de recommandations pratiques. Il fournit un soutien aux différents services de la Commission sur ces sujets et intervient dans les travaux européens relevant de sa compétence ; - le service des affaires sociales, des collectivités territoriales, du sport et de l'environnement, qui accompagne les acteurs publics et privés intervenant dans les secteurs travail, solidarités, sport, habitat, eau, énergie, transports publics et agriculture. Il accompagne et conseille les collectivités territoriales dont il est l'interlocuteur privilégié ; - le service des affaires régaliennes et des libertés publiques, qui conseille les organismes publics et privés principalement dans les secteurs de la police, de la justice, des finances publiques, de l'éducation nationale et de la recherche. Il est l'interlocuteur privilégié des ministères concernés et prépare notamment les avis sur des projets de textes touchant aux libertés publiques ; - le service de la santé, qui accompagne les organismes publics et privés intervenant dans les secteurs de la santé et du système de soins, de l'assurance maladie, ainsi que de la recherche médicale. Il instruit, en lien avec le service de l'expertise technologique, les formalités préalables en matière de traitement de données de santé et propose des référentiels destinés à encadrer et simplifier ces démarches. Article 5 La direction des technologies, de l'innovation et de l'intelligence artificielle est chargée de mettre à la disposition de l'ensemble des services de la commission son expertise technologique et informatique et de partager, en interne et en externe, les enjeux d'innovation et de prospective. Elle contribue, sous l'angle de l'analyse technique et de sécurité, aux projets de délibérations ou de communications soumis à l'examen du collège, ainsi qu'aux dossiers le nécessitant soumis par la direction de l'exercice des droits et des plaintes et la direction des contrôles et des sanctions. Elle concourt à l'élaboration de la doctrine de la commission en concertation avec les autres directions. Elle conçoit des outils à destination des responsables de traitement, des usagers et des services de la commission afin de mieux appréhender les nouvelles technologies. Elle gère et traite les notifications de violations de données à caractère personnel reçues par la commission. Elle est chargée d'appréhender le fonctionnement des systèmes d'intelligence artificielle et leurs impacts pour les personnes et, en collaboration avec la direction de l'accompagnement juridique, de guider le développement de systèmes respectueux de la vie privée. Elle réalise une veille et analyse les usages du numérique et les innovations technologiques au regard de leurs enjeux en termes de vie privée et de libertés individuelles, et réalise des expérimentations et des études. Elle met en place des collaborations avec les écosystèmes d'innovation du numérique et des partenariats académiques, notamment afin de développer les capacités d'analyse technique de la commission et de nourrir les débats de société sur les enjeux éthiques des données. Elle anime un comité de la prospective, composé de chercheurs et de personnalités qualifiées, destiné à éclairer la commission. Elle développe des analyses économiques, dans les champs de l'économie de la vie privée, l'économie des données ou encore de l'économie de la régulation, pour éclairer les décisions de la commission ainsi que l'évaluation de ses décisions. Elle comprend : - le service de l'expertise technologique qui est chargé de fournir à la commission une compréhension des technologies numériques sous l'angle notamment de leur sécurité informatique (applications mobiles, informatique en nuage, vérification d'identité à distance, vote électronique, etc.), et de leurs enjeux en matière de protection de la vie privée. Il est également en charge du traitement des notifications de violation de données à caractère personnel ; - le service de l'intelligence artificielle qui est chargé de mettre en œuvre la régulation technique et juridique de l'intelligence artificielle en lien avec les services sectoriels compétents de la direction de l'accompagnement juridique, de faciliter au sein de la commission, mais aussi pour les professionnels et les particuliers, la compréhension du fonctionnement des systèmes d'IA, et de développer les relations avec les acteurs de l'écosystème ; - le service laboratoire d'innovation numérique de la CNIL qui explore les différents sujets liés à la protection des données à caractère personnel (veille, publications, scénarios prospectifs), échange avec les écosystèmes d'innovation et de la recherche, expérimente et crée des outils à destination du public et de la commission ; - la mission d'analyse économique qui développe des analyses théoriques et empiriques pour éclairer les décisions de la commission. Elle contribue à la compréhension des modèles d'affaires et à l'étude de l'impact économique des choix de régulation. Elle est également chargée de favoriser la coopération avec les autres régulateurs économiques et financiers ainsi qu'avec les acteurs économiques. Article 6 La direction de l'exercice des droits et des plaintes est chargée de traiter les réclamations et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association. La direction instruit également les signalements émis par les lanceurs d'alerte concernant la protection des données à caractère personnel, en lien avec la direction des contrôles et des sanctions. Elle traite les demandes d'exercice indirect des droits portant sur les fichiers soumis à ce régime spécifique, en lien avec les commissaires, membres de la commission chargés de procéder, pour le compte des personnes, aux vérifications nécessaires. Elle répond aux demandes d'avis des autorités judiciaires en lien avec ses missions. Elle participe à la coopération européenne et représente la commission dans des sous-groupes du Comité européen de la protection des données. La direction contribue à la mise en œuvre de la stratégie répressive de la commission en lien étroit avec la direction des contrôles et des sanctions, propose des dossiers à orienter vers la procédure de sanction simplifiée et concourt à l'élaboration de la doctrine de la commission en concertation avec les autres directions. Outre les agents directement rattachés à la direction, elle comprend : - le service de l'exercice des droits et des plaintes qui assure l'analyse, l'instruction et le suivi de plaintes reçues par la commission et traite les demandes d'exercice de droits indirect portant sur les fichiers soumis à ce régime spécifique ; - le service des plaintes - affaires publiques, sociales et financières, et le service des plaintes - affaires numériques et commerciales. Ces deux services assurent l'analyse, l'instruction, le suivi de plaintes reçues par la commission et participent à la coopération européenne. Article 7 La direction des contrôles et des sanctions est chargée de définir et de mettre en œuvre les politiques de contrôles et de sanctions de la commission, en lien étroit avec la direction de l'exercice des droits et des plaintes. Elle élabore un programme annuel des contrôles à l'intention du président et réalise les contrôles décidés par lui, en procédant à des investigations sur place, en ligne, sur audition ou sur pièces. Elle examine les signalements de violations de données et, le cas échéant, intervient auprès des responsables de traitement concernés pour y mettre fin. Elle instruit les mesures correctrices et les procédures de sanctions, ordinaires ou simplifiées. Elle prépare les dossiers de procédures de sanctions soumis à l'examen de la formation restreinte de la commission ou de son président et en assure le suivi. Elle gère la majeure partie des activités contentieuses de la commission (notamment en lien avec les recours introduits devant les juridictions). Elle participe à la coopération européenne avec les homologues des autorités de protection des données et représente la commission dans des sous-groupes du Comité européen de la protection des données. La direction contribue à la mise en œuvre de la stratégie répressive de la commission et concourt à l'élaboration de la doctrine de la commission en concertation avec les autres directions. Elle comprend : - le service des contrôles - affaires économiques et le service des contrôles - RH, santé et affaires publiques. Ces deux services réalisent, dans leurs domaines respectifs, les missions de vérification décidées par le président afin d'examiner la conformité à la règlementation des traitements de données à caractère personnel mis en œuvre par tout type d'organisme, et les suites à y apporter. Ils contribuent au programme annuel des contrôles. Ils participent également à l'instruction des plaintes, à la coopération européenne, à la mise en place de la politique répressive, et rédigent des mesures correctrices ; - le service des sanctions et du contentieux 1 et le service des sanctions et du contentieux 2. Ces deux services rédigent des mises en demeure et des rapports proposant des sanctions à la formation restreinte de la commission et à son président (procédure de sanction simplifiée). Ils assurent la rédaction des mémoires et documents devant être produits devant les juridictions dans le cadre du contentieux de la commission. Ils contribuent également aux actions de communication de l'institution, participent à la coopération européenne (via notamment l'examen de projets de décisions européens) et répondent aux demandes d'avis des autorités judiciaires. Article 8 La direction des systèmes d'information est chargée de définir et de mettre en œuvre les conditions opérationnelles des systèmes d'information de la commission, de leur conception à leur maintenance. Elle s'assure du bon fonctionnement des téléservices et des sites internet de la commission, ainsi que de leurs évolutions. Elle identifie, propose, développe et acquiert des outils utiles à l'accomplissement de leurs missions par les agents de la commission. Elle pilote également, en collaboration avec les directions métiers, les projets d'évolution des systèmes techniques et applicatifs conformément au schéma directeur du système d'information. En collaboration avec la mission qualité, performance, risques, notamment du responsable de la sécurité des systèmes d'information, elle assure la sécurité des systèmes d'information de la commission et des données qu'elle traite, ainsi que leur disponibilité. Elle assure enfin le support aux utilisateurs. Elle comprend : - le service des projets, applications et développements qui développe et maintient un ensemble d'applications permettant le bon fonctionnement de la commission ; - le service des infrastructures, de la sécurité et du support qui administre les réseaux et les systèmes de la commission, assure leur sécurité informatique ainsi que le support aux utilisateurs. Article 9 La direction administrative et financière est chargée de gérer les personnels et les moyens de la commission. Elle propose et met en œuvre la politique budgétaire et comptable de la commission, prépare le budget et en assure l'exécution financière et le suivi. Elle conçoit et conduit la politique d'achat de la commission dans le respect des règles et procédures de la commande publique. Elle gère les activités des moyens généraux en soutien des services. La direction met en œuvre la politique de gestion des ressources humaines. Elle assure la gestion administrative et budgétaire des emplois en matière de recrutement, rémunération, carrière et formation. Elle met en œuvre la politique d'accompagnement personnalisé des parcours professionnels. Elle assure le bon fonctionnement des instances de concertation et de relations sociales. Elle coordonne la politique sociale et la prévention en faveur des personnels. Elle comprend : - le service des ressources humaines qui assure la gestion des emplois, des carrières et de la formation, le bon fonctionnement des instances de concertation et de relations sociales, l'accompagnement personnalisé des agents dans leurs projets d'évolution professionnelle et gère également le budget d'emplois. Les crédits de masse salariale sont gérés en collaboration avec le service des finances ; - le service des finances, de la commande publique et des moyens généraux qui met en œuvre le budget de la commission, assure son suivi, et veille au respect des règles de la commande publique pour l'ensemble des achats. Il gère également l'ensemble des activités visant au bon fonctionnement des services (déplacements et missions, courrier, reprographie, gestion des fournitures et du mobilier, relations avec l'exploitant du bâtiment, organisation logistique des évènements, véhicules). Article 10 L'entrée en vigueur de l'organisation des services de la Commission nationale de l'informatique et des libertés telle que définie dans la présente décision se fera de manière progressive jusqu'à fin juillet 2025. Article 11 Le secrétaire général est chargé de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française. Fait à Paris, le 7 novembre 2024. M.-L. Denis


Délibération n° 2024-086 du 28 novembre 2024 portant avis sur un projet de décret relatif à la protection des travailleurs contre les risques dus aux rayonnements ionisants et portant adaptation des dispositions du code du travail en application de la loi n° 2024-450 du 21 mai 2024 relative à l'organisation de la gouvernance de la sûreté nucléaire et de la radioprotection pour répondre au défi de la relance de la filière nucléaire

N° de demande d'avis : 24015815. Thématiques : décret NIR, SISERI, radioprotection, dosimétrie Organisme(s) à l'origine de la saisine : direction générale du travail (DGT) Fondement de la saisine : article 8.I.4°.a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : Le projet de décret assure la cohérence des textes liés à la fusion de l'Institut de radioprotection et de sûreté nucléaire (IRSN) et de l'Autorité de sûreté nucléaire (ASN) en une Autorité de sûreté nucléaire et de radioprotection (ASNR). La CNIL estime que les durées maximales de conservation des données traitées dans le traitement SISERI, dont la gestion est confiée à l'ASNR, devraient être précisées. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8.I.4°.a) ; Après avoir entendu le rapport de Mme Marie-Laure Denis, présidente, et les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La loi n° 2024-450 du 21 mai 2024 relative à l'organisation de la gouvernance de la sûreté nucléaire et de la protection pour répondre au défi de la relance de la filière nucléaire a prévu la fusion de l'Institut de radioprotection et de sûreté nucléaire (IRSN) et de l'Autorité de sûreté nucléaire (ASN). Les missions de ces deux organismes sont désormais confiées à l'Autorité de sûreté nucléaire et de radioprotection (ASNR). B. - L'objet de la saisine Le projet de décret soumis à la CNIL pour avis par la Direction générale du travail vise à mettre en cohérence plusieurs textes règlementaires, notamment le décret n° 2019-341 du 19 avril 2019 (ci-après décret NIR ) et des parties du code du travail encadrant le traitement Système d'information de la surveillance des expositions aux rayonnements ionisants (ci-après SISERI ). II. - L'avis de la CNIL A. - Sur la modification du décret NIR L'article 3 du projet de décret prévoit la modification de l'article 2.B.9° du décret NIR qui autorise l'IRSN à traiter le NIR pour sa mission de centralisation, d'exploitation et de conservation des informations relatives à la surveillance de l'exposition des travailleurs aux rayonnements ionisants et à leur suivi médical . La réforme conduisant à la disparition de l'IRSN, le projet prévoit que dorénavant, le traitement du NIR à ces mêmes fins pourra être effectué par l'ASNR ainsi que par les organismes accrédités ou autorisés mentionnés à l'article R. 4451-66 du code du travail . Interrogé sur le point de savoir quels sont précisément les organismes susceptibles de faire l'objet d'une accréditation au sens des articles R. 4451-65 et R. 4451-66 projetés, le ministère a indiqué que la procédure d'accréditation est actuellement régie par le 6° de l'article R.4451-73 du code du travail, non modifié par le texte soumis à l'avis de la CNIL. Par ailleurs, l'arrêté du 26 juin 2019 relatif à la surveillance individuelle de l'exposition des travailleurs aux rayonnements ionisants , pris pour l'application du 6° de l'article R. 4451-73 du code du travail précise à cet égard dans son article 24 que peuvent faire l'objet de l'accréditation mentionnée à l'article R. 4451-65 du code du travail les organismes de dosimétrie, les services de santé au travail ou les laboratoires de biologie médicale . Au regard de ces éléments, la CNIL estime que le projet de décret devrait être modifié de manière à y préciser le périmètre de ces organismes accrédités. B. - Sur la modification des dispositions relatives au traitement SISERI La réforme entraine la modification du responsable du traitement SISERI , dont la gestion est désormais confiée à l'ASNR. Ce traitement centralise, consolide et conserve l'ensemble des résultats issus de la surveillance dosimétrique individuelle dans le cadre de la protection des travailleurs contre les risques dus aux rayonnements ionisants. Les données de SISERI sont, sous certaines conditions, accessibles notamment aux professionnels de santé au travail assurant le suivi individuel de l'état de santé du travailleur ainsi qu'aux conseillers en radioprotection. L'article 1er du projet soumis à la CNIL prévoit de mettre à jour le code du travail reprenant pour l'essentiel les dispositions existantes, tout en y apportant plusieurs modifications. Interrogé sur ce point, le ministère a indiqué que les modifications n'ont pas pour objet ni pour effet de faire évoluer les caractéristiques du traitement SISERI, telles que les finalités de traitement, les catégories de données traitées et leur granularité, les durées de leur conservation, les modalités d'information des personnes et de l'exercice des droits, qui demeurent constantes, mais uniquement à assurer sa cohérence avec le transfert de compétences de l'IRSN et de l'ASN vers l'ASNR. Toutefois, ces dispositions appellent les observations suivantes. a) Sur la durée de conservation des données Le projet d'article R. 4451-130 nouveau du code du travail prévoit, dans sa partie III, que les données nominatives des salariés seront conservées dans le traitement SISERI pour une durée minimale de cinquante ans à compter de la dernière exposition du travailleur concerné . Il s'agit d'une rédaction à droit constant, identique à celle de l'article R. 4451-127 actuel du code du travail. La CNIL relève que ce texte ne prévoit pas de limite de la durée de conservation. Le ministère a indiqué que le choix de cette durée de conservation a été motivé par la nécessité de respecter la définition réglementaire de la dose efficace engagée visée à l'article 4.14) de la Directive 2013/59/EURATOM du Conseil du 5 décembre 2013. En effet, selon ce texte (…) aux fins du respect des limites de dose spécifiées dans la présente directive, τ est une période de 50 ans après incorporation pour les adultes, et le nombre d'années restant jusqu'à l'âge de 70 ans pour les nourrissons et les enfants. Par ailleurs, l'article 43.3 de la directive exige que les résultats de la surveillance radiologique individuelle soient conservés pendant toute la durée de la vie professionnelle de l'intéressé comportant une exposition aux rayonnements ionisants, puis jusqu'au moment où celui-ci a ou aurait atteint l'âge de 75 ans, et en tout état de cause pendant une période d'au moins trente ans à compter de la fin de l'activité professionnelle comportant une exposition. Le ministère précise que les durées de conservation figurent dans l'arrêté du 23 juin 2023 relatif aux modalités d'enregistrement et d'accès au système d'information et de surveillance de l'exposition aux rayonnements ionisants SISERI , particulièrement à son article 6. Pour tenir compte des observations de la CNIL, le ministère propose de modifier la rédaction du III du projet d'article R. 4451-130 comme suit : III. - L'ensemble des données et informations mentionnées au I sont conservées dans le traitement “SISERI” pour une durée minimale de cinquante ans et pour une durée maximale de soixante ans à compter de la dernière exposition du travailleur concerné. Les données et informations non identifiantes nécessaires à la réalisation d'études ou de recherches portant sur l'exposition des travailleurs aux rayonnements ionisants sont conservées pour une durée maximale de cent ans. La CNIL accueille favorablement cette proposition. Elle rappelle à cet égard que, conformément à l'article 14.2 du RGPD, il incombera à l'ASNR, en sa qualité de responsable du traitement SISERI, de fournir notamment aux personnes concernées une information concernant la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée . b) Sur le traitement des données de la dose efficace Le projet d'article R. 4451-130.I.2° du code du travail prévoit que les catégories de données susceptibles d'être enregistrées dans SISERI comprennent notamment les données de santé relatives à l'exposition des travailleurs aux rayonnements ionisants et aux conditions de cette exposition en milieu de travail . Rentrent notamment dans cette catégorie les informations relatives à la dose efficace d'irradiation reçue par les travailleurs. Conformément aux dispositions de l'article 15 du RGPD, les personnes concernées ont, lorsque des données de dose efficace font effectivement l'objet de traitement dans SISERI, le droit d'obtenir du responsable de traitement l'accès à ces données. La rédaction actuelle de l'article R. 4451-67 du code du travail prévoit à cet égard que le travailleur a accès à tous les résultats issus de la surveillance dosimétrique individuelle dont il fait l'objet ainsi qu'à la dose efficace le concernant. Or, la modification projetée prévoit de modifier ce texte de manière à en retirer les mots ainsi qu'à la dose efficace le concernant . Une telle modification suggérerait que dorénavant, les intéressées ne pourront plus avoir accès à cette donnée. Le ministère a indiqué que la modification était purement rédactionnelle et n'impacte en rien le fonctionnement du traitement SISERI, lequel continuera de fournir aux personnes l'accès à l'ensemble des données traitées, et notamment aux divers calculs de la dose efficace. En effet : - les personnes concernées continueront à avoir accès à tous les résultats dosimétriques les concernant, y compris à la dose efficace ; - les catégories précises de données faisant l'objet de traitement et auxquelles les personnes concernées pourraient avoir accès, sont détaillées dans l'arrêté du 26 juin 2019 relatif à la surveillance individuelle de l'exposition des travailleurs aux rayonnements ionisants, si bien que l'article R.4451-67 du code du travail n'a pas à mentionner cette catégorie spécifiquement. La CNIL prend note de ces précisions, qui n'appellent pas d'observations de sa part. Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2024-078 du 7 novembre 2024 portant avis sur un projet de décret relatif au système d'information du compte personnel de formation, au traitement de données à caractère personnel dénommé « Mon Activité de Formation » et à l'accès de la Caisse des dépôts et consignations à diverses données

N° de demande d'avis : 24010025 Thématiques : compte professionnel de formation, contrôle et référencement des organismes de formation, lutte contre la fraude Organisme(s) à l'origine de la saisine : ministère du Travail et de l'Emploi Fondement de la saisine : article 8. I. 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : Les traitements relatifs au système d'information du compte personnel de formation ( SI-CPF ) et à Mon Activité Formation ( MAF ) répondent à de nouvelles finalités relatives au contrôle et au référencement des organismes de formation par la Caisse des dépôts et consignations et à la lutte contre la fraude. La CNIL considère que la publication des données relatives aux déréférencements des organismes de formation constitue une finalité propre qui devrait être mentionnée explicitement dans le projet de décret. Elle recommande au ministère de distinguer les catégories de données à caractère personnel nécessaires d'une part, pour la gestion et le contrôle des droits acquis au titre du CPF, et d'autre part, de celles nécessaires aux fins du contrôle et du référencement des organismes de formation, et de lutte contre la fraude. Elle prend acte de l'engagement du ministère de modifier la durée de conservation des données collectées dans le traitement MAF aux fins des missions d'audit et de contrôle de la Commission européenne. La CNIL invite le ministère à mettre en cohérence le projet de décret avec les autres textes réglementaires en lien avec les traitements SI-CPF et MAF. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8. I. 4°, a ; Après avoir entendu le rapport de Mme Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Tout actif de plus de seize ans ainsi que les apprentis dès l'âge de quinze ans disposent d'un compte personnel d'activité (CPA) (article L. 5151-2 du code du travail). Celui-ci est composé d'un compte personnel de formation (CPF), d'un compte professionnel de prévention (C2P) et d'un compte engagement citoyen (CEC). Chaque titulaire de CPF peut également bénéficier d'un passeport d'orientation, de formation et de compétences (relatif aux formations et aux qualifications suivies en formation initiale ou continue, ainsi qu'aux acquis de l'expérience professionnelle) et d'un passeport de prévention (relatif aux attestations, certificats et diplômes obtenus dans le cadre de formations relatives à la santé et à la sécurité au travail). Chaque titulaire d'un CPA peut consulter les droits inscrits sur celui-ci et peut les utiliser sur MonCompteFormation (MCF), qui est une plateforme gratuite gérée par la Caisse des dépôts et consignations (CDC). Un référencement des organismes de formation est également mis en œuvre sur la plateforme MCF. Les droits inscrits sur le CPF sont gérés par le système d'information du compte personnel de formation (SI-CPF), mis en œuvre par la CDC. Les obligations de déclaration d'activité et de transmission du bilan pédagogique et financier auxquelles doivent se soumettre les organismes de formation, et qui constituent un préalable à leur référencement sur MCF, sont gérées par le système d'information Mon Activité Formation (MAF), mis en œuvre par la délégation générale à l'emploi et à la formation professionnelle pour le compte du ministère du travail et de l'emploi. B. - L'objet de la saisine Le projet de décret porte sur deux traitements de données à caractère personnel, le SI-CPF, pour lequel le ministère et la CDC sont responsables conjoints, et le MAF, dont le ministère est responsable. A ces traitements sont ajoutés de nouvelles finalités, consécutives au renforcement législatif des missions de contrôle et de référencement des organismes de formation par la CDC. Deux nouvelles finalités sont ajoutées pour le SI-CPF : - la vérification des conditions d'éligibilité des organismes de formation pour leur référencement ; et - le contrôle du respect des conditions générales d'utilisation (CGU) du SI-CPF ainsi que la mise en œuvre et le suivi des mesures visant à prévenir et sanctionner les manquements à ces CGU. Le projet de décret élargit l'analyse et l'évaluation des politiques publiques en matière de formation professionnelle aux dispositifs du passeport d'orientation, de formation et de compétences, du passeport de prévention et du compte d'engagement citoyen. Trois nouvelles finalités sont ajoutées au traitement MAF : - le contrôle administratif et financier des organismes de formation ; - les échanges d'informations relatives aux organismes de formation référencés entre les acteurs de la formation professionnelle ; et - la réalisation des procédures de décharge, d'audit et de contrôle liées à l'utilisation des fonds dans le cadre de la mise en œuvre des accords visés aux articles 15 et 23 du règlement (UE) 2021/241 du 12 février 2021. Le projet de décret met en cohérence les traitements SI-CPF et MAF au regard de ces nouvelles finalités. II. - L'avis de la CNIL A. - Observations communes à l'ensemble des traitements 1. Sur la mise en cohérence des autres textes réglementaires en lien avec les traitements SI-CPF et MAF Le projet de décret procède à plusieurs modifications règlementaires. A ce titre, il : - modifie le décret du 19 avril 2019 ( décret NIR ) pour permettre aux ministères, aux organismes certificateurs et financeurs de transmettre le NIR à la CDC (conseils départementaux et groupement d'intérêt public mentionné à l'article L. 6411-2 du code du travail) ; - prévoit la collecte de nouvelles données relatives aux responsables et aux membres du personnel des organismes de formation (celles relatives aux interdictions de gérer ou celles communiquées entre la Caisse des dépôts, les organismes de sécurité sociale et l'administration fiscale), compte tenu des nouvelles finalités du traitement SI-CPF ; - ajoute de nouveaux destinataires des données traitées dans le SI-CPF ; - prévoit que les traitements SI-CPF et MAF pourront être mis en relation avec de nouveaux traitements ne comportant pas le NIR. Les articles 4 et 5 du projet de décret prévoient notamment une alimentation du SI-CPF par le fichier national des permis de conduire et par le répertoire de gestion des carrières uniques afin de faciliter la collecte des données nécessaires à la constitution du passeport d'orientation, de formation et de compétences. La CNIL invite le ministère à mettre en cohérence les arrêtés du 11 octobre 2019, du 21 mai 2021 et du 9 juillet 2021 au regard des catégories de données collectées et de leurs destinataires dans le SI-CPF ainsi que des mises en relation prévues avec les traitements SI-CPF et MAF. 2. Sur l'information des personnes La CNIL rappelle que les mentions d'information du portail d'accès du site web moncompteformation.gouv.fr devront être mises à jour afin de prendre en compte l'évolution des cadres juridiques du SI-CPF et du MAF. 3. Sur la réalisation d'une analyse d'impact relative à la protection des données (AIPD) La CNIL prend acte de l'engagement du ministère de mettre à jour les AIPD existantes afin de prendre en compte les modifications des traitements SI-CPF et MAF. Elle rappelle que cette analyse doit être effectuée avant la mise en œuvre du projet de traitement en application de l'article 35 du RGPD. B. - Sur le traitement SI-CPF 1. Sur les finalités L'article 2 du projet de décret impose à la CDC une nouvelle obligation de communication des données relatives aux déréférencements des organismes de formation, qui doivent être rendues accessibles aux acteurs de la formation professionnelle au sein du SI-CPF. Or, le projet de décret n'indique pas cette nouvelle finalité à l'article R. 6323-33 du code du travail. La CNIL invite par conséquent le ministère à faire figurer explicitement cette finalité dans le projet de décret. 2. Sur les données collectées Compte tenu des nouvelles finalités du traitement SI-CPF de référencement, de contrôle et de lutte contre la fraude, de nouvelles données relatives aux responsables et aux membres du personnel des organismes de formation doivent être collectées (notamment des données relatives aux interdictions de gérer ou celles communiquées entre la Caisse des dépôts, les organismes de sécurité sociale et l'administration fiscale). Or, l'article R. 6323-34 du code du travail ne mentionne pas ces catégories de données. La CNIL invite ainsi le ministère à modifier l'article R. 6323-34 du code du travail afin d'y préciser les catégories de données relatives aux représentants et aux membres du personnel des organismes de formation collectées dans le cadre des nouvelles finalités du traitement SI-CPF. Par conséquent, l'arrêté du 11 octobre 2019 devra également être mis en cohérence. C. - Sur le traitement MAF 1. Sur les durées de conservation Le 2° de l'article 3 du projet de décret modifie l'article R. 6351-17 du code du travail afin d'adapter la durée de conservation des données au regard du règlement 2021/241 du 12 février 2021 octroyant à la Commission européenne des pouvoirs de contrôle et d'audit dans le cadre de l'utilisation de fonds de l'Union européenne. Le projet de décret précise que les données collectées à cette fin devraient être conservées pendant une durée de quatorze ans. La CNIL remarque que selon le règlement 2021/241 du 12 février 2021 les données doivent être conservées pendant une durée maximale de douze ans. La CNIL prend acte de l'engagement du ministère de modifier le projet de décret en conséquence pour indiquer ce nouveau délai de conservation des données. Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis