Délibération de la formation restreinte no SAN-2022-026 du 29 décembre 2022 concernant la société x

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ et Monsieur Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 20 juin 2022 ; Vu le rapport de Monsieur Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société X le 22 juillet 2022 ; Vu les observations écrites versées par la société X le 26 septembre 2022 ; Vu la réponse du rapporteur à ces observations notifiée le 21 octobre 2022 au conseil de la société ; Vu les observations écrites de la société X reçues le 21 novembre 2022 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte du 8 décembre 2022 : - Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ; En qualité de représentants de la société X : - […] La société X ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. Créée en 2013, la société X (ci-après " la société "), spécialisée dans l’édition de jeux pour téléphone, est une société par actions simplifiée dont le siège social est situé […]. En septembre 2021, le groupe X, qui comporte une vingtaine de sociétés, employait […] personnes en France, dont […] au sein de la société X. La société détient plusieurs filiales au sein de plusieurs États membres de l’Union européenne dont l’activité exclusive est le développement de jeux mobiles qui sont ensuite publiés et exploités par la société X. 2. En 2020, la société X a réalisé un chiffre d’affaires de plus de […] euros pour un résultat de près de […] euros. En 2021, son chiffre d’affaires s’est élevé à environ […] euros pour un résultat net supérieur à […] euros. 3. En application de la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021, une délégation de la Commission a procédé à un contrôle en ligne le 19 août 2021 à la fois sur " www.X.io " à partir d’un ordinateur et sur l’application "X" à partir d’un téléphone de marque APPLE. Il avait notamment pour objet de constater les cookies et traceurs déposés et/ou lus par la société X. A cette occasion, la délégation a suivi le parcours d’un utilisateur qui télécharge une application éditée par la société X puis l’ouvre pour la première fois sur son téléphone. Elle a constaté qu’à l’ouverture de l’application, une première fenêtre conçue par la société APPLE et dénommée " App Tracking Transparency " (ci-après " la sollicitation ATT ") est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. Ensuite, elle a constaté que quel que soit le choix exprimé par l’utilisateur en réponse à la " sollicitation ATT " une seconde fenêtre relative au suivi publicitaire effectué par X lui est présentée. La délégation a alors suivi deux scénarios, l’un dans lequel l’accord est donné à la " sollicitation ATT " et l’autre dans lequel la " sollicitation ATT " est refusée. Le procès-verbal n° 2021-194/1, dressé par la délégation à l’issue du contrôle, a été notifié à la société X le jour-même. 4. Le 2 septembre 2021, une mission de contrôle sur pièces a également été réalisée par l’envoi d’un questionnaire auquel la société a répondu le 21 septembre 2021. 5. Une demande de complément d’informations a été adressée à la société le 17 janvier 2022, laquelle y a répondu le 31 janvier 2022. 6. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur, le 20 juin 2022, sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 modifié. 7. Le 18 juillet 2022, à la demande du rapporteur et sur décision de la présidente de la CNIL, de nouvelles vérifications en ligne ont été réalisées à la fois sur le site " www.X.io " à partir d’un ordinateur et sur onze applications à partir d’un téléphone de marque APPLE, à savoir " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ;" X" et " X ", présentées sur le site web précité comme étant les plus téléchargées. 8. Le 22 juillet 2022, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés ") qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte, de cesser d’utiliser l’" identifier for vendors " (ci-après " IDFV ") des terminaux à des fins publicitaires en l’absence de consentement de l’utilisateur. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 9. Le 26 septembre 2022, la société a produit ses observations en réponse au rapport de sanction. 10. Le rapporteur a répondu aux observations de la société le 21 octobre 2022. 11. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles de la rapporteure. 12. Par courrier du 22 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019. 13. Par courrier du même jour, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 8 décembre 2022. 14. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte. II. Motifs de la décision A. Sur les traitements de données à caractère personnel en cause et la responsabilité de la société X 15. S’agissant des traitements en cause, la formation restreinte note que la procédure porte sur les opérations de lecture et d’écriture effectuées sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive " ePrivacy ", en particulier, la lecture de l’" Identifier For Advertisers " (ci-après " IDFA ") et de l’IDFV, du terminal des utilisateurs embarquant le système d’exploitation iOS. 16. L’IDFA est un identifiant unique attribué à chaque appareil par le système d’exploitation iOS de la société APPLE. Il s’agit d’une série de caractères hexadécimaux créée dans le but de permettre aux acteurs publicitaires d’identifier l’appareil de manière unique dans l’ensemble des applications mobiles installées qui utilisent cet identifiant. 17. L’IDFV est quant à lui un identifiant qui est mis à la disposition des éditeurs par APPLE, leur servant à suivre l’utilisation de leurs applications par les utilisateurs. Contrairement à l’IDFA, l’IDFV n’a la même valeur que pour les applications identifiées comme provenant du même éditeur. L’IDFV est ainsi distinct pour chaque éditeur d’application, mais identique pour toutes les applications distribuées par un même éditeur. 18. S’agissant de la responsabilité de ces traitements, la formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après " RGPD ") est applicable à la présente procédure en raison du recours à la notion de " responsable de traitement " dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive " ePrivacy " à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD. 19. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ". 20. La formation restreinte relève ensuite qu’il ressort des éléments versés au dossier que la société X indique qu’elle détermine les finalités et les moyens des traitements des données à caractère personnel des utilisateurs des applications. Les éléments au dossier corroborent cette déclaration. 21. La société X doit donc être regardée comme responsable du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des applications qu’elle édite. B. Sur la procédure 22. La société considère que la procédure suivie par la CNIL ne respecte pas le principe du droit à un procès équitable dans la mesure où le rapporteur n’aurait pas conduit son instruction à charge et à décharge. La société considère que le rapporteur n’aurait pas pris en compte les chiffres qu’elle a fournis le 3 août 2022 relatifs au nombre d’utilisateurs des applications X visées par le contrôle, lesquels sont bien plus représentatifs du nombre de personnes concernées que le nombre de téléchargements sur lequel se fonde le rapporteur dans son rapport initial. Compte tenu de ces éléments, la société demande à la formation restreinte d’écarter des débats le procès-verbal de contrôle du 18 juillet 2022. 23. En premier lieu, la formation restreinte relève que, si la procédure de sanction est bien soumise à certaines exigences du droit à un procès équitable, la société n’apporte pas d’élément tendant à démontrer que la procédure en cause n’aurait pas respecté les droits de la défense. 24. En second lieu, s’agissant des chiffres relatifs au nombre de téléchargements ou d’utilisateurs uniques actifs en France sur iOS, la formation restreinte relève qu’ainsi qu’il l’a exposé en séance, le rapporteur a fait mention du nombre de téléchargements des applications X afin de mettre en avant le nombre de personnes potentiellement concernées par le manquement qu’il estime constitué. Elle note par ailleurs que la phase de contradictoire entre le rapporteur et la société X a permis que soient versés aux débats des chiffres relatifs au nombre de personnes concernées et, qu’en séance, le rapporteur a pris en compte cette volumétrie afin de moduler le montant de l’amende proposée. 25. Au regard de ces éléments, la formation restreinte estime que la procédure n’est pas entachée d’irrégularité. C. Sur le manquement à l’article 82 de la loi Informatique et Libertés 26. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive " ePrivacy ", " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ". 27. Depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11 du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair. 28. La CNIL a précisé dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") et abrogeant la délibération n° 2019-093 du 4 juillet 2019 : " les présentes lignes directrices concernent tous les équipements terminaux visés par cette définition, quels que soient les systèmes d’exploitation ou les logiciels applicatifs (tels que les navigateurs web) utilisés. Elles portent, en particulier, sur l’utilisation des cookies HTTP, par lesquels ces actions de lecture ou écriture sont le plus souvent réalisées, mais également d’autres technologies telles que […] les identifiants générés par les systèmes d’exploitation (qu’ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d’un appareil), etc. " (§§ 12 et 13). 29. Le rapporteur observe que lors du contrôle réalisé le 19 août 2021 sur un appareil de la marque APPLE embarquant le système d’exploitation iOS, lorsqu’un utilisateur ouvre pour la première fois une application éditée par la société X, la " sollicitation ATT " est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. L’utilisateur a alors la possibilité de cliquer sur " Demander à l’app de ne pas suivre mes activités " ou sur " Autoriser ". Quel que soit le choix exprimé par l’utilisateur en réponse à la " sollicitation ATT ", une seconde fenêtre, propre à la société X, lui est présentée. Lorsque l’utilisateur clique sur " Demander à l’app de ne pas suivre mes activités ", la fenêtre qui lui est ensuite présentée par la société X ne contient aucun bouton ou case à cocher destinés à un recueillir son consentement à d’autres formes d’annonces personnalisées. L’utilisateur doit uniquement certifier être âgé de plus de seize ans et accepter la politique de protection des données à caractère personnel de la société. 30. Le rapporteur note que, dans ce scénario, l’IDFA, qui est l’identifiant publicitaire d’APPLE, n’est pas lu mais est remplacé par une chaîne de zéros (" 00000000-0000-0000-0000-000000000000 "). En revanche, il constate que l’IDFV est quant à lui lu et transmis à des domaines ayant des finalités publicitaires, avec d’autres informations propres à l’appareil (langue du système, modèle de l’appareil, luminosité de l’écran, niveau de la batterie, espace mémoire disponible notamment) et à son utilisation (application utilisée et temps passé), sans que l’utilisateur ait donné son consentement à cette opération. Il observe que la société X ne conteste pas la finalité publicitaire de cette opération de lecture et il en conclut qu’en utilisant l’identifiant IDFV à cette fin sans consentement préalable de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés. Le rapporteur relève en outre que le manquement commis par la société X est d’une particulière gravité dans la mesure où l’information qu’elle présente à l’utilisateur est trompeuse. En effet, lorsque l’utilisateur a refusé la " sollicitation ATT ", la seconde fenêtre présentée à l’utilisateur contient un texte lui indiquant que les paramètres de son téléphone " empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil ". Le rapporteur considère dès lors que l’utilisateur s’attend légitimement à ce qu’aucun suivi, quel que soit sa forme, ne soit effectué à des fins publicitaires. 31. En défense, la société conteste l’affirmation du rapporteur selon laquelle la " sollicitation ATT " n’est plus présentée à l’utilisateur qui a téléchargé plusieurs applications X dès lors qu’il a refusé le suivi publicitaire à l’occasion de l’ouverture de la première application. Elle précise que la " sollicitation ATT " est présentée à l’utilisateur à chaque téléchargement d’une nouvelle application X, sauf si l’utilisateur a désactivé l’option " Autoriser les demandes de suivi des apps " disponible dans les réglages " Confidentialité " / " Suivi " de son iPhone et non pas une seule fois pour toutes les applications X. Elle considère que son dispositif de recueil du consentement à l’utilisation des identifiants à des fins publicitaires et l’information fournie aux utilisateurs sont partiellement conformes aux dispositions de l’article 82 de loi Informatique et Libertés. La société indique que, s’agissant de l’information fournie aux utilisateurs, celle-ci est certes maladroite, mais ne saurait pour autant être qualifiée de trompeuse et ne présente pas le caractère de gravité souligné par le rapporteur. En effet, si, dans la fenêtre qu’elle affiche, la société mentionne qu’elle collecte des données pour une " finalité de publicité non ciblée " " en fonction [des] habitudes de navigation " des utilisateurs, cette information doit s’interpréter par rapport au traçage des " habitudes de navigation " rendu possible par l’IDFA qui permet un suivi à travers toutes les applications téléchargées par un utilisateur sur son terminal embarquant le système d’exploitation iOS. La société fait valoir que par contraste, lorsqu’il est collecté, l’IDFV ne permet qu’un suivi parmi les applications proposées par un même éditeur. La société indique que c’est en ce sens que la société X affirmait ne pas faire de " suivi " des utilisateurs en cas de refus de l’ATT. 32. En premier lieu, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. 33. En l’espèce, la formation restreinte relève que la société ne conteste pas qu’une opération de lecture de l’IDFV propre au terminal de l’utilisateur est réalisée lorsque celui-ci refuse la " sollicitation ATT " - laquelle sollicitation permet, lorsqu’elle est acceptée, de recueillir le consentement de l’utilisateur au suivi de ses activités sur les applications téléchargées. La société confirme également que la lecture de l’IDFV des utilisateurs poursuit une finalité publicitaire. 34. La formation restreinte relève que cette opération n’a ainsi pas pour finalité de permettre ou de faciliter la communication par voie électronique et n’est pas strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Par conséquent, une telle opération de lecture de l’IDFV ne relève d’aucune des exceptions définies à l’article 82 de la loi " Informatique et Libertés " et ne peut être effectuée sur le terminal de la personne sans consentement préalable. 35. La formation restreinte considère que, quand bien même l’IDFV ne permet pas un traçage aussi étendu que celui rendu possible par l’IDFA, il n’en demeure pas moins que, comme cela ressort des pièces du dossier et des écritures de la société et en particulier de la fenêtre qu’elle présente à l’utilisateur, que cet identifiant permet de suivre l’activité de l’utilisateur au sein des applications édités par X à des fins publicitaires et sans l’accord préalable des intéressés. La formation restreinte note de surcroît qu’en refusant la " sollicitation ATT ", l’utilisateur a déjà exprimé sa volonté que son activité ne soit pas suivie par quel qu’acteur que ce soit. Ainsi, le fait pour la société de tout de même procéder à des opérations de lecture et/ou d’écriture à des fins publicitaires prive d’effectivité le choix exprimé par l’utilisateur. 36. En deuxième lieu, la formation restreinte relève qu’en cas de refus de la " sollicitation ATT ", l’information suivante est présentée à l’utilisateur : " Vous avez désactivé le suivi publicitaire sur votre terminal " (en rouge) et " La protection des données est un enjeu primordial pour X et nous respectons votre choix. Veuillez noter que les paramètres de votre appareil empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil. D’autres données techniques n’impliquant pas de suivi (telles que des informations liées au type d’appareil, au type de connexion ou à son adresse IP par exemple) peuvent toujours être collectées tel que décrit dans notre politique de confidentialité, notamment pour vous permettre de profiter de nos jeux mais aussi pour que nous puissions continuer à améliorer et résoudre les problèmes potentiels de nos jeux (finalité d’analyse et de correction) et à vous proposer des publicités non-personnalisées en fonction de vos habitudes de navigation (finalité de publicité non ciblée) ". La formation restreinte considère que l’utilisateur qui prend connaissance de ces informations peut légitimement s’attendre à ce qu’aucun suivi de son activité ne soit effectué à des fins de personnalisation des annonces. En outre, la formation restreinte observe que les termes employés dans cette fenêtre ne correspondent pas à la réalité du traitement effectué par la société. En effet, la société indique collecter des " données techniques n’impliquant pas de suivi " afin de proposer " des publicités non personnalisées en fonction de vos habitudes de navigation ". Or, la formation restreinte considère que le fait de collecter des informations sur les " habitudes de navigation " des utilisateurs afin de leur proposer des publicités fait nécessairement obstacle à ce que ces publicités puissent être qualifiées de " non personnalisées ", quand bien même les données associées à l’identifiant ne permettent qu’une faible personnalisation, limitée au contexte de l’application utilisée. Elle considère ainsi que l’information est de nature à induire en erreur les utilisateurs quant aux conséquences du refus de la " sollicitation ATT ". 37. Au regard de ce qui précède, la formation restreinte considère qu’en utilisant l’identifiant IDFV, à des fins publicitaires sans consentement de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés. III. Sur les mesures correctrices et leur publicité 38. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ". 39. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. A. Sur le prononcé d’une amende administrative et son montant 40. En défense, la société fait valoir que la proposition d’amende du rapporteur est insuffisamment motivée. Elle rappelle ensuite que le cadre juridique applicable aux traceurs a évolué de façon constante, pour partie imprévisible et hétérogène aux niveaux français et européen de 2019 à 2021. 41. Elle met également en avant les contraintes auxquelles son activité économique est soumise et notamment sa situation de dépendance et de vulnérabilité vis-à-vis des plateformes en situation de monopole qui contrôlent les magasins d’application. Elle rappelle que l’obligation d’utiliser la " sollicitation ATT " a contraint les éditeurs d’applications à développer leur propre dispositif de recueil du consentement qui doit s’appliquer en plus de la fenêtre ATT. Selon la société, APPLE a ainsi forcé les éditeurs " à adopter des modalités de recueil du consentement peu satisfaisantes car complexes pour l’utilisateur ". Elle souligne que ses revenus dépendent quasi exclusivement de l’affichage de publicités. 42. Elle considère que tout manquement qu’elle aurait commis ne serait que d’une portée limitée dans la mesure où les données collectées ne sont pas directement identifiantes, ne sont pas intrusives, voire ne constituent pas des données à caractère personnel. Elle souligne que la durée de la collecte est très courte, en moyenne 17,4 minutes par mois par utilisateur, que le traitement en cause a été mis en œuvre récemment puisque l’ATT date d’avril 2021 et que le manquement ne concernerait que les utilisateurs disposant du système d’exploitation iOS qui n’auraient pas consenti à la " sollicitation ATT ", soit un nombre de personnes concernées largement inférieur au nombre de téléchargements avancé par le rapporteur. 43. Enfin, la société considère que le prononcé d’une sanction à son égard ne serait pas cohérent avec le plan d’action dévoilé le 24 novembre par la CNIL dont l’objectif est d’accompagner les acteurs de l’écosystème des applications mobiles. 44. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD. 45. La formation restreinte relève ensuite que l’ensemble des écritures qui ont été portées à sa connaissance, tant par le rapporteur que par la société, contiennent l’ensemble des éléments permettant d’apprécier le montant de l’amende proposée. 46. En premier lieu, s’agissant des contraintes générées par la mise en place de la " sollicitation ATT ", la formation restreinte considère que cette circonstance ne saurait exonérer la société de sa responsabilité propre : en l’absence d’un consentement exprès de l’utilisateur, la formation restreinte considère que la société ne peut pas procéder à des opérations de lecture dans le terminal de ce dernier à des fins publicitaires. 47. En deuxième lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier. 48. La formation restreinte relève, tout d’abord, qu’en ne recueillant pas le consentement des utilisateurs à la lecture de l’IDFV, la société les prive de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité. En outre, elle observe que le manquement est aggravé par le fait que l’information présentée à l’utilisateur qui a refusé la " sollicitation ATT " lui laisse légitimement penser qu’il ne fera l’objet d’aucune forme de traçage. 49. S’agissant du nombre de personnes concernées, la formation restreinte note qu’il ressort des chiffres transmis par la société dans ses dernières écritures que les onze applications ayant fait l’objet du contrôle comptent au total 5,8 millions d’utilisateurs en France sur iOS entre avril 2021 et juillet 2022. La formation restreinte note que s’il ne s’agit pas nécessairement de 5,8 millions d’utilisateurs uniques et que, selon la société, 43 % d’entre eux acceptent le suivi de leurs activités, il n’en demeure pas moins que ce volume important de personnes reflète la place centrale occupée par la société dans le secteur des jeux sur téléphone, laquelle revendique sur son site web 150 millions d’utilisateurs actifs par mois dans le monde, faisant d’elle l’une des principales entreprises du secteur. 50. S’agissant enfin de la portée du manquement, la formation restreinte considère que le fait que chaque utilisateur ne joue en moyenne que 17 minutes par mois ne signifie pas pour autant que la quantité de données collectée serait insignifiante. Elle observe que lors des contrôles effectués par la délégation de la CNIL, celle-ci n’a ouvert les applications X que durant quelques minutes mais a néanmoins constaté, d’une part, que de nombreuses requêtes contenant l’IDFV du terminal utilisé ont été adressées à plusieurs domaines publicitaires et que, d’autre part, ces requêtes contenaient des informations liées aux caractéristiques techniques du terminal (langue du système, modèle de l’appareil, luminosité de l’écran, niveau de la batterie, espace mémoire disponible notamment) et à son utilisation (application utilisée et temps passé). Ainsi, l’utilisation d’un jeu X même durant un laps de temps limité se traduit par une collecte de données, alimentant un traitement à vocation publicitaire, collecte significative pour l’utilisateur. 51. La formation restreinte rappelle en outre que l’IDFV, en ce qu’il est combiné à d’autres informations caractéristiques du terminal de l’utilisateur, permet, comme l’indique la société dans la fenêtre qu’elle présente, de suivre " les habitudes de navigation " des personnes et en particulier les catégories de jeu qu’elles privilégient, afin justement de personnaliser les annonces vues par chacune d’entre elles. L’IDFV constitue bien, dans ces circonstances, une donnée à caractère personnel. 52. En troisième lieu, la formation restreinte estime qu’il convient également de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du RGPD relatif à toute autre circonstance applicable aux circonstances de l’espère et aux avantages financiers obtenus du fait du manquement. 53. La formation restreinte relève que le modèle d’affaires de la société repose quasi exclusivement sur la publicité, puisque plus de […] de ses revenus proviennent de cette source de revenus. Or, quand bien même le suivi de l’activité de l’utilisateur réalisé grâce à l’IDFV n’est pas de la même ampleur que le suivi rendu possible par l’IDFA, il n’en demeure pas moins que l’utilisation de l’IDFV à des fins publicitaires sans le consentement de l’utilisateur a indéniablement permis à la société X de tirer un avantage financier du manquement commis. 54. En quatrième lieu la formation restreinte rappelle que, dès 2013, la CNIL a accompagné les acteurs s’agissant des cookies et traceurs, en rendant publique une recommandation rappelant les principes qu’il convenait de respecter pour permettre l’utilisation des cookies et traceurs, tout en respectant la loi Informatique et Libertés. Dès sa délibération no 2013-378 du 5 décembre 2013, la CNIL visait " l’identifiant généré par un logiciel ou un système d’exploitation " comme étant dans le périmètre de sa recommandation. En outre, comme indiqué ci-avant, dans ses lignes directrices du 17 septembre 2020, la Commission a précisé que " les présentes lignes directrices […] portent, en particulier, sur […] les identifiants générés par les systèmes d’exploitation (qu’ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.) […] ". Ainsi, le régime applicable à l’IDFV et la position de la CNIL constante vis-à-vis des pratiques objets de la présente procédure sont connus de longue date. En outre, s’agissant du caractère instable du cadre juridique en matière de traceurs, la CNIL rappelle que la rédaction de l’article 82 de la loi Informatique et Libertés n’a pas été modifiée depuis 2011, hormis le remplacement du mot " accord " par " consentement " et le changement de la numérotation de l’article à la suite de la réécriture de la loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Si l’entrée en application du RGPD, en élargissant le sens donné à la notion de consentement, a effectivement fait évoluer la portée de certaines des dispositions de l’article 82 de la loi Informatique et Libertés, le périmètre de la procédure de sanction en cause est strictement limité aux pratiques dont le régime n’était pas concerné par cette évolution, c’est-à-dire l’utilisation d’un traceur sans consentement préalable. Le cadre juridique était donc parfaitement établi au moment des contrôles. 55. Au demeurant, la formation restreinte note que la présidente de la CNIL n’a pas entendu, au travers du plan d’action de la CNIL lié aux applications mobiles, interrompre toute poursuite en lien avec l’utilisation de traceurs sans consentement des utilisateurs. 56. En dernier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 20, paragraphe III, de la loi Informatique et Libertés, la société X encourt une sanction financière d’un montant maximum de 2% de son chiffre d’affaires, lequel s’est élevé à plus de […]euros en 2020 et à environ […] euros en 2021, ou de 10 millions d’euros, le montant le plus élevé étant retenu. Le montant maximum de l’amende encourue en l’espèce s’élève donc à la somme de 10 millions d’euros. 57. Dès lors, au regard des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 3 millions d’euros à l’encontre de la société X apparaît justifiée. B. Sur le prononcé d’une injonction 58. Le rapporteur propose à la formation restreinte de prononcer une injonction de mise en conformité, laquelle pourrait consister en la cessation de l’utilisation de l’IDFV à des fins publicitaires en l’absence de consentement de l’utilisateur. 59. En défense, la société a présenté au rapporteur deux options qu’elle envisage de déployer afin de se mettre en conformité : le recueil du consentement par le biais d’une fenêtre présentée avant la " sollicitation ATT " ou l’introduction d’un " pay wall " avant la " sollicitation ATT ". Elle considère que l’injonction requise par le rapporteur est devenue sans objet au vu des mesures envisagées et regrette qu’il ne se soit pas prononcé sur la conformité de ces propositions. 60. En premier lieu, la formation restreinte relève que, si la société décrit les mesures qu’elle envisage de déployer, aucune des mesures évoquées n’est à ce stade mise en œuvre. Ainsi, la formation restreinte considère que la société n’a pas démontré, au jour de la clôture de l’instruction, sa conformité avec les dispositions de l’article 82 précité et qu’il convient donc de prononcer une injonction sur ce point. 61. En second lieu, la formation restreinte rappelle que le montant doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement. 62. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une injonction assortie d’une astreinte d’un montant de 20 000 euros par jour de retard à compter de la notification de la présente décision. 63. S’agissant du délai accordé à la société pour se conformer à l’injonction, la formation restreinte estime, au vu des explications de la société, qu’un délai de trois mois à compter de la notification de la présente décision est suffisant pour régulariser la situation. C. Sur la publicité de la décision 64. La société demande à la formation restreinte de ne pas rendre publique sa sanction. Elle soutient que la gravité des faits n’est pas établie, que la durée et la portée du traitement sont sans risque pour les droits et libertés des personnes et relève qu’aucune plainte liée à ce traitement n’a été déposée auprès de la CNIL. Elle évoque également le fait qu’elle opère dans un contexte concurrentiel international particulièrement tendu, avec des concurrents qui sont principalement de nationalité américaine ou israélienne, non soumis au RGPD ni à la loi Informatique et Libertés, qui exploiteront une éventuelle sanction à leur avantage. 65. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la société X une amende administrative d’un montant de 3 000 000 € (trois millions d’euros) pour manquement à l’article 82 de la loi Informatique et Libertés ; • prononcer à l’encontre de la société X une injonction de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires ; • assortir l’injonction d’une astreinte de 20 000 € (vingt mille euros) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.


Décision DR-2022-194 autorisant la SOCIETE SANOFI à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la comparaison de la mortalité entre les patients atteints de bronchopneumopathie chronique obstructive avec exacerbation sous triple thérapie et la population générale entre 2015 et 2021 en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2021. (Demande d’autorisation n°922190).


Délibération n° 2012-180 du 31 mai 2012 autorisant la SACEM à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d’auteur dues par les usagers sous contrat d’utilisation et du recouvrement des sommes dues par les usagers sans contrat (Demande d’autorisation n° 1562892)

La Commission nationale de l'informatique et des libertés, Saisie par la SACEM d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9-4° et 25-I°3 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Dominique RICHARD, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; Formule les observations suivantes : La Société des auteurs, compositeurs et éditeurs de musique (SACEM) a pour objet principal d'assurer la gestion des droits de représentation publique et de reproduction mécanique de ses membres. Dans le cadre de cette mission, la SACEM souhaite mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat, en vue d'une éventuelle procédure civile ou pénale. Ce traitement s'inscrit dans le cadre de l'article 9-4° de la loi du 6 janvier 1978 modifié qui prévoit que les traitements de données relatives à des infractions, condamnations et mesures de sûreté peuvent être mis en œuvre par Les personnes morales mentionnées aux articles L.321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits . Ainsi, la Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de ladite loi, qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. Sur la finalité du traitement : Le traitement mis en œuvre par la SACEM a pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que le recouvrement des sommes dues par les usagers utilisant les œuvres sans avoir conclu de contrat d'utilisation. La Commission considère que cette finalité est déterminée, explicite et légitime. Sur la nature des données traitées : Les données traitées sont les suivantes : - Etat civil / Identité : nom, prénom, adresse, date et lieu de naissance, situation familiale ;- Vie professionnelle : situation professionnelle, n° Siren, fonctions ;- Informations d'ordre économique : montant des sommes dues au titre des redevances de droit d'auteur, éventuelle procédure collective, cession du fonds de commerce (personne morale) ou procédure de surendettement (personne physique) ;- Infractions et condamnations : renseignements issus des décisions de justice (qualification des infractions, montant des dommages-intérêts, dépens, etc.). La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : Les données collectées relatives au recouvrement des créances sont supprimées dès leur régularisation.A défaut de régularisation et pour les besoins d'éventuelles procédures judiciaires, les données sont conservées en archive pendant la durée de prescription légale de l'action en recouvrement, à savoir cinq ans (article 2224 du code civil). La Commission considère que cette durée de conservation est proportionnée à la finalité poursuivie. Sur les destinataires des données : Les destinataires des données sont : - le département juridique, les directions et délégations régionales et le service de perception de la SACEM ; - la Société pour l'administration du Droit de Reproduction Mécanique des auteurs, compositeurs et éditeurs de musique (SDRM) : la SACEM lui a confié la gestion du droit de reproduction mécanique. Compte tenu de ce que la majorité des œuvres dont la SDRM assure la gestion appartiennent au répertoire de la SACEM ou des sociétés d'auteurs étrangères que cette dernière représente en France, et afin d'alléger les charges de gestion, le fonctionnement administratif et comptable de la SDRM est depuis 1974 assuré par les services de la SACEM, la première conservant toutefois son autonomie juridique et financière ; - la Société pour la Perception de la Rémunération Équitable (SPRÉ) : la SPRÉ a été créée en 1985 pour collecter la rémunération équitable prévue aux articles L. 214-1 et suivants du code de propriété intellectuelle. Ne disposant pas de personnel pour en assurer la perception sur l'ensemble du territoire, c'est la SACEM qui procède à sa perception et comptabilisation dans certains secteurs d'activité (exemples : cafés, hôtels, restaurants). La Commission rappelle que, la SPRÉ ayant sous-traité la gestion de la rémunération équitable à la SACEM, elle reste responsable de traitement et doit, à ce titre, procéder aux formalités adéquates. Sur l'information et les droits des personnes : Afin d'informer les personnes concernées, les formulaires papier de demande d'autorisation et de déclaration en ligne ainsi que les courriers personnalisés adressés par la SACEM aux usagers, prévoient la mention suivante : Les informations demandées sont toutes obligatoires et sont traitées par la SACEM, notamment dans le cadre de la facturation, la comptabilisation et le recouvrement, afin de percevoir les redevances de droit d'auteur et éventuellement la rémunération équitable prévue par l'article L. 214-1 du code de la propriété intellectuelle. Elles sont destinées à la SACEM et ses partenaires.Vous disposez d'un droit d'accès, d'interrogation, de rectification et d'opposition dans les conditions prévues aux articles 38, 39 et 40 de la loi Informatique et Libertés du 6 janvier 1978 que vous pouvez exercer, par voie postale, auprès de la SACEM - Département des autorisations de diffusion publique - 225, avenue Charles de Gaulle, 92528 Neuilly-Sur-Seine Cedex. La Commission considère que ces modalités d'information et d'exercice des droits sont satisfaisantes. Sur la sécurité des données et la traçabilité des actions : Les accès aux données par le personnel habilité à cet effet se font par l'utilisation d'un login et d'un mot de passe dont la complexité est conforme aux recommandations de la Commission. En outre, est utilisé un système d'authentification forte, délivrant des mots de passe à usage unique. Ces accès font l'objet d'une journalisation et les utilisateurs en sont informés dans la charte d'utilisation du système d'information. Concernant les transferts de données, ceux-ci sont sécurisés par l'utilisation de réseaux virtuels privés, assurant ainsi la confidentialité des données. Enfin, les données sont sauvegardées quotidiennement, assurant ainsi la pérennité des données. La Commission considère que ces mesures sont proportionnées au regard de la finalité poursuivie. Dans ces conditions, la Commission autorise la SACEM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que du recouvrement des sommes dues par les usagers utilisant ses œuvres sans contrat. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2016-064 du 17 mars 2016 portant avis sur un projet de décret en Conseil d’Etat et un projet d’arrêté relatifs à la mise en œuvre du registre national d’immatriculation des syndicats de copropriétaires.
(Demande d’avis n° 16003486)

Extrait du Journal officiel électronique authentifié La Commission nationale de l'informatique et des libertés, Saisie par le ministère du Logement, de l’Egalité des Territoires et de la Ruralité d’une demande d’avis concernant un projet de décret et un projet d’arrêté relatifs à la mise en œuvre du registre national d’immatriculation des syndicats de copropriétaires et sur un projet d’arrêté relatif aux modalités de mise en œuvre de ce registre et portant création d’un traitement de données à caractère personnel ; Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la construction et de l’habitation, notamment ses articles L. 711-1 à L. 711-7 ; Vu la loi n° 65-557 du 10 juillet 1965 modifiée fixant le statut de la copropriété des immeubles bâtis ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ; Vu la loi n° 2014-366 du 24 mars 2014 pour l’accès au logement et un urbanisme rénové, notamment ses articles 52 et 53 ; Vu le décret n° 65-223 du 17 mars 1967 modifié pris pour l’application de la loi n° 65-557 du 10 juillet 1965 fixant le statut de la copropriété des immeubles bâtis ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement, en ses observations, Émet l’avis suivant : La loi n° 2014-366 du 24 mars 2014 pour l’accès au logement et un urbanisme rénové (ALUR) a instauré un registre national auquel sont immatriculés les syndicats de copropriétaires administrant des immeubles à destination totale ou partielle d’habitation, en intégrant les articles L. 711-1 à L. 711-7 dans le code de la construction et de l’habitation (CCH). Le IV de l’article 711-2 du même code prévoit qu’un décret en Conseil d’État, pris après avis de la Commission nationale de l'informatique et des libertés, précisera les conditions de publicité des informations figurant dans le registre ainsi que les conditions de consultation dudit registre. C’est dans ce contexte que la Commission a été saisie par le Ministère du Logement, de l’Égalité des Territoires et de la Ruralité, d’une demande d’avis portant sur un projet de décret relatif à la mise en place du registre national d’immatriculation des syndicats de copropriétaires et sur un projet d’arrêté relatif aux modalités de mise en œuvre de ce registre et portant création d’un traitement de données à caractère personnel. La tenue du registre est confiée à un organisme dont la désignation est prévue par arrêté. A cet égard, la Commission relève que le projet d’arrêté qui lui est soumis sera complété sur ce point. Sur les finalités et les fonctionnalités : L’article L. 711-1 du CCH indique que le registre national d’immatriculation des syndicats de copropriétaires est mis en œuvre afin de "faciliter la connaissance des pouvoirs publics sur l’état des copropriétés et la mise en œuvre des actions destinées à prévenir la survenance des dysfonctionnements". Afin de répondre à l’objectif visé par le législateur dans le IV de l’article L. 711-2, la section 3 du projet de décret et l’article 7 du projet d’arrêté organisent les modalités de mise à disposition du public des informations appelées à figurer au registre. Les projets d’articles R. 711-1 à R. 711-9 du CCH et l’article 3 du projet d’arrêté explicitent par ailleurs les modalités de télédéclaration au registre et de demande de rattachement à un syndicat de copropriétaires. La Commission relève ainsi que ces dispositions fixent les mesures prises par le teneur du registre afin de garantir l’identification et la qualité des représentants légaux chargés d’effectuer les déclarations d’immatriculations ainsi que les mises à jour des données. Concrètement, une déclaration d'immatriculation d’un syndicat de copropriétaires nécessite au préalable que le représentant légal crée un compte de télédéclarant. Le teneur du registre lui adresse ensuite les identifiants et mots de passe lui permettant d’accéder à son compte et procède au rattachement dudit compte au syndicat de copropriétaires qu’il représente. Préalablement, le teneur du registre contrôle sa qualité de représentant légal en exercice. En cas de changement de représentant légal du syndicat de copropriétaires, les données d’identification et les coordonnées du nouveau représentant légal sont déclarées par son prédécesseur. Dans le cas contraire, le nouveau représentant légal suit la procédure décrite plus haut. La Commission estime que les finalités sont déterminées, explicites et légitimes. Sur les personnes concernées : La Commission relève que la procédure d’immatriculation est entièrement dématérialisée (dépôt de la demande, modifications et transmissions des informations), conformément à l’article L. 711-4 du CCH. Aux termes du projet d’article R. 711-1 du CCH, sont concernés par l’obligation de saisir les données dans le registre d’immatriculation : les syndics en exercice dans la copropriété, qu’ils soient une personne morale ou une personne physique exerçant une activité libérale, intervenant à titre professionnel ou bénévole ; les administrateurs provisoires nommés par le juge en application de la loi du 10 juillet 1965 et du décret du 17 mars 1967, dans le cas où l’ordonnance de mission leur confère la qualité de représentant légal du syndicat de copropriétaires pour l’immatriculation et la mise à jour des données des copropriétés ; l’ancien représentant légal de la copropriété en exercice, jusqu’à la réalisation du rattachement du nouveau représentant légal au syndicat des copropriétaires ; les syndics provisoires, lorsque l’immatriculation des immeubles mis en copropriété a été effectuée par le notaire, aux seules fins de déclarer les données d’identification du nouveau représentant légal dans un délai d’un mois à compter de la désignation de ce dernier ; les notaires dans le cadre de la publication au fichier immobilier ou au livre foncier, de l’état descriptif de division et du règlement de copropriété, ainsi que de l’immatriculation d’office, dans le cas d’une vente par acte authentique d’un lot de copropriété ne comportant pas la mention du numéro d’immatriculation de la copropriété, en l’absence de syndic désigné ou lorsque la mise en demeure de procéder à l’immatriculation réalisée dans les conditions de l’article L. 711-6 du CCH est restée sans effet au terme d’un délai d’un mois. La Commission note que les personnes concernées par l’obligation de saisir les données dans le registre sont des personnes morales ou des personnes physiques intervenant à titre professionnel, à l’exception du syndic bénévole. Sur l’origine et la nature des données : Les informations appelées à figurer dans le registre sont directement renseignées par les télédéclarants dans le système d’information. Le ministère mentionne néanmoins que des informations issues d’autres référentiels ont également vocation à alimenter le registre (données du répertoire SIRENE de l’INSEE, de l’Institut national de l’information géographique et forestière, du référentiel des communes, des établissements publics à caractère intercommunal, des départements et des régions, et issues de l’exploitation des fichiers fonciers fiscaux anonymisés par le Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA) Nord-Picardie). La Commission relève que la finalité poursuivie par l’alimentation du registre à partir des données issues de ces fichiers n’est pas clairement déterminée, notamment pour les données issues du référentiel des communes, des établissements publics à caractère intercommunal, des départements et des régions et du CEREMA Nord-Picardie, et constate, par ailleurs, que ni leur périmètre exact, ni les modalités de leur intégration dans le registre ne sont définis. Dans ces conditions, la Commission n’est pas être en mesure de rendre un avis éclairé sur ce point. L’article L. 711-2 du CCH liste les données que les syndicats de copropriétaires sont tenus de déclarer au registre. Les projets de décret et d’arrêté soumis à la Commission précisent les données à caractère personnel collectées et traitées dans le cadre de la mise en œuvre du registre, en distinguant celles nécessaires à la création d’un compte de télédéclarant et celles relatives à l’immatriculation des syndicats des copropriétaires. En vue de la création de ce compte, sont traitées les informations listées dans le tableau 1A annexé au projet d’arrêté. Parmi ces informations figure notamment l’adresse électronique des syndics. Compte tenu de la diffusion envisagée des coordonnées de ces derniers, la Commission souligne la nécessité de les informer clairement de cette diffusion afin qu’ils soient en mesure de privilégier, le cas échéant, une adresse électronique neutre, destinée à ce seul usage. S’agissant des données à déclarer pour l’immatriculation initiale des syndicats de copropriétaires, la demande de rattachement à un syndicat de copropriétaires et la mise à jour du dossier d’immatriculation, celles-ci sont listées dans l’annexe 2A du projet d’arrêté. La Commission relève qu’hormis celles relatives au syndic exerçant à titre bénévole, les données du registre ne permettent pas d’identifier directement les copropriétaires. La Commission considère que les données collectées et traitées dans le cadre de la mise en œuvre du registre sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. Sur les destinataires et les personnes ayant accès aux données du registre : Le projet d’article R. 711-18 du CCH prévoit que les représentants légaux n’auront accès qu’aux seules informations qu’ils ont enregistrées et portant sur le syndicat de copropriétaires auquel ils sont rattachés. Le projet d’article R. 711-19 du même code précise que les notaires auront accès à l’ensemble des données portées au registre selon des modalités précisées par arrêté. La Commission constate toutefois que celles-ci ne sont pas mentionnées dans ledit projet. Interrogé sur ce point, le ministère mentionne qu’il est envisagé de s’appuyer sur le système d’information reliant toutes les études de notaires, selon des modalités techniques restant à déterminer, lesquelles seront détaillées dans le projet d’arrêté. Le projet d’article R. 711-20 précise que "les organismes visés à l’article L. 711-3 ainsi que les établissements publics de l’Etat intervenant dans le domaine du logement ont accès à l’ensemble des données du registre concernant les syndicats de copropriétaires situés sur leur territoire". Elle note que l’article L. 711-3 fixe la liste de ces destinataires institutionnels, et demande qu’une politique de gestion rigoureuse des habilitations d’accès soit mise en œuvre, en particulier afin de s’assurer que ces derniers n’aient effectivement accès qu’aux informations du registre relatives aux copropriétés situées sur leur territoire au moyen du système d’information qui sera déployé à cette fin. Sous ces réserves, la Commission considère que les personnes ci-dessus mentionnés présentent un intérêt légitime à accéder en tout ou partie aux données. Sur les modalités de publicité des données du registre : L’article 7 du projet d’arrêté précise que les données du registre, à l’exception des données financières et des informations relatives aux personnes physiques exerçant à titre bénévole les fonctions de syndic, sont mises à disposition du public par téléchargement depuis la plateforme datagouv.fr, ainsi que par consultation d’un annuaire des copropriétés mis à disposition sur le site internet du registre. S’agissant de la diffusion au grand public des informations figurant dans le registre, la Commission relève que la finalité du registre telle que prévue à L. 711-1 du CCH, à savoir "faciliter la connaissance des pouvoirs publics sur l’état des copropriétés et la mise en œuvre des actions destinées à prévenir la survenance des dysfonctionnements", ne justifie pas une telle diffusion. Interrogé sur la finalité exacte de cette diffusion au grand public, le ministère indique que la publicité du nom et des coordonnées du syndic non bénévole permettrait de faciliter les démarches des acquéreurs de lots en copropriété pour obtenir des informations sur le syndicat de copropriétaires (notamment des prises de contact facilitées entre syndics dans le cadre du traitement des sinistres). Par ailleurs, la diffusion des données financières relatives du syndicat de copropriétaires contribuerait à la bonne information des futurs acquéreurs de lots de copropriété et permettrait d’éviter des achats inconsidérés par des propriétaires ne pouvant assumer les charges. Si la Commission n’entend pas remettre en question la légitimité ou l’intérêt pour les acquéreurs d’accéder à certaines informations du registre, elle constate néanmoins que le législateur a entendu encadrer l’accès à ces informations. En effet, l’article 54 de la loi ALUR (articles L. 721-1 et L. 721-2 du CCH) impose au syndic d’établir une fiche synthétique qui doit être annexée à la promesse de vente ou, à défaut, à l’acte authentique de vente, dans laquelle figurent d’ores et déjà les données financières et techniques relatives à la copropriété et à son bâti. Elle relève en outre que la diffusion de certaines données du registre peuvent porter atteinte à la vie privée des copropriétaires indirectement identifiables, notamment celles révélant une mauvaise gestion (procédures administratives et judiciaires en cours, montant des impayés par les copropriétaires et nombre de copropriétaires en situation d’impayé). Au vu de ces éléments, la Commission considère qu’il n’est ni nécessaire, ni proportionné de permettre un accès généralisé et indifférencié du grand public à ces plateformes. C’est pourquoi, dans le cas où une telle diffusion serait maintenue, et dans le souci de garantir l’équilibre entre l’accès aux informations publiques et la protection des données personnelles, la Commission recommande une agrégation des informations selon un seuil ne permettant pas une ré-identification des personnes concernées par recoupement (par exemple, en ne diffusant que les informations relatives aux copropriétés de plus de 10 lots). A cet égard, elle observe qu’il est prévu (3° de l’article 7 du projet d’arrêté) de diffuser des rapports de données statistiques depuis le site internet du registre, lesquels ne contiendront que des données statistiques qui apparaissent suffisantes pour satisfaire l’objectif poursuivi. En tout état de cause, en absence de disposition législative ou réglementaire expresses, les données personnelles rendues publiques ne peuvent-être saisies en masse ou réutilisées. En ce sens, elle estime nécessaire que le responsable de traitement recoure à des mesures techniques, telles qu’un fichier "robot.txt", visant à empêcher les moteurs de recherche externes de procéder à une indexation des données appelées à figurer dans l’annuaire des copropriétés et, afin de limiter la diffusion des données ou leur reproduction sur Internet ou sur un autre support électronique, d’enregistrer les informations appelées à être publiées au format image. Elle prend acte que le ministère souhaite organiser un rappel systématique des conditions de réutilisation des données publiques, selon des modalités techniques restant à définir. La Commission rappelle que ces mesures visent à s’assurer du respect des dispositions des 4° et 5° de l’article 6 de la loi du 6 janvier 1978 modifiée, qui concernent le respect des durées de conservation et la mise à jour des informations rendues publiques, s’agissant des données pouvant permettre une ré-identification des personnes concernées par recoupement d’informations. Sur les durées de conservation des données : La Commission rappelle que conformément à l’article 6 de la loi "Informatique et Libertés", les données ne doivent être conservées que pour une durée n’excédant pas celle nécessaire à l’accomplissement de la finalité pour laquelle elles ont été collectées et traitées et de leurs mises à jour ultérieures. Le projet d’article R. 711-12 du CCH consacre une obligation de mise à jour annuelle des données relatives à la "gestion" et aux "comptes de gestion des syndicats" de copropriétaires au sens du III de l’article L. 711-2, par le représentant légal du syndicat en exercice dans un délai de deux mois suivant la tenue de cette assemblée générale. Ce dernier est par ailleurs tenu d’actualiser la déclaration relative à l’exercice concerné en cas de modification des données financières d’un précédant exercice résultant d’une décision de justice définitive rendue dans un litige relatif à une contestation d’une décision de l’assemblée générale. Ce projet de texte prévoit enfin que les autres données du registre sont actualisées par le représentant légal en exercice au moment de la transmission annuelle des informations financières si leur contenu change. La Commission rappelle qu’à l’expiration de cette période, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public. La rédaction de l’article 6 du projet d’arrêté ne permet pas à la Commission de déterminer précisément les durées de conservation retenues au 4° (pour les données d’identification des personnes physiques) et au 5° (données financières du syndicat). Invité à présenter ses observations sur ce point, le ministère indique que les pièces justificatives demandées aux seules fins de vérification de la qualité du télédéclarant n’ont pas vocation à être conservées au-delà de six mois, ce délai étant suffisant pour traiter les éventuelles contestations. S’agissant des données financières du syndicat et des données d’identification relatives au syndic, il indique que ces dernières seront conservées cinq années à compter de leur déclaration. La Commission prend note de l’ensemble de ces observations et invite le ministère à modifier le projet d’arrêté en conséquence. Le 3° ce même article prévoit que l’attestation de mise à jour annuelle modifiant la date de l’assemblée générale approuvant les comptes du précédent exercice clos est conservée cinq ans suivant son établissement. Les autres attestations de mise à jour ne sont pas conservées au-delà de l’établissement de l’attestation de mise à jour suivante. Quant aux pièces justificatives de la qualité déclarée par le représentant légal, le 1° de ce projet de texte indique qu’elles seront conservées six mois à compter de leur transmission. La Commission relève que le projet d’article R. 711-2 du CCH prévoit que le compte d’un télédéclarant resté inactif pendant douze mois et après sollicitation du teneur resté vaine, sera supprimé. Concernant les informations conservées à des fins de preuve : les attestations d'immatriculation initiale sont conservées sans limite de durée, pendant la durée de vie du syndicat. Les attestations de mise à jour annuelle des données sont conservées au maximum cinq ans. Ces deux attestations permettent au syndic de prouver qu'il a réalisé les démarches législatives lui incombant. La Commission invite le ministère à intégrer cette précision dans le 2° de l’article 6. le traitement organise la traçabilité des modifications. Toutefois, à ce stade du développement, le ministère n’a pas encore spécifié de durée de conservation de ces traces permettant de suivre les modifications apportées aux données en cas de changement de syndic, notamment pour la mise à jour annuelle. A cet égard, la Commission estime qu’une durée de conservation de douze mois apparaît suffisante. Le ministère précise qu’une procédure d’archivage sera mise en place. Il est en effet envisagé que le système fasse des "photographies" annuelles des données qui seront versées dans une base spécifique accessible au seul teneur du registre, dans la partie "décisionnelle" du système d'information. La conception de cette partie du système d’information n’étant pas achevée, le ministère n’est pas en mesure de décrire les mécanismes de purge qui seront déployés, mais confirme que ceux-ci seront en cohérence avec les durées de conservation énoncées dans l’arrêté. Sous ces réserves, la Commission considère que les données appelées à figurer dans le système d’information, ainsi que dans le registre, ne sont pas conservées au-delà du temps nécessaire à l’accomplissement des finalités pour lesquelles elles ont été collectées. Sur l'information et les droits des personnes : Concernant l’information prévue à l’article 32 de la loi du 6 janvier 1978 modifiée, bien que les modalités concrètes d’information des personnes n’aient pas encore été arrêtées, le ministère a indiqué que les moyens adaptés pour informer les personnes seront mobilisés, notamment une publication sur le site internet du registre. Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi s’exercent auprès du teneur du registre. La Commission rappelle la nécessité de préciser son identité dans le projet d’arrêté. Elle rappelle par ailleurs que dans la mesure où les copropriétaires sont indirectement identifiables, notamment par recoupement d’informations, le droit d’accès prévu à l’article 39 de la loi trouve à s’appliquer. La Commission rappelle que les mesures correctives apportées à l’occasion de l’exercice du droit de rectification doivent être prises en compte à brève échéance sur toutes les parties impactées du registre. La Commission recommande que des moyens techniques soient mis en œuvre à cette fin, telles que les Applications Programming Interface (API) garantissant au teneur du registre que les données diffusées au public sont bien exactes et à jour. La Commission relève enfin que le projet d’arrêté, en application des dispositions du dernier alinéa de l’article 38 de la loi du 6 janvier 1978 modifiée, écarte l’application du droit d’opposition. Sur les mesures de sécurité : S’agissant des mesures de sécurité et de traçabilité, la Commission prend note du caractère encore incomplet de la conception du système d’information qui sous-tend la mise en œuvre du registre national d’immatriculation des syndicats de copropriétaires prévue par le ministère du logement. La Commission observe que le dispositif étant un téléservice de l'administration, le responsable de traitement doit attester de sa conformité au décret 2010-112 (référentiel général de sécurité) et le mentionner sur le site du registre. Chaque télédéclarant dispose d'un identifiant qui lui est propre en l’occurrence son adresse électronique. Une politique de mot de passe est mise en place, exigeant entre huit et douze caractères et l’accès au téléservice est bloqué après un nombre limité de tentatives infructueuses. La Commission rappelle que pour être satisfaisante, la politique de mot de passe implique que ceux-ci soient composés de huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. Ils doivent en outre être définis, ou modifiés dès la première connexion par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair. La Commission note que les destinataires de l’ensemble des données du registre sont l’Etat, les collectivités territoriales et les notaires (dans la mesure où ceux-ci utilisent un système d’information reliant toutes les études). La Commission insiste sur le fait que ces destinataires doivent accéder aux données en s’authentifiant suivant ses recommandations. L’accès au téléservice est sécurisé au moyen du protocole https. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible. La Commission prend note que des profils d’habilitation définissent les accès, rôles et informations disponibles aux différents utilisateurs. La Commission rappelle que les permissions d'accès doivent être supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations doit être opérée à une fréquence régulière. Une journalisation nominative des opérations de consultation, création, modification et suppression du traitement est réalisée. La Commission recommande la mise en place de procédures d’analyse de ces traces pour identifier des accès frauduleux ou des utilisations abusives des données. Afin de limiter les risques de réutilisation des données, la Commission recommande que le ministère mette en place des mesures empêchant l’indexation des données appelées à être publiées dans l’annuaire des copropriétés. Elle précise que ces mesures peuvent consister, par exemple, en l’utilisation de règles d’indexation à destination des moteurs de recherche correctement définies (robots.txt), de publication des données au format image ou de mécanismes visant à s’assurer que l’émetteur d’une requête relative à un document est bien un internaute et non un programme informatique (captcha visuels et auditifs). Un cloisonnement du traitement est prévu, celui-ci étant isolé physiquement. La Commission constate que les serveurs de données sont hébergés dans des locaux dont l’accès est restreint et sécurisé et qu’un logiciel antivirus est installé et régulièrement mis à jour sur les équipements prenant part au traitement. La Commission rappelle que des sauvegardes doivent être régulièrement réalisées et testées afin de vérifier leur intégrité, et que celles-ci doivent être stockées dans un endroit garantissant leur sécurité. En outre, les interventions de maintenance doivent faire l'objet d'une traçabilité. Concernant les mesures de gouvernance relatives au système d’information, la Commission note que le ministère prévoit la mise en œuvre d’un plan de reprise d’activités définissant l’ensemble des procédures relatives aux incidents informatiques. De plus, le ministère prévoit d’effectuer des études et audit de sécurité avant le déploiement du traitement. La Commission constate que le ministère prévoit d’avoir recours à des sous-traitants pour la conduite du changement, l’assistance utilisateur, le développement et la maintenance physique du système informatique. A ce sujet, la Commission souligne l’importance de fixer contractuellement des objectifs de sécurité à tous les sous-traitants impliqués dans la mise en œuvre du registre national d’immatriculation des syndicats de copropriétaires et de s'assurer de l'effectivité des garanties offertes par ceux-ci au regard de la loi du 6 janvier 1978 modifiée. Sous réserve de prise en compte des remarques précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. La Présidente I. FALQUE-PIERROTIN


Délibération n° 2016-282 du 20 septembre 2016 portant avis sur un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « Espace numérique sécurisé des agents publics (ENSAP) »

(DEMANDE D'AVIS NO 1967806) Extrait du Journal officiel électronique authentifié PDF - 247,6 Ko La Commission nationale de l'informatique et des libertés, Saisie par le ministère des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé Espace numérique des agents publics (ENSAP) ; Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code des pensions civiles et militaires de retraite ; Vu le code des pensions militaires d'invalidité et des victimes de la guerre ; Vu le code de sécurité sociale, notamment ses articles L. 161-17 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ; Vu la loi n° 84-16 du 11 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique de l'Etat, notamment son article 64 ; Vu le décret n° 62-765 du 6 juillet 1962 portant règlement sur la comptabilité publique en ce qui concerne la liquidation des traitements des personnels de l'Etat, notamment son article 1er ; Vu le décret n° 86-83 du 17 janvier 1986 relatif aux dispositions générales applicables aux agents contractuels de l'Etat pris pour l'application de l'article 7 de la loi n° 84-16 du 11 janvier 1984 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2009-1052 du 26 août 2009 portant création du service des retraites de l'Etat ; Vu le décret n° 2010-1690 du 30 décembre 2010 relatif aux procédures financières et comptables spécifiques des forces armées ; Vu le décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique, notamment son article 128 ; Vu le décret n° 2016-1073 du 3 août 2016 relatif à la mise à disposition et à la conservation sur support électronique des bulletins de paye et de solde des agents civils de l'Etat, des magistrats et des militaires, notamment ses articles 2 et suivants ; Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : Le décret n° 2016-1073 du 3 août 2016 relatif à la mise à disposition et à la conservation sur support électronique des bulletins de paye et de solde des agents civils de l'Etat, des magistrats et des militaires a instauré un espace numérique créé et administré par la direction générale des finances publiques (DGFiP), dénommé Espace numérique sécurisé des agents publics (ENSAP) . L'objectif poursuivi par l'ENSAP est de mettre à disposition des agents civils de l'Etat, des magistrats et des militaires, tout au long de leur période d'activité puis durant leur retraite, un espace numérique sécurisé offrant des services personnalisés relatifs à la paye et aux pensions de l'Etat. La commission observe que l'article 5 du décret du 3 août 2016 renvoie à des arrêtés le soin de définir, pour chaque département ministériel concerné, la date d'entrée dans le dispositif, laquelle doit intervenir au plus tard le 1er janvier 2020. La mise en œuvre de l'ENSAP constitue un téléservice de l'administration électronique. Dans la mesure où ce traitement porte sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR), il y a lieu de faire application des dispositions prévues au 4° du II de l'article 27 de la loi du 6 janvier 1978 modifiée. Sur les personnes concernées : L'ENSAP est mis à disposition des catégories suivantes d'agents publics de l'Etat : les actifs de l'Etat (titulaires, contractuels et stagiaires), y compris ceux qui ont été temporairement employés, et dont la rémunération est traitée par les services de la DGFiP, par le ministère de la défense, ou par un autre organisme gérant les rémunérations ; les pensionnés de l'Etat ou leurs ayants cause, bénéficiant du versement d'une prestation par les services de la DGFiP. Ne seront concernés que par les fonctionnalités du volet rémunération : les agents contractuels et les stagiaires, qui relèvent du régime général de la Caisse nationale d'assurance vieillesse (CNAV) et de l'Institution de retraite complémentaire des agents non titulaires de l'Etat et des collectivités publiques (IRCANTEC), et non du service des retraites de l'Etat (SRE). Sur les finalités de l'ENSAP : 1° S'agissant de l'outil d'échange et de communication avec l'administration et des démarches pouvant être réalisées via l'ENSAP : Un service de messagerie privée sera déployé, qui permettra aux usagers de communiquer avec des gestionnaires de l'administration, dans le cadre de la réalisation et du suivi de démarches portant sur le volet pension . La commission observe qu'à l'occasion de ces échanges, les usagers pourront joindre toutes les pièces justificatives utiles à la gestion de leur compte, à l'instruction de leurs demandes ou à la mise à jour de leur compte individuel retraite (CIR) par le service des retraites de l'Etat (SRE) ; 2° S'agissant de la mise à disposition de documents : La DGFiP souhaite mettre à disposition des usagers un service d'archivage sécurisé de documents relatifs aux rémunérations et aux pensions. Les usagers auront la possibilité de télécharger les documents, de les enregistrer sur le support de leur choix, et de les imprimer depuis leur domicile ou leur lieu de travail. L'article 2 du décret du 3 août 2016 prévoit qu'une remise sur support papier pourra être accordée aux usagers qui sont dans l'incapacité d'accéder sur leur lieu de travail à leur espace numérique sécurisé, ou absents en raison d'un congé de longue durée. Des arrêtés ministériels préciseront les conditions de dépôt des demandes de copie sur support papier, ainsi que les situations professionnelles dans lesquelles les agents pourront bénéficier de cette dérogation. Les usagers auront en outre la possibilité de choisir le support de délivrance des bulletins de pension directement via l'ENSAP ; 3° S'agissant de l'outil de simulation du montant des retraites : L'ENSAP proposera également aux agents publics actifs un simulateur de leurs droits à retraite, qui ne sera plus accessible après leur départ à la retraite. La commission note que les travaux de conception du simulateur sont en cours. Elle relève qu'il s'agit plus concrètement de permettre aux usagers de réaliser des estimations individuelles précises de leurs prestations retraite, sur la base d'une extraction automatique des données de carrière détenues par l'administration dans le CIR. Afin de garantir la fiabilité du montant estimé, le simulateur a vocation à prendre en compte toutes les spécificités liées aux catégories de personnes concernées et aux règles de calcul propres aux carrières administratives. Le ministère envisage par ailleurs de mettre à disposition des usagers de l'ENSAP un hyperlien vers l'outil de simulation EVA, géré par le groupement d'intérêt public Union retraite et accessible via les portails des différents régimes de retraite, selon des modalités restant à définir. La commission estime que les finalités sont déterminées, explicites et légitimes. Sur les modalités d'accès à l'ENSAP : Afin de se connecter à leur espace personnel, les usagers auront le choix entre une solution d'authentification propre à l'ENSAP, d'une part, et le recours au dispositif d'authentification FranceConnect, d'autre part. S'agissant du dispositif spécifique à l'ENSAP, la commission observe que, lors de la première connexion, les usagers doivent s'identifier en renseignant leur nom, leur date de naissance et leur NIR. Afin de s'assurer de l'identité des usagers, ces informations seront rapprochées de celles d'ores et déjà détenues par la DGFiP et le ministère de la défense, dans le cadre des applications de paiement des rémunérations et des pensions répertoriant tous les agents publics de l'Etat bénéficiant d'une paie ou d'une pension. Il est par ailleurs prévu de vérifier si le NIR renseigné est certifié dans le Système national de gestion des identifiants (SNGI) géré par la CNAV et l'INSEE. Afin de limiter les risques, notamment de fraude et d'usurpation, il sera demandé aux usagers de corroborer leur identité en renseignant leur numéro de compte bancaire au format IBAN. La commission observe que la saisie du numéro IBAN est sécurisée au moyen d'un masquage. Plus concrètement, la série de chiffres ne sera affichée que partiellement à l'écran, et l'usager sera invité à compléter quatre caractères pour s'identifier. Sur la nature des données : La commission considère que les données visées à l'annexe du projet d'arrêté n'appellent pas d'observation. Elle estime qu'au regard du nombre de personnes concernées et de la nécessité d'identifier de façon certaine les usagers, ainsi que des garanties de sécurité apportées par le ministère, l'utilisation du NIR en tant qu'identifiant de connexion est justifiée. Sur les durées de conservation des données : Les données sont conservées cinq ans : à compter du décès de la personne pour les données relatives à la pension ; à compter de la date d'effet de la pension ou du décès en activité de l'agent pour les données relatives à la paie. La commission relève que ces durées correspondent aux délais de recours en cas de contentieux et n'appellent pas d'observation. Elle rappelle qu'à l'expiration de ces durées, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public. Elle note par ailleurs que les personnes concernées seront informées des durées de conservation des documents mis à leur disposition dans l'ENSAP, afin de prendre les mesures nécessaires avant leur suppression. Sur l'information et les droits des personnes : Le ministère indique que les personnes concernées seront informées, conformément à l'article 32 de la loi, au moyen de mentions disponibles sur l'ENSAP. La commission observe que seules seront modifiables par l'usager depuis l'ENSAP les informations liées à son profil (adresses électroniques, numéros de téléphone, mot de passe et question secrète). La commission rappelle que les mesures correctives apportées à l'occasion de l'exercice du droit de rectification auprès des services gestionnaires doivent être prises en compte à brève échéance sur toutes les parties impactées du traitement. Elle prend note enfin que le projet d'arrêté, en application des dispositions du dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée, écarte l'application du droit d'opposition. Sur les mesures de sécurité : Le ministère atteste de la conformité de l'ENSAP au décret n° 2010-112 du 2 février 2010 (Référentiel général de sécurité). La commission en prend acte et rappelle que le ministère devra le mentionner sur l'ENSAP. Sur les échanges de données : L'ENSAP utilise une plate-forme d'accès sécurisé (PAS) de la DGFiP pour garantir un accès sécurisé aux données depuis internet. L'accès au téléservice est en outre sécurisé au moyen du protocole HTTPS. La commission rappelle qu'il est recommandé d'utiliser la version de TLS la plus à jour possible. Les données traitées dans l'ENSAP sont stockées et archivées dans le silo ATLAS de la DGFiP assurant sécurité, intégrité et pérennité des documents. Les NIR des usagers conservés dans ce silo sont chiffrés en base. Les documents mis à disposition des usagers dans l'espace d'archivage reposent sur des flux de données produits par les systèmes d'information et en particulier par le back office du SRE. A cet égard, l'ENSAP repose sur des Applications ProgrammingInterfaces (API), permettant d'interroger les bases de données et d'extraire les informations relatives à chaque usager. Sur les habilitations d'accès aux données : S'agissant de la gestion des habilitations, chaque usager n'accède qu'aux données qui lui sont propres. Aussi, les services gestionnaires appelés à échanger avec les usagers via l'outil de messagerie dédié accèdent aux données à partir de leurs applicatifs métiers. Le ministère indique que la structure du mot de passe de connexion à l'ENSAP doit respecter les critères suivants : 8 caractères minimum, 2 minuscules minimum, 2 majuscules minimum, 2 chiffres minimum et la possibilité d'utiliser des caractères spéciaux. Ces critères donnent toutefois des informations précises sur la structure du mot de passe, réduisant fortement le nombre d'essais nécessaires afin de casser le mot de passe. Dans la mesure où les critères retenus par le ministère auraient pour conséquence d'exposer davantage le traitement aux risques d'attaque par force brute , la Commission invite le ministère à suivre ses recommandations en la matière (mots de passe composés de 8 caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux). Dans le cadre des échanges avec le ministère, celui-ci s'est dit favorable à cette proposition et envisage de la prendre en compte dans un prochain lot de l'ENSAP. L'accès à l'ENSAP est bloqué après trois tentatives infructueuses. La saisie du nom, de la date de naissance et du NIR lors de la première connexion est complétée par la présence d'un captcha ajoutant une protection contre l'intrusion de robots. Une fois la première connexion effectuée, le numéro IBAN tronqué sera supprimé des bases de l'ENSAP, mais restera stocké dans les systèmes d'information des ministères. Sur la sécurité logique : Le traitement repose sur le réseau interministériel de l'Etat. Afin de protéger le système d'information et les données traitées, la DGFiP opère un cloisonnement strict des différents réseaux composant son système d'information, au moyen d'infrastructures de détection, de contrôle et de traçabilité dédiées, conformément aux recommandations de l'ANSSI. Des dispositifs visant à éviter les intrusions et les dénis de service sont maintenus et mis à jour selon les recommandations de l'ANSSI. Les pièces justificatives pouvant être versées par les usagers dans le cadre de leurs démarches ne seront pas conservées dans l'ENSAP, dès lors qu'il ne s'agit que d'un canal transitoire. Elles seront uniquement stockées dans les applications des services gestionnaires. Interrogé sur les vérifications liées à la sécurité des pièces versées, le ministère précise que celles-ci doivent respecter un format particulier et font l'objet d'une analyse antivirus. Par ailleurs, les incidents informatiques font l'objet d'un processus de gestion documenté. Sur la traçabilité des actions : Concernant la traçabilité des événements, les accès au téléservice de l'ENSAP sont authentifiés et tracés. Une journalisation des opérations de consultation, de création, de modification et de suppression du traitement est ainsi réalisée. Les traces sont régulièrement analysées par les agents habilités de la DGFiP. Sur la sécurité physique : L'ENSAP est physiquement hébergé dans des sites de la DGFiP. Des sauvegardes quotidiennes sont réalisées et conservées dans un lieu garantissant leur sécurité et leur disponibilité. S'agissant des mesures organisationnelles, une procédure générale de reprise d'activité est prévue par la DGFiP. La commission estime enfin qu'au regard du nombre de personnes concernées, et de la nécessité pour les usagers d'accéder à certaines fonctionnalités (notamment l'accès aux bulletins de paie, de solde et de pension), la mise en œuvre de l'ENSAP nécessite une haute disponibilité. Les choix technologiques opérés par le ministère devront permettre de prévenir l'obsolescence du système et d'assurer la disponibilité des informations auprès des usagers tout au long de leur carrière et de leur retraite. La présidente, I. Falque-Pierrotin