Délibération de la formation restreinte n° SAN-2022-009 du 15 avril 2022 concernant la société x

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; Vu la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés du 24 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers ; Vu la décision n° 2021-029C de la présidente de la Commission nationale de l’informatique et des libertés du 25 février 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès des sociétés […] et […] ; Vu la décision n° 2021-031C de la présidente de la Commission nationale de l’informatique et des libertés du 2 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel accessible en ligne et qui serait en lien avec les faits relatés par le journal Libération dans son article intitulé Les informations confidentielles de 500 000 patients français dérobées à des laboratoires ; Vu la décision n° 2021-034C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ; Vu la décision n° 2021-035C de la présidente de la Commission nationale de l’informatique et des libertés du 5 mars 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 6 octobre 2021 ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 9 décembre 2021 ; Vu les observations écrites versées par le conseil de la société […] le 24 janvier 2022 ; Vu la réponse du rapporteur à ces observations notifiée le 7 février 2022 au conseil de la société ; Vu les observations écrites versées par le conseil de la société […] reçues le 21 février 2022 ; Vu les observations orales formulées lors de la séance de la formation restreinte ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte du 10 mars 2022 : Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société […] : […] La société […] ayant eu la parole en dernier ; Après en avoir délibéré, la formation restreinte a adopté la décision suivante : Faits et procédure La société […] (ci-après " la société ") est une société par actions simplifiée à associé unique immatriculée au registre du commerce et des sociétés de […] sous le numéro […] depuis le […]. Elle a pour activité l’édition de logiciels applicatifs. Elle compte entre […] salariés. La société […] fait partie du groupe […], qui emploie environ […] personnes et qui est composé, en France, de […] sociétés. La société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales, appelées solutions de gestion de laboratoire. Environ […] laboratoires de biologie médicale privés et entre […] et […] laboratoires d’analyses d’établissements publics de santé sont équipés des solutions éditées par la société […]. À ce jour, […] logiciels sont commercialisés, parmi lesquels le logiciel […]. Deux solutions auparavant commercialisées par la société […] ne sont plus maintenues et sont considérées comme obsolètes, parmi lesquelles […], dont la " fin de vie " a été atteinte en septembre 2019 selon la société. Les clients utilisateurs de la solution […] ont été destinataires d’un courrier adressé par la société […] (ancienne dénomination de […]) en 2018 pour les informer de l’" arrêt définitif de la maintenance " de cette solution. Pour l’utilisation des logiciels commercialisés par les sociétés […] et […], les clients font l’acquisition d’une licence. La société […] assure également des prestations d’installation, de démarrage et d’accompagnement des clients à l’utilisation du logiciel. Un contrat de maintenance est en règle générale conclu pour assurer les mises à jour des solutions, lesquelles incluent notamment de nouvelles fonctionnalités et permettent de maintenir les solutions en conformité avec les normes en vigueur. Le 23 février 2021, un article de presse intitulé " Les informations confidentielles de 500 000 patients français dérobées à des laboratoires et diffusées en ligne " a été publié par le journal Libération. Cet article faisait état de la présence sur un forum d’un lien de téléchargement vers un fichier contenant les données médico-administratives de près de 500 000 personnes : " Selon les spécialistes, la fuite est d’une ampleur inédite en France pour des données ayant trait à la santé. Le fichier en question, que " CheckNews " a pu consulter, contient l’identité complète de près d’un demi-million de Français, souvent accompagnée de données critiques, comme des informations sur leur état de santé ou même leur mot de passe. Initialement partagée sur des forums de pirates informatiques, cette base de données est de plus en plus largement diffusée ". En application de la décision n° 2021-028C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après la " Commission " ou la " CNIL ") du 24 février 2021, la CNIL a effectué une mission de contrôle en ligne afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés ") et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD " ou le " Règlement ") de tout traitement accessible à partir des domaines […] ou portant sur des données à caractère personnel collectées à partir de ces derniers. Dans le cadre du contrôle en ligne diligenté, le fichier contenant les données médico-administratives a été téléchargé. Il est apparu que les données à caractère personnel de 491 840 patients y figuraient, parmi lesquelles : des données d’identification : numéro de sécurité sociale, nom, prénoms, sexe, adresse postale, numéro de téléphone, adresse électronique, date de la dernière visite médicale, date de naissance ; deux colonnes de commentaires libres contenant notamment des informations relatives aux pathologies des patients (VIH, cancers, maladies génétiques), à l’état de grossesse, aux traitements médicamenteux suivis par le patient ou encore des données génétiques ; des données d’identification du médecin prescripteur : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ; des données relatives au préleveur : nom, prénom, adresse, numéro de téléphone ; des données relatives à la mutuelle du patient : " Id tiers payant " (suite de chiffres), adresse postale, numéro de téléphone ; une colonne " Identifiant SR " et une colonne " MP ", correspondant, au regard de son contenu, aux identifiants et mots de passe utilisés par le patient pour se connecter à son espace. En application de la décision n° 2021-029C de la présidente de la Commission du 25 février 2021, la CNIL a effectué une mission de contrôle sur pièces auprès des sociétés […] et […], afin de vérifier la conformité à la loi Informatique et Libertés et au RGPD des traitements mis en œuvre par des laboratoires d’analyses médicales au moyen des solutions ou services commercialisés par ces sociétés. Cette mission s’est effectuée par l’envoi d’un questionnaire à la société […], adressé par courriel le 25 février 2021. Le 26 février suivant, la société a transmis des éléments de réponse à la CNIL, notamment les noms et adresses des laboratoires d’analyses médicales concernés par la violation de données susvisée. En application de la même décision, une délégation de la CNIL a procédé, le 1er mars 2021, à une mission de contrôle sur place dans les locaux de […], situés […], après information du procureur de la République territorialement compétent et de la déléguée à la protection des données de […] et […]. Les 5 mars, 10 mars, 1er avril, 6 avril et 19 avril 2021, les sociétés […] et […] ont transmis les éléments complémentaires sollicités par la délégation lors du contrôle sur place. En parallèle, le 1er mars 2021, la CNIL a fait délivrer une assignation en référé d’heure à heure aux différents fournisseurs d’accès à Internet, afin que soit assuré le blocage effectif du fichier contenant les données de près de 500 000 patients. En application de la décision n° 2021-031C de la présidente de la Commission du 2 mars 2021, la CNIL a effectué une mission de contrôle en ligne le jour même, afin de vérifier la présence du fichier litigieux en ligne, en le recherchant à partir de différents moteurs de recherche. Par ordonnance du 4 mars 2021, le juge des référés du tribunal judiciaire de PARIS a enjoint " à la SA ORANGE, la SAS FREE, la SA SFR et la SA BOUYGUES TELECOM de mettre en œuvre ou de faire mettre en œuvre, sans délai et pour une période de 18 mois à compter de la présente décision toutes mesures les plus adaptées et les plus efficaces de surveillance ciblées de nature à assurer le blocage effectif du service de communication au public en ligne " […] " sur leurs réseaux ". En application des décisions n° 2021-034C et n° 2021-035C de la présidente de la Commission du 5 mars 2021, la CNIL a effectué des missions de contrôle sur place auprès des sociétés […] et […] le 10 mars 2021. Les deux laboratoires ayant été concernés par la violation de données susvisée, il s’agissait de vérifier le respect par ces deux sociétés des dispositions de la loi Informatique et Libertés et du RGPD. Par courriel du 11 juin 2021 adressé à la déléguée à la protection des données des sociétés […] et […], la délégation de la CNIL a sollicité des éléments complémentaires auprès de ces sociétés, lesquels ont été transmis le 24 juin 2021. Aux fins d’instruction de ce dossier, la présidente de la Commission a, le 6 octobre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée. À l’issue de son instruction, le rapporteur a, le 9 décembre 2021, fait notifier à la société […] un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative, au regard des manquements constitués aux articles 28 paragraphe 3, 29 et 32 du RGPD. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Par courrier du 10 décembre 2021, la société, par l’intermédiaire de son conseil, a sollicité un délai supplémentaire pour fournir ses observations en réponse. Par courrier du 15 décembre 2021, le président de la formation restreinte lui a accordé un délai supplémentaire jusqu’au 24 janvier 2022. Le 24 janvier 2022, la société a produit des observations en réponse au rapport de sanction. Le rapporteur a répondu aux observations de la société le 7 février 2022. Un courrier était également remis à la société, l’informant que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 mars 2022. Le 21 février 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte. Motifs de la décision Sur la qualité de la société à l’égard des traitements en cause Aux termes de l’article 4 du RGPD, le responsable de traitement est défini comme " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement " (point 7) et le sous-traitant est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement " (point 8). Le rapporteur relève que la société […] commercialise des solutions logicielles à destination de laboratoires d’analyses médicales. Dans le cadre du service qu’elle propose aux laboratoires, la société ne fait, d’une part, que mettre à disposition des laboratoires les outils, notamment informatiques, pour faciliter la mise en œuvre des traitements et, d’autre part, agit uniquement au nom et sous la responsabilité des laboratoires pour la maintenance du logiciel et, le cas échéant, la migration vers un autre logiciel par exemple. La société doit donc être regardée comme agissant en tant que sous-traitant des laboratoires au sens de l’article 4, point 8, du RGPD selon le rapporteur. En défense, la société ne conteste pas l’analyse du rapporteur sur ce point. La formation restreinte considère que les notions de responsable de traitement et de sous-traitant doivent faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer l’une ou l’autre de ces qualités à une entité. À ce titre, elle relève qu’il ressort des éléments communiqués à la CNIL que la société […] agit en qualité de sous-traitant des traitements mis en œuvre pour le compte de ses clients, les laboratoires, qui sont responsables de traitement, dans la mesure où elle met à disposition des laboratoires des outils informatiques leur permettant de mettre en œuvre leurs traitements et qu’elle agit, de manière générale, uniquement sur la base de leurs instructions. Il appartient dès lors à la formation restreinte d’examiner, au regard de cette qualité, les griefs formulés par le rapporteur à l’encontre de la société. Sur les manquements au regard du RGPD 1. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement Aux termes de l’article 28, paragraphe 3, du RGPD, " Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant : a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis ; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public ; b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ; c) prend toutes les mesures requises en vertu de l'article 32 ; d) respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant ; […] ". Le rapporteur considère qu’il ressort des éléments transmis par la société […] que les différents documents encadrant les relations contractuelles entre la société sous-traitante et les laboratoires ne comportent pas les mentions requises par l’article 28 du RGPD. Il relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation ne comportent aucune des mentions requises par cet article. De même, il note que les mentions requises ne figurent pas non plus dans les contrats de maintenance conclus entre la société et les laboratoires, tels que transmis à la CNIL. En défense, si la société ne conteste pas la matérialité du manquement à l’article 28 du RGPD, elle précise que la conclusion d’un contrat de sous-traitance constitue une obligation tant pour le responsable de traitement que pour le sous-traitant. Elle en conclut que la société […] ne saurait être tenue seule responsable de ce manquement. Elle insiste en outre sur les efforts mis en œuvre pour se conformer au RGPD dès 2018 et indique que de nouveaux modèles de contrat de sous-traitance respectant les exigences de l’article 28 sont en cours de déploiement. En premier lieu, la formation restreinte relève que le fait que l’obligation résultant de l’article 28, paragraphe 3, du RGPD incombe tant au responsable de traitement qu’au sous-traitant est sans incidence sur l’existence d’une responsabilité propre du sous-traitant. Elle note que c’est la société elle-même qui transmet aux laboratoires ses propres conditions générales de vente qui font office d’encadrement contractuel au titre du RGPD. En deuxième lieu, la formation restreinte relève que les conditions générales de vente proposées par […] au moment où les laboratoires acceptent sa prestation, transmises par la société dans le cadre de la procédure de contrôle, ne comportent aucune des mentions requises par l’article 28 du RGPD. De même, elle note que les mentions requises ne figurent pas non plus dans les contrats de maintenance transmis à la CNIL, conclus entre la société et les laboratoires. À titre d’illustration, le contrat de maintenance conclu entre […] (ancienne dénomination de […]) et la société […], le 13 septembre 2019, comporte certes une partie dédiée aux données à caractère personnel, mais qui ne répond pas aux exigences de l’article 28 du RGPD et vise des dispositions obsolètes de la loi Informatique et Libertés. La formation restreinte note en outre que l’exemple de contrat d’assistance et de maintenance, remis par la société à la délégation de la CNIL lors du contrôle sur place du 1er mars 2021, ne contient pas non plus les mentions obligatoires au titre de l’article 28 du RGPD. S’il contient une partie dédiée aux données à caractère personnel, celle-ci ne répond pas aux exigences posées par cet article. En troisième lieu, la formation restreinte prend note que la société […]a déployé de nouveaux modèles de contrat de sous-traitance et a entamé des démarches pour se mettre en conformité avec les dispositions de l’article 28 du RGPD. Pour autant, il n’en demeure pas moins que la société a entamé des démarches auprès de ses clients dans le cadre de la présente procédure et qu’elle n’était pas en conformité au moment des constatations effectuées par la CNIL. Elle ne l’est d’ailleurs toujours pas s’agissant de certains contrats, puisque la société a indiqué, dans ses dernières observations, poursuivre ses actions visant à transmettre à l’ensemble de ses clients les contrats mis à jour et à les négocier le cas échéant. Dès lors, au regard de l’ensemble de ces éléments, la formation restreinte considère que ces faits constituent un manquement à l’article 28, paragraphe 3, du RGPD, que la société ne conteste pas au demeurant. 2. Sur le manquement à l’obligation pour le sous-traitant de ne traiter les données à caractère personnel que sur instruction du responsable de traitement Aux termes de l’article 29 du RGPD, " Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre ". Le rapporteur relève que la société […] a extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients, les laboratoires […] et […]. Le rapporteur en conclut que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD. En défense, la société précise que l’outil d’extraction disponible sur l’ancien logiciel […], utilisé pour ces migrations, ne permettait que de procéder à une extraction totale du fichier des patients du laboratoire concerné, sans possibilité d’ajouter des filtres sur les champs à exporter pour n’en extraire que certains. Elle ajoute que […] opérait bien la migration des données de ses clients vers une nouvelle solution logicielle en conformité avec leurs instructions, puisqu’une fois le fichier des données à migrer constitué, la société demandait toujours la validation du laboratoire concerné avant d’effectuer la migration. La société en conclut qu’elle a opéré les opérations d’extraction nécessaires à la migration et que le périmètre des données à migrer a été défini à ce titre conformément aux instructions des laboratoires concernés et compte tenu des limitations techniques des outils utilisés à l’époque pour effectuer ces migrations. Dans ses dernières observations en réponse, la société indique qu’elle " n’entend pas minorer la réalité de son manquement à l’obligation de ne procéder à des traitements de données à caractère personnel, en qualité de sous-traitant, que sur les seules instructions du responsable de traitement ". Elle rappelle néanmoins les importants investissements engagés par l’entreprise, depuis plusieurs années, pour développer notamment de nouvelles solutions logicielles. Elle ajoute que c’est justement parce qu’elle était consciente du caractère obsolète du logiciel […] et des outils de migration associés qu’elle s’est attachée à développer une solution plus innovante et respectueuse des exigences du RGPD et c’est ainsi qu’elle a proposé à ses clients, dès 2018, de passer au logiciel […]. En premier lieu, la formation restreinte relève que, ainsi qu’il sera établi ci-après, les différents éléments recueillis dans le cadre des contrôles des laboratoires […] et […] ont permis d’établir que […] avait extrait un volume de données plus important que celui requis dans le cadre de la migration demandée par ses clients. S’agissant du laboratoire […], le procès-verbal de contrôle sur place mentionne que celui-ci a sollicité, " selon les préconisations de […] ", la migration de données de la solution […] (également appelée […]) vers la solution […] pour les patients ayant procédé à une analyse médicale après le 7 mai 2017. Or, les données extraites par la société […] pour cette migration comportaient 8 403 lignes relatives à des patients dont la date de dernière visite était antérieure au 7 mai 2017, ce qui représente 6,5 % de la volumétrie totale. S’agissant du laboratoire […], la formation restreinte relève que, dans le cadre d’un changement de logiciel, le laboratoire a demandé à la société […] de procéder à une extraction de la base des données de patients contenues dans le logiciel […] afin de migrer vers un autre logiciel édité et maintenu par une société tierce. À cette fin, la société […] a fourni à la société […] une liste des champs à extraire afin d’être importés dans la nouvelle solution logicielle. Les colonnes " commentaire P " (contenant des informations telles que " STERILITE 100 % ", etc.) et " commentaire D " (contenant des informations telles que " TUBERCULOSE OSSEUSE SOUS RIFATER ", " XARELTO " (médicament), " DIABETE ", etc.) ont également été extraites, alors pourtant qu’elles ne figuraient pas dans la liste des champs à extraire. Ainsi, la formation restreinte en conclut que les données extraites par la société […], incluant notamment les colonnes " commentaire P " et " commentaire D " qui n’auraient pas dû l’être, couvrent un champ plus large que la demande du responsable de traitement. En deuxième lieu, la formation restreinte relève que, s’agissant de la validation des extractions par les laboratoires concernés, la société produit uniquement deux documents intitulés " tickets SAV " à l’appui de ses déclarations, lesquels ne sauraient en réalité suffire à démontrer qu’elle a effectué les opérations d’extraction conformément aux instructions des laboratoires et que les laboratoires ont validé le contenu des extractions réalisées. Ces " tickets SAV " permettent seulement de rendre compte de démarches effectuées par la société […] auprès de deux laboratoires pour envoyer des fichiers avec des extractions et ne démontrent en rien une validation qui aurait été donnée par les laboratoires concernés. La formation restreinte relève en outre que la société prétend, s’agissant de […], avoir eu " un " retour d’email " confirmant la conformité dudit fichier aux instructions du laboratoire ". Cette affirmation est inexacte puisque, d’après le " ticket SAV ", le " retour de mail " émane de la société […], société tierce éditant et maintenant un autre logiciel vers lequel les données extraites devaient être migrées. Ainsi, ce courriel ne saurait valoir validation de l’extraction par le client, dans la mesure où la société […] est une société tierce. En troisième lieu, la formation restreinte considère que la société ne saurait se prévaloir d’un outil inadapté pour justifier d’avoir outrepassé les instructions des responsables de traitement. Elle aurait pu, par exemple, opter pour un autre outil lui permettant de respecter les instructions données par ses clients, comme elle indique le faire désormais, ou a minima supprimer toutes les données qui n’auraient pas dû être extraites. Compte tenu de ces éléments, la formation restreinte considère que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD. 3. Sur le manquement à l’obligation d’assurer la sécurité des données Aux termes de l’article 32 du RGPD, " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : a) la pseudonymisation et le chiffrement des données à caractère personnel ; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ; d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. 2. Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite […] ". 52. Le rapporteur relève que, dès mars 2020, un ancien salarié de la société […] avait fait remonter à son employeur des problèmes de sécurité. Selon le rapporteur, il est établi que celui-ci avait bel et bien effectué des signalements pertinents, ce qui ressort d’échanges internes entre […]. Le rapporteur note ensuite que, le 4 novembre 2020, l’Agence nationale de la sécurité des systèmes d’information (ci-après " l’ANSSI ") a observé que des données de patients du laboratoire […] étaient mises en vente sur le darknet, sous-réseau d’Internet pourvu de fonctions d’anonymisation et dans lequel toutes les ressources ne sont pas nécessairement indexées par les moteurs de recherche. L’ANSSI a transmis au laboratoire concerné un fichier contenant 56 lignes avec des données à caractère personnel de ses patients. Le jour même, le fichier ainsi que le courriel de l’ANSSI ont été transmis à la société […] par le directeur des systèmes d’information du réseau […], au sein duquel figure le laboratoire […]. Le rapporteur relève ensuite que, le 23 février 2021, les informations confidentielles de près de 500 000 patients ont été diffusées sur Internet. Dès le 24 février 2021, la société […] a mandaté la société […] pour mener une mission d’analyse forensique. Ladite société a rendu son rapport d’investigation le 26 mars 2021. Le rapporteur note en outre qu’aux termes de ses investigations, la société […] a établi une correspondance entre les données du fichier transmis par l’ANSSI et les données présentes sur un serveur FTP hébergé sur le serveur de télémaintenance […] ([…]). Environ 90 % des données à caractère personnel du fichier objet de la violation, publié sur Internet en février 2021, étaient présentes sur le serveur FTP […] ([…]). Selon le rapporteur, de nombreux manquements techniques et organisationnels en matière de sécurité ont été constatés lors des contrôles de la CNIL et peuvent être retenus à l’encontre la société […]. Il note notamment l’absence de procédure spécifique s’agissant des opérations de migration de données, l’absence de chiffrement des données à caractère personnel stockées sur le serveur FTP […], l’absence d’effacement automatique des données après migration vers un autre logiciel, l’absence d’authentification requise depuis Internet pour accéder à la zone publique du serveur FTP […], l’utilisation de comptes utilisateurs partagés entre plusieurs salariés s’agissant de la zone privée de ce même serveur et l’absence de procédure de supervision et de remontée d’alertes de sécurité sur le serveur. Le rapporteur en conclut que, malgré des alertes préalables, la société […] n’a pas mis en œuvre de mesures satisfaisantes de sécurité pour encadrer le serveur FTP […], ce qui a non seulement permis l’accès aux données concernées par des tiers non autorisés, mais également la divulgation sur des forums d’un fichier contenant les données médico-administratives de près de 500 000 personnes. En défense, la société relève, s’agissant de la violation de données ayant eu lieu en février 2021, que les investigations effectuées par la société […] ont conclu à l’existence d’intrusions sur le serveur FTP de […]. Elle précise cependant que, bien que le rapport relève que 90 % du contenu du fichier circulant sur Internet était également disponible sur le serveur FTP, il convient de noter que, a contrario, le rapport de […] précisait qu’environ 10 % du fichier circulant sur Internet (soit environ 43 000 enregistrements) ne se trouvait pas sur le serveur FTP et qu’environ 50 % des données du serveur FTP ne se trouvaient pas dans le fichier circulant sur Internet. La société […] en conclut qu’ " au regard des incohérences subsistantes entre les données présentes sur le serveur FTP et celles ayant circulé sur Internet, les investigations combinées de […] et de […], qui se sont achevées le 26 mars 2021, n’ont pas permis à l’époque des faits de conclure avec certitude que lesdites intrusions seraient à l’origine de la cyberattaque reportée par la presse ". Enfin, la société fait état des différentes mesures de sécurité mises en place depuis lors. Dans ses dernières observations en réponse, la société indique qu’elle n’entend pas contredire les constats faits par le rapporteur sur l’absence de mesures satisfaisantes de sécurité encadrant le serveur FTP […] et précise avoir conscience des défauts de l’ancienne technologie utilisée par ses équipes, mais fait à nouveau valoir les évolutions intervenues en matière de sécurité et ses importants efforts de mise en conformité. En premier lieu, la formation restreinte relève qu’il ressort des constations effectuées par la CNIL que la société ne disposait pas de procédure spécifique établie s’agissant des opérations de migration de données. Aucune mesure de sécurité n’était notamment prévue pour l’envoi des données, pourtant sensibles au sens de l’article 9 du RGPD. Les fichiers d’extractions de données étaient donc envoyés " en clair " (c’est-à-dire lisibles directement, car non transformées préalablement via une fonction de hachage), sans aucune mesure de chiffrement ou de sécurité. Or, pour assurer la sécurité des opérations de migration d’un nombre aussi important de données à caractère personnel sensibles, il convient de mettre en place des procédures spécifiques permettant de décrire étape par étape l’enchaînement des tâches à réaliser, les rôles et les responsabilités associées. De telles procédures permettent également de disposer d’un compte rendu détaillé des opérations pour les laboratoires ou clients dont les données ont été traitées et transmises. L’absence de telles procédures fait peser sur les données à caractère personnel concernées un risque de compromission pourtant facilement évitable, qui peut conduire à exposer des données relevant de la vie privée. En deuxième lieu, la formation restreinte relève que plusieurs alertes successives auraient dû conduire la société à effectuer des investigations sur son système de sécurité. Si, s’agissant du signalement réalisé par l’ANSSI en novembre 2020, la société indique avoir entrepris des investigations internes pour identifier la source possible de compromission et avoir mis en œuvre plusieurs actions correctives et préventives, elle n’a pas effectué de diligences suffisantes afin d’identifier si les données d’autres laboratoires avaient pu être compromises et si des vulnérabilités existantes étaient à l’origine de la compromission. La formation restreinte considère que la société n’a pas pris la mesure des problèmes de sécurité qu’elle rencontrait à l’époque, lesquels ont fini par aboutir à la violation de données de février 2021 ayant concerné près de 500 000 personnes. En troisième lieu, la formation restreinte note que plusieurs mesures de sécurité élémentaires en matière de sécurité faisaient défaut en l’espèce. La formation restreinte note d’abord que les données à caractère personnel stockées sur le serveur FTP […] n’étaient pas chiffrées et étaient donc directement lisibles, alors qu’il s’agit de données sensibles qui, de par leur nature, nécessitent des mesures de sécurité particulières. En outre, dans le cadre des migrations du logiciel […] vers un autre logiciel, les données, une fois transférées sur le serveur, n’étaient pas effacées automatiquement. Or, la conservation des données fait encourir un risque de fuite ou de compromission desdites données. La formation restreinte relève ensuite que la zone publique du serveur, dans laquelle certaines données des laboratoires ont été stockées aux fins de migration, était accessible librement sans authentification depuis Internet. Ce n’est que le 4 novembre 2020, date à laquelle l’incident de sécurité a été signalé par l’ANSSI, que l’accès " anonyme " sans authentification au serveur FTP a été coupé et, le 23 février 2021 seulement, que ce serveur a été définitivement mis hors ligne. En outre, la zone privée du serveur était accessible avec des comptes utilisateurs partagés entre plusieurs salariés. Or, l’utilisation de comptes partagés fait peser un risque disproportionné, pourtant facilement évitable, sur la sécurité du traitement et augmente considérablement les risques de compromission, notamment du fait de la circulation du mot de passe entre plusieurs personnes. En outre, les comptes communs (ou partagés) ne permettent pas une bonne application de la politique d’habilitation, qui est pourtant un élément fondamental de la sécurité des systèmes d’information, visant à limiter les accès aux seules données dont un utilisateur a besoin. La formation restreinte souligne enfin qu’aucune procédure de supervision et de remontée d’alertes de sécurité n’était mise en œuvre sur le serveur FTP. Les connexions provenant d’adresses IP suspectes n’étaient donc ni détectées ni traitées. Le rapport d’investigation numérique de la société […] confirme d’ailleurs que certaines connexions suspectes ont été identifiées, ce qui confirme que le serveur était exposé sur Internet et que des connexions non autorisées à ce serveur ont eu lieu, sans qu’elles puissent être identifiées grâce à ces procédures de supervision et de remontée d’alertes. En dernier lieu, la formation restreinte relève que le manquement reproché n’est pas constitué par les violations de données en tant que telles, mais par les défauts de sécurité qui sont à l’origine de l’intrusion sur les serveurs de la société, constatés lors des contrôles effectués par la CNIL. Elle souligne que cette proposition du rapporteur, visant à sanctionner les défauts de sécurité à l’origine de violations, s’inscrit dans la lignée de décisions précédentes de la formation restreinte. Ainsi, dans sa délibération n° SAN 2019-007 du 18 juillet 2019, la formation restreinte a relevé " que les mesures élémentaires de sécurité n’avaient pas été prises en amont du développement de son site web [par la société sanctionnée], ce qui a rendu possible la survenance de la violation de données à caractère personnel ". La formation restreinte souligne toutefois que les conséquences de ces défauts de sécurité ne sont pas pour autant exclues du champ de son analyse, en ce qu’elles révèlent la concrétisation du risque engendré par ces défauts de sécurité. La formation restreinte observe ainsi que les vulnérabilités existantes ont été exploitées et que plusieurs violations de données ont eu lieu : des intrusions sur le serveur FTP, suivies par la diffusion d’un fichier contenant les données médico-administratives de près de 500 000 personnes sur des forums en février 2021. À cet égard, la formation restreinte relève que les intrusions sur le serveur FTP sont avérées et qu’elles ne sont pas contestées par la société, celles-ci ayant été établies par les investigations menées par […] pour le compte de la société. S’agissant de la diffusion du fichier sur les forums, si la société indique qu’il ne peut être conclu avec certitude que les intrusions sur le serveur FTP sont à l’origine de la violation de données ayant abouti à la diffusion de ce fichier, la formation restreinte observe néanmoins qu’il ressort des éléments du dossier qu’environ 90 % des données du fichier publié étaient présentes sur le serveur FTP. Le fichier diffusé sur les forums contient notamment les commentaires qui n’auraient pas dû être extraits par la société […] dans le cadre de la migration de la solution […] vers une autre solution (" commentaire P " et " commentaire D " susmentionnés). Ces différents éléments tendent bien à montrer le lien entre les données figurant dans le fichier accessible sur Internet et celles qui étaient sur le serveur FTP. Ainsi, l’absence de mise en place de mesures de sécurité protégeant le serveur en cause - notamment l’absence de chiffrement, l’absence d’effacement automatique des données après leur migration, l’absence d’authentification requise depuis Internet pour accéder à la zone publique du serveur et l’utilisation de comptes utilisateurs partagés - a conduit à rendre accessibles lesdites données à des tiers, et ce malgré des alertes préalables à la violation de données à caractère personnel ayant conduit à la divulgation d’un fichier contenant les données médico-administratives de près de 500 000 personnes. Dès lors, la formation restreinte considère que la société […] a méconnu son obligation résultant des dispositions de l’article 32 du Règlement, ce que la société ne conteste pas au demeurant. Sur la sanction et la publicité Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […] 7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ". L’article 83 du RGPD prévoit que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. En premier lieu, sur le principe du prononcé d’une amende, la société insiste en défense sur l’absence de violation commise précédemment, sur son importante coopération avec la CNIL, sur les mesures de remédiation mises en œuvre depuis la violation de données à caractère personnel et sur les importants efforts de remise en conformité engagés. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature et la gravité de la violation, le nombre de personnes affectées et le niveau de dommage qu’elles ont subi, le fait que la violation a été commise par négligence, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. La formation restreinte relève, tout d’abord, les nombreux défauts de sécurité encadrant le serveur FTP […], lequel était insuffisamment protégé, ce qui a entraîné une violation de données à caractère personnel massive : de très nombreuses données concernant 491 840 personnes ont été divulguées. La formation restreinte insiste, en outre, sur le caractère extrêmement dommageable de la violation pour les personnes concernées, dans la mesure où, outre des données d’état civil (civilité, nom, prénom), des coordonnées postales, électroniques et téléphoniques, des données très sensibles ont été divulguées. Le fichier objet de la violation de données à caractère personnel contient en effet des mentions relatives à l’infection au VIH, à des cancers ou des maladies génétiques, à la grossesse, aux traitements médicamenteux suivis par les patients ou encore à des données génétiques. Les données concernées par la violation sont des données de santé, lesquelles sont des catégories particulières de données au sens de l’article 9 du RGPD (dites données " sensibles "). Compte tenu de la nature des données concernées, la formation restreinte considère que la société aurait dû faire preuve d’une vigilance particulière en ce qui concerne la sécurisation de telles données, pour éviter qu’elles puissent être réutilisées par des tiers non autorisés, portant ainsi préjudice aux personnes concernées par la violation de données. Or les négligences commises en matière de sécurité ont été multiples et particulièrement graves, alors que la société traite de données sensibles et qu’elle avait d’ores et déjà été alertée sur l’existence potentielle de risques, dont certains se sont réalisés. La formation restreinte considère que le manquement ayant conduit à la violation de données est d’une particulière gravité. Elle souligne en outre qu’au regard de la nature de ces données à caractère personnel, les personnes concernées par la violation sont des cibles de choix pour un hameçonnage (" phishing ") personnalisé (envoi de faux messages ou de faux documents pour récupérer des informations personnelles ou de l’argent) : d’éventuels pirates disposent désormais de leur numéro de sécurité sociale, du nom de leur médecin prescripteur, de la date de leur examen, du nom du laboratoire ou encore, dans certains cas, d’informations médicales. La nature des données à caractère personnel compilées sous-tend également des risques d’usurpation d’identité, de fausses ordonnances (qui peuvent utiliser les noms des médecins), de messages de détresse factices reprenant les problèmes de santé mentionnés. La formation restreinte relève enfin que la société n’a pas pris de mesures particulières pour faire cesser la diffusion du fichier une fois qu’elle en a eu connaissance. C’est la présidente de la CNIL, et non la société […], qui a fait délivrer une assignation en référé afin que soit assuré le blocage effectif du fichier litigieux. Si la formation restreinte relève que la société a coopéré tout au long de la procédure avec les services de la CNIL, elle considère que les défauts de sécurité, qui ont permis la réalisation de la violation de données , comprenant à la fois les intrusions sur le serveur FTP et la diffusion du fichier en ligne, résultent d’une négligence des règles élémentaires de sécurité des systèmes d’information qui a conduit à rendre accessibles à des tiers non autorisés les données à caractère personnel traitées par la société. La formation restreinte relève en outre que, le fait que la société […]ait traité des données à caractère personnel au-delà des instructions données par les responsables de traitement et ait donc commis un manquement à l’article 29 du RGPD a contribué à aggraver la violation, puisque des commentaires qui n’auraient pas dû être extraits se sont ensuite retrouvés dans le fichier diffusé en ligne et accessible sur les forums. La formation restreinte rappelle enfin que les différents documents encadrant les relations contractuelles entre la société […] et les laboratoires ne comportent pas les mentions requises par l’article 28 du RGPD, ce qui n’est également pas de nature à assurer une protection efficace des données à caractère personnel traitées par le biais de garanties contractuelles. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 28, paragraphe 3, 29 et 32 du RGPD. En deuxième lieu, s’agissant du montant de l’amende, la société souligne que […]. La société insiste sur le fait que la situation financière de l’entreprise doit être prise en compte, de façon à ce que l’amende prononcée soit adaptée aux capacités contributives du responsable de traitement. La formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 28, 29 et 32 du RGPD, le montant maximum de l’amende pouvant être retenu s’élève à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La formation restreinte rappelle également que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2019 et de […] euros en 2020, pour un résultat net s’élevant à […] euros en 2019 et à […] euros en 2020. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 1 500 000 euros apparaît justifié. En troisième lieu, s’agissant de la publicité de la sanction, la société indique que la cyberattaque qui l’a impliquée a fait l’objet d’une publicité très importante, puisque plusieurs articles de presse ont été publiés, puis relayés tant dans la presse papier que télévisuelle, en France et à l’étranger. L’incident a également fait l’objet de plusieurs communications de la part de la CNIL. Elle ajoute que cette médiatisation aura des effets particulièrement néfastes pour elle, non seulement dans le cadre de son activité, mais encore sur son chiffre d’affaires. Compte tenu de la gravité des manquements commis, particulièrement des manquements relatifs à la sécurité, du nombre de personnes concernées et des conséquences pour celles-ci, la formation restreinte considère que la publicité de la décision se justifie. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : prononcer à l’encontre de la société […] une amende administrative d’un montant de 1 500 000 (un million cinq cent mille) euros ; rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.


Délibération n° 2022-102 du 20 octobre 2022 portant avis sur un projet de décret modifiant diverses dispositions relatives à des traitements de données à caractère personnel de l'Agence française de lutte contre le dopage, portant création de traitements de données à caractère personnel dans le cadre des contrôles antidopage et renforçant l'efficacité de la lutte contre le dopage (demande d'avis n° 22000401)

La Commission nationale de l'informatique et des libertés, Saisie par la ministre chargée des sports d'une demande d'avis concernant un projet de de décret modifiant diverses dispositions relatives à des traitements de données à caractère personnel de l'Agence française de lutte contre le dopage, portant création de traitements de données à caractère personnel dans le cadre des contrôles antidopage et renforçant l'efficacité de la lutte contre le dopage, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision cadre 2008/977/JAI du Conseil (dite directive police-justice ) ; Vu le code du sport, notamment ses articles L. 232-1 et s. et D. 232-1 et s. ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-I-4°a ; Après avoir entendu le rapport de Mme Aminata NIAKATE, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, Etant rappelés les éléments de contexte suivants : L'Agence française de lutte contre le dopage (AFLD) est une autorité publique indépendante, qui définit et met en œuvre les actions de lutte contre le dopage énumérées par les dispositions de l'article L. 232-5 du code du sport. A cette fin, elle coopère avec d'autres organismes : l'Agence mondiale antidopage (AMA) et les organisations antidopage signataires du code mondial antidopage (notamment organisations nationales antidopage, fédérations sportives internationales, comités nationaux olympiques et paralympiques). Le projet de décret, dont est saisie la Commission, est destiné à mettre en conformité le droit français avec la nouvelle version du code mondial antidopage, adoptée en novembre 2019 et entrée en vigueur le 1er janvier 2021 pour ce qui concerne les traitements de données à caractère personnel déployés aux fins de lutter contre le dopage. Il encadre la mise en œuvre de quatre traitements de données à caractère personnel utilisés par l'AFLD au titre de ses compétences légales, potentiellement exercées dans le cadre de coopérations avec les autres autorités compétentes en matière de lutte contre le dopage. Sont concernés : - le traitement automatisé de données à caractère personnel visant à établir le profil biologique des sportifs mentionnés à l'article L. 230-3 du code du sport, qui est modifié par le projet de décret ; - le traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l'article L. 232-12 du code du sport, qui est créé par le projet de décret ; - le traitement automatisé des données à caractère personnel portées sur le procès-verbal de contrôle antidopage visant à assurer la coordination des contrôles entre les organisations antidopage signataires du code mondial antidopage et de mettre en œuvre les enquêtes et procédures disciplinaires conduites par l'AFLD, qui est créé par le projet de décret ; - le traitement automatisé de données à caractère personnel visant à faciliter les échanges d'informations relatives aux demandes d'autorisations d'usage à des fins thérapeutiques entre l'AFLD, l'AMA et les organisations antidopage signataires du code mondial antidopage, qui est modifié par le projet de décret. Il est pris en application de l'article L. 232-12 du code du sport pour le traitement de données à caractère personnel constitué pour mettre en œuvre le dispositif de caméras individuelles. S'agissant des trois autres traitements de données à caractère personnel mentionnés dans le projet de décret, bien qu'une autorité publique indépendante est en principe compétente pour créer et mettre en œuvre ses traitements de données à caractère personnel, au titre de ses missions déterminées par la loi, la création et l'encadrement des traitements de l'AFLD par voie réglementaire semble en l'espèce justifiés par la convention internationale contre le dopage dans le sport, signée en 2005 sous l'égide de l'Organisation des Nations Unies pour l'éducation, la science et la culture (UNESCO), obligeant les Etats signataires à adopter les mesures appropriées aux niveaux national et international conformes aux principes énoncés par le code mondial antidopage ainsi que par les dispositions du code mondial antidopage. Dans la mesure où les traitements de données à caractère personnel visés par le projet de décret sont susceptibles d'engendrer un risque élevé pour les droits et les libertés des personnes physiques concernées, notamment parce qu'ils portent sur des données sensibles (données de santé), l'AFLD a réalisé pour chacun d'eux une analyse d'impact relative à la protection des données (AIPD), conformément aux exigences de l'article 35 du RGPD et de l'article 90 de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi informatique et libertés ). Emet l'avis suivant sur le projet de décret : Observations d'ordre général communes à l'ensemble des traitements de données à caractère personnel visés par le projet de décret : A titre liminaire, la Commission relève que la création de ces traitements, dont certains ont été prévus par la loi, ne soulèvent pas de difficulté dans leur principe. Sur le régime juridique applicable : A l'exception du traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionné à l'article L. 232-12 du code du sport, la Commission observe que les autres traitements de données à caractère personnel objets du projet de décret relèvent du RGPD. En effet, leur finalité est de renforcer l'efficacité de la lutte contre le dopage, notamment en permettant l'établissement du profil biologique des sportifs, la coordination des contrôles entre les organisations antidopage signataires du code mondial antidopage et la mise en œuvre d'enquêtes et de procédures disciplinaires conduites par l'AFLD ainsi que les échanges d'informations relatives aux demandes d'autorisations d'usage à des fins thérapeutiques entre l'AFLD, l'AMA et les organisations antidopage signataires du code mondial antidopage. Concernant le traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionné à l'article L. 232-12 du code du sport, les enregistrements seront utilisés par les agents chargés de la lutte contre le dopage dans l'exercice de leurs missions de protection de la santé publique dans le domaine sportif et de prévention des atteintes à l'ordre public pouvant résulter de la commission des infractions en lien avec des faits de dopage . Selon le projet d'article R. 232-41-13-1-2° du code du sport, ils ont notamment pour finalité le constat des violations et infractions aux dispositions du code du sport applicables en matière de lutte contre le dopage (dont les dispositions pénales) et la poursuite de leurs auteurs par la collecte de preuves. Par ailleurs, d'après le projet d'article R. 232-41-13-4 du code du sport, la durée de conservation des données est modifiée pour les besoins d'une enquête ou d'une procédure disciplinaire . Aussi, contrairement à l'analyse du ministère, la Commission estime que la finalité de ce traitement n'est pas simplement de vérifier le bon déroulement des opérations de contrôle antidopage. En effet, ce traitement va permettre de constater les violations et infractions aux dispositions des articles L. 232-1 et s. du code du sport et, possiblement de qualifier pénalement certains agissements entrant dans le champ des articles L. 232-25 et suivants du même code. Au regard de ces éléments, les dispositions du projet de décret attribuent à l'AFLD de nouvelles prérogatives lui donnant la compétence de rechercher et de détecter des infractions pénales énoncées par le code du sport (en complément de ses compétences traditionnelles pour sanctionner au plan administratif les faits de dopage). A ce titre, elle apparaît comme une autorité compétente au sens de la directive police-justice . Par conséquent, la Commission invite le ministère à appliquer le régime juridique de la directive police-justice tel qu'énoncé aux article 87 et s. de la loi informatique et libertés au seul traitement de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l'article L. 232-12 du code du sport. Sur l'information des personnes concernées et les modalités d'exercice des droits : En tant que responsable de traitement, l'AFLD est tenue de garantir le respect des principes du RGPD en matière d'information des personnes concernées et d'exercice des droits. En particulier, les sportifs concernés doivent être informés spécifiquement du transfert de leurs données à caractère personnel conformément aux exigences des articles 13-1-f et 14-1-f du RGPD. Selon l'article 12 du RGPD, le responsable de traitement doit répondre à une demande d'exercice des droits, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de sa réception. Ce délai peut, au besoin, être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Aussi, la Commission attire l'attention du ministère sur la nécessité de mettre à jour les dispositions concernées du projet de décret pour que celles-ci répondent à ces exigences. Par ailleurs, la Commission invite l'AFLD à actualiser les AIPD et les documents d'information remis aux sportifs pour répondre aux exigences des articles 12 et s. du RGPD. Elle encourage également l'AFLD à modifier ses pratiques, en particulier pour que l'information des personnes concernées intervienne systématiquement, au plus tard au moment de la collecte des données à caractère personnel. Sur les transferts de données à caractère personnel réalisés pour lutter contre le dopage : Selon l'article L. 232-5 du code du sport, aux fins de lutter efficacement contre le dopage au niveau mondial, l'AFLD coopère avec d'autres organismes, en particulier l'AMA et les organisations antidopage signataires du code mondial antidopage. A l'exception du traitement visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l'article L. 232-12 du code du sport, l'AFLD procède, comme le prévoit le code mondial antidopage, à des transferts de données à caractère personnel auprès de l'AMA et des organisations de lutte contre le dopage, à partir des traitements mentionnés dans le projet de décret dont elle est responsable de traitement au sens de l'article 4-7) du RGPD. Ces transferts peuvent comporter des données concernant la santé au sens de l'article 4-15) du RGPD. La nécessité de réaliser ces transferts n'est pas remise en cause par la Commission. Concernant les transferts de données réalisés par l'AFLD pour alimenter la plateforme internationale ADAMS dont l'AMA, située au Canada, est responsable de traitement, la Commission rappelle qu'une décision d'adéquation de la Commission européenne 2002/2/ CE du 20 décembre 2001 autorise les transferts de données à caractère personnel vers ce pays, dans le cadre d'activités commerciales. Elle prend note que l'AFLD s'appuie sur un courrier du Comité européen de la protection des données (CEPD) à destination de la présidence du Conseil de l'Europe du 9 octobre 2019, qui considère que les transferts depuis une organisation européenne de lutte contre le dopage vers ADAMS sont valides dans le cadre de cette adéquation. La Commission souligne que les décisions d'adéquation, adoptées avant l'entrée en application du RGPD, sont actuellement en cours de révision par la Commission européenne et restent valables tant qu'elles n'ont pas été modifiées à la suite de cette révision. Concernant, les transferts de données réalisés par l'AFLD directement auprès d'autres organisations de lutte contre le dopage, ils s'effectuent quant à eux vers des pays situés en dehors de l'Union européenne. Certains pays peuvent bénéficier d'une décision d'adéquation couvrant ces transferts. Pour d'autres, l'AFLD, comme tout exportateur et conformément à l'arrêt Schrems II de la Cour de justice de l'Union européenne du 16 juillet 2020, devra évaluer au cas par cas la législation et les pratiques des pays vers lesquels sont transférées les données et mettre en place l'instrument d'encadrement le plus approprié pour garantir que ces données font l'objet d'une protection substantiellement équivalente à celle dans l'Union européenne. L'AFLD pourra s'appuyer sur les instruments prévus par le RGPD, comme les clauses contractuelles types de la Commission européenne, le cas échéant, complétés de mesures supplémentaires au sens des recommandations n° 01/2020 du CEPD du 10 novembre 2020, ou éventuellement de recourir à l'application des dérogations prévues à l'article 49 du RGPD, éclairé par son considérant 112. Observations propres à certains des traitements de données à caractère personnel mis en œuvre par l'AFLD : Sur le traitement de données à caractère personnel constitué aux fins d'établir le profil biologique des sportifs : Le projet d'article R. 232-41-3 du code du sport étend la nature des données collectées dans le traitement mis en œuvre par l'AFLD pour déterminer le profil biologique des sportifs mentionnés à l'article L. 230-3 du code du sport. Il ajoute la collecte de données à caractère personnel supplémentaires, notamment : - mention de l'absence de participation du sportif à un entraînement ou à une compétition au cours des deux heures précédant le prélèvement sanguin ; - mention, s'il y a lieu, du séjour ou de la participation du sportif à des stages ou à des compétitions à une altitude supérieure à 1500 mètres ou du recours à un dispositif de simulation de l'altitude au cours des deux dernières semaines ; - mention, s'il y a lieu, de son exposition à des conditions environnementales extrêmes au cours des deux heures précédant le prélèvement de l'échantillon, y compris les séances dans une chaleur artificielle. Selon le ministère, les données supplémentaires qui seront collectées doivent permettre d'assurer la transposition en droit interne des principes du code mondial antidopage, des standards internationaux et des lignes directrices associés. La Commission constate que ces données correspondent aux dispositions des lignes directrices de l'AMA applicables au passeport biologique de l'athlète, dans leurs versions d'avril 2021. Dans ces conditions, elle estime que ces nouvelles données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 5-1-c du RGPD. Sur le traitement de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l'article L. 232-12 du code du sport : A titre liminaire, la Commission observe que l'usage des dispositifs de caméras individuelles se généralise. La Commission rappelle que le traitement projeté relève des dispositions de la directive police-justice telle que transposée aux articles 87 et s. de la loi informatique et libertés . En premier lieu, s'agissant des finalités du dispositif, l'article L. 232-12 du code du sport a ouvert la possibilité aux agents chargés des contrôles antidopage visés par l'article L. 232-11 de ce code d'utiliser des caméras individuelles pour procéder à l'enregistrement de la notification du contrôle. D'après le projet d'article R. 232-41-13-1 du code du sport, l'enregistrement des données a pour objet de : - prévenir les incidents au cours des opérations de contrôle ; - constater les violations aux dispositions du code du sport applicables en matière de lutte contre le dopage sur les plans administratif et pénal et poursuivre leurs auteurs par la collecte de preuves ; - former les personnes chargées des contrôles. Dans le cadre de l'examen de la légalité de la mesure fondant l'introduction du dispositif de caméras individuelles pour lutter contre le dopage, le Conseil d'Etat a considéré que cette mesure était justifiée par un motif d'intérêt général lié à la protection de la santé publique dans le domaine sportif et ne présentait pas un caractère disproportionné par rapport aux finalités qui lui sont assignées (CE, 6 et 13 avril 2021, section de l'intérieur, note, n° 402566). Selon le ministère, le déploiement de ce dispositif entend répondre au besoin de renforcer l'efficacité de la lutte contre le dopage en ne limitant pas celle-ci à la détection de substances interdites dans l'organisme des sportifs. La majorité des violations aux règles antidopage ne seraient en effet pas d'origine analytique mais résulteraient d'incidents survenus au cours du déroulement des opérations de contrôle (p. ex. : soustraction au prélèvement d'échantillons, refus de prélèvement, falsification des éléments de contrôle). Aussi, au regard de ces éléments, la Commission estime que les finalités du traitement telles que définies dans le projet de décret sont déterminées, explicites et légitimes, conformément à l'article 4-2° de la loi informatique et libertés . En deuxième lieu, s'agissant du périmètre du dispositif, les caméras individuelles peuvent également être utilisées pour toute autre phase du contrôle (p. ex. : fourniture de renseignements à inscrire sur le procès-verbal de contrôle, scellé des échantillons), lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de ces opérations ou au comportement des personnes concernées . Seul l'acte de prélèvement biologique est exclu du dispositif. Le projet de décret n'apporte pas de précisions quant aux situations dans lesquelles les agents chargés des contrôles sont autorisés à activer leurs caméras. Néanmoins, la Commission prend acte de ce que l'AFLD s'est engagée à établir à l'attention des préleveurs une liste des situations qui justifient qu'on déclenche l'enregistrement comme par exemple les cas dans lesquels un sportif allègue qu'il doit s'absenter du poste du contrôle, les situations de tension ou encore les situations dans lesquelles un tiers intervient et perturbe le bon déroulement du contrôle . De ce point de vue, la doctrine que l'AFLD doit construire pour déterminer les conditions d'utilisation des caméras doit garantir une collecte proportionnée des données à caractère personnel conformément aux dispositions de l'article 4-3° de la loi informatique et libertés . La Commission invite par conséquent l'AFLD, comme celle-ci s'y est engagée, à formaliser cette doctrine dans les délibérations encadrant la formation des agents en charge des contrôles et le déroulement de ces contrôles. Par ailleurs, les agents chargés des contrôles antidopage peuvent utiliser les caméras individuelles dans tous les lieux où se déroulent des opérations de contrôle antidopage, y compris au domicile du sportif. Selon le ministère, ces agents sont particulièrement sensibilisés à l'exigence de respecter l'intimité et la vie privée du sportif et ne doivent pas déclencher l'enregistrement et / ou doivent mettre un terme au contrôle, si certaines garanties ne sont pas remplies. Il appartient dès lors à l'AFLD de déterminer des règles particulières pour encadrer, de manière stricte, l'utilisation des caméras individuelles au sein de lieux particulièrement sensibles tels que les lieux d'habitation, notamment en restreignant leur utilisation à des circonstances précisément identifiées en amont. En troisième lieu, s'agissant des mesures techniques, le projet d'article R. 232-41-13-3 du code du sport prévoit que les enregistrements réalisés au sein même du dispositif de la caméra sont transférés sur un support informatique sécurisé, propre à l'AFLD, à l'issue de la mission de contrôle. Ils ne peuvent être consultés qu'après ce transfert. Aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre. La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir de respect de ces exigences. Si le modèle de caméra actuellement présélectionné semble pouvoir le garantir, le modèle de caméra finalement choisi devra permettre à la fois l'impossibilité de visionnage des enregistrements depuis la caméra, le chiffrement en local sur le support de stockage de la caméra ainsi que le contrôle d'accès du visionnage et de l'impossibilité de la modification des vidéos prises, une fois celles-ci transférées, tel que mentionné dans l'AIPD. En quatrième lieu, s'agissant du droit à l'information des personnes concernées, l'article L. 232-12 du code du sport prévoit que les caméras sont portées de façon apparente par les agents chargés des contrôles antidopage et qu'un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l'enregistrement fait l'objet d'une information des personnes filmées, sauf si les circonstances l'interdisent . De plus, d'après le projet d'article R. 232-41-13-6 du code du sport, une information générale des sportifs sur l'emploi de ces caméras est délivrée sur le site web de l'AFLD. Concernant le dispositif prévu, le ministère a précisé qu'il envisage d'améliorer les modalités d'information en intégrant une mention sur le procès-verbal de contrôle antidopage signé par le sportif concerné. Il a aussi indiqué que l'enregistrement pourrait intervenir, sans information préalable du sportif, dans les hypothèses où le sportif se soustrairait au contrôle en s'enfuyant de la compétition ou avant que sa notification n'ait pu être délivrée. En outre, aucune information particulière ne sera réalisée lorsque le contrôle sera organisé au domicile du sportif. Au regard de ces éléments, la Commission invite l'AFLD à réfléchir à une traduction concrète et opérationnelle des termes sauf si les circonstances l'interdisent afin que ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention , comme le relève le Conseil constitutionnel, dans sa décision n° 2021-817 DC du 20 mai 2021, à propos des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale. Aussi, ces circonstances pourraient être précisées par l'AFLD dans les délibérations qu'elle prend aux fins d'encadrer la formation des agents chargés des contrôles antidopage et le déroulement de ces contrôles. Par ailleurs, la Commission encourage également à ce que les modalités d'information des sportifs, dont le domicile est filmé, soient explicitées dans les délibérations de l'AFLD encadrant la formation des agents chargés des contrôles antidopage et le déroulement de ces contrôles. En cinquième lieu, s'agissant de la sécurité des données et de la traçabilité des actions, le projet d'article R. 232-41-13-5 du code du sport prévoit, comme le relève la Commission, que chaque opération de consultation, d'extraction ou d'effacement de données fait l'objet d'un enregistrement dans le traitement ou, à défaut, d'une consignation dans un registre spécialement ouvert à cet effet. Ce registre comporte les nom, prénom et fonction de l'agent procédant à l'opération, la date et l'heure, le motif de l'extraction, le destinataire des données, l'identification des enregistrements audiovisuels extraits et de la caméra dont ils sont issus. La durée de conservation de ces données est fixée à six mois. En sixième lieu, s'agissant des autres dispositions, le projet de décret précise que les enregistrements utilisés à des fins de formation sont anonymisés, préalablement à leur transmission aux agents en charge de la formation. D'après les lignes directrices n° 05/2014 du CEPD du 05/2014 du 10 avril 2014 sur les techniques d'anonymisation, un traitement de données est a priori anonyme dès lors qu'il n'est possible ni d'individualiser, ni de corréler, ni d'inférer les données. L'anonymisation devra par conséquent couvrir l'ensemble des données et notamment les éléments visuels et sonores des enregistrements. Les autres points du projet de décret n'appellent pas d'observations particulières de la Commission. La présidente, M.-L. Denis


Délibération de la formation restreinte no SAN-2023-018 du 12 décembre 2023 concernant la commune de KOUROU

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Christine MAUGÜÉ ; MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 août 2023 ; Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la commune de KOUROU le 11 septembre 2023 ; Vu la clôture de l’instruction notifiée à la commune le 23 octobre 2023 ; Vu les autres pièces du dossier ; Lors de la séance de la formation restreinte du 30 novembre 2023 : - Était présente, Madame Valérie PEUGEOT, commissaire, entendue en son rapport ; - Etaient absents les représentants de la commune de KOUROU […] régulièrement convoqués. La formation restreinte a adopté la délibération suivante : I. Faits et procédure 1. La commune de KOUROU (ci-après " la commune "), est une collectivité territoriale de 25 000 habitants, située dans la collectivité territoriale unique de Guyane, dont la mairie se trouve 30 avenue des Roches à Kourou (97310). 2. Par courrier du 2 juin 2021, dans le cadre des missions définies à l’article 8 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a alerté la commune de KOUROU sur l’absence de désignation d’un délégué à la protection des données (ou " DPD ") en son sein. 3. Ce courrier est resté sans suite de la part de la commune de KOUROU (ci-après " la commune "). 4. Le 25 avril 2022, la Présidente de la CNIL a mis en demeure la commune, sous un délai de quatre mois à compter de la notification de cette décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un DPD. Cette décision, rendue publique après délibération du bureau de la CNIL du 5 mai 2022, a été notifiée à la commune le 19 mai 2022 par lettre recommandée avec accusé de réception. 5. Cette mise en demeure est restée sans réponse de la commune qui n’a pas désigné de DPD. 6. Dans le cadre d’une procédure de sanction simplifiée, le président de la formation restreinte a prononcé, par décision du 8 février 2023, une amende à l’encontre de la commune d’un montant de cinq mille euros pour les manquements aux articles 31 et 37-1-a) du RGPD et une injonction de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de ladite décision, intervenue le 25 février 2023. 7. En l’absence de réponse de la commune et de désignation d’un DPD, la présidente de la Commission a, le 28 août 2023, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 39 du décret n°2019-536 du 29 mai 2019 modifié. 8. À l’issue de son instruction, la rapporteure a, le 13 septembre 2023, fait notifier à la commune un rapport détaillant les manquements aux articles 37-1-a) et 31 du règlement général sur la protection des données (ci-après " RGPD ") qu’elle estimait constitués en l’espèce. Elle proposait à la formation restreinte de prononcer un rappel à l’ordre et une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent cinquante euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération et que cette décision soit rendue publique. 9. Par courrier du 19 octobre 2023, la rapporteure a informé la commune que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019. 10. Par courrier du 20 octobre 2023, la commune a été informée que le dossier était inscrit à la séance de la formation restreinte du 16 novembre 2023. 11. Par courrier du 9 novembre 2023, la commune a été informée que le dossier était reporté à la séance de la formation restreinte au 30 novembre 2023. 12. La rapporteure a été entendue lors de la séance de la formation restreinte du 30 novembre 2023. La formation restreinte a constaté l’absence de la commune qui n’était ni présente ni représentée. II. Motifs de la décision A. Sur le manquement à l’obligation de désigner un délégué à la protection des données en application de l’article 37, paragraphe 1, a) du RGPD 13. En droit, l’article 37, paragraphe 1, a) du RGPD dispose que " Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque : a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle […] ". 14. La formation restreinte rappelle l’importance du rôle du délégué à la protection des données devenu obligatoire au sein des autorités et organismes publics depuis l’entrée en application le 25 mai 2018 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. La désignation d’un délégué à la protection des données est essentielle pour assurer la conformité des organismes avec les dispositions du RGPD. 15. La formation restreinte relève que les autorités publiques chargées de missions de service public traitent de nombreuses données à caractère personnel (données d’administrés, d’agents publics et d’élus) dont certaines sont des données sensibles et doivent particulièrement veiller à leur protection dans un contexte d’accroissement des attaques informatiques à l’encontre des organismes publics. 16. Le délégué à la protection des données est en charge, conformément à l’article 39 du RGPD, notamment d’informer et conseiller le responsable de traitement sur les obligations qui lui incombe, contrôler le respect du RGPD en procédant à l’analyse et la vérification des activités de traitement et faire office de point de contact pour l’autorité de contrôle sur les questions relatives aux traitements. En outre, le délégué à la protection des données constitue également le point de contact des personnes concernées, notamment les administrés, au sujet de questions relatives au traitement de leurs données à caractère personnel et à l’exercice des droits que leur confère le règlement conformément à l’article 38-4 du RGPD. 17. En l’espèce, il résulte de l’instruction que la commune n’a pas procédé à la désignation d’un délégué à la protection des données alors qu’elle y était tenue depuis le 25 mai 2018. 18. En conséquence, les faits précités constituent un manquement à l’article 37-1-a) du RGPD. B. Sur le manquement à l’obligation de coopérer avec les services de la CNIL en application de l’article 31 du RGPD 19. En droit, l’article 31 du RGPD dispose que " le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions ". 20. En l’espèce, la formation restreinte relève que la commune n’a pas répondu à la lettre de la Présidente de la CNIL du 2 juin 2021 l’invitant à désigner un délégué à la protection des données, pas plus qu’elle n’a répondu à la mise en demeure du 25 avril 2022 et à la décision du président de la formation restreinte du 8 février 2023 lui enjoignant de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de sa décision intervenue le 25 février 2023. 21. Ainsi, la formation restreinte considère que la commune de Kourou, en s’abstenant de répondre à toutes les correspondances de la CNIL, a méconnu l’obligation prévue à l’article 31 du Règlement. III. Sur les mesures correctrices et leur publicité 22. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée : 23. " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ". 24. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. 25. En 2021, le résultat global de clôture du compte administratif du budget principal de la commune était en déficit de 13 094 989,01 euros. En 2022, son budget principal était proposé par la chambre régionale des comptes de Guyane en déficit de 3 570 006 euros. 26. La formation restreinte considère que, dans le cas d’espèce, les manquements précités justifient que soient prononcés une amende administrative et une injonction de désigner un délégué à la protection des données à l’encontre de la commune. A. Sur le prononcé d’une amende administrative 27. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. 28. La formation restreinte relève le rôle central du délégué à la protection des données, pierre angulaire du régime de responsabilité, qui facilite le respect des règles, agit comme intermédiaire entre les administrés et une collectivité publique et vient ainsi renforcer la confiance accordée aux organismes publics. 29. Au vu de la nature de l’organisme concerné, commune de plus de 16 000 habitants qui exerce des missions de service public, la formation restreinte estime nécessaire de sensibiliser la commune sur l’indispensable protection des données à caractère personnel qu’elle traite au titre de ses missions par la désignation d’un délégué à la protection des données. 30. La formation restreinte considère que la persistance de l’absence de désignation d’un délégué à la protection des données par la commune témoigne d’un mépris des obligations pesant sur elle en matière de protection des données à caractère personnel, et ce, d’autant plus que cette désignation aurait dû intervenir dès la mise en application du RGPD le 25 mai 2018. 31. La formation restreinte souligne que ce manquement a perduré malgré les différentes procédures initiées par la CNIL à l’encontre de la commune. 32. Ainsi, la formation restreinte relève que, malgré les diverses mesures correctrices prises par la CNIL, à savoir une mise en demeure de sa présidente de remédier à ce manquement puis une sanction du président de la formation restreinte assortie d’une amende administrative de cinq mille (5 000) euros, la commune n’a pas pris les mesures nécessaires pour assurer sa mise en conformité, et ce, malgré les injonctions précises qui lui avaient été adressées. 33. En outre, la commune a manqué à son obligation de coopération avec la CNIL par l’absence de toute réponse. 34. Aussi, la formation restreinte considère que le prononcé d’une amende à l’encontre de la commune est justifié par la persistance des manquements relatifs à l’absence de désignation d’un délégué à la protection des données et au défaut de coopération depuis la décision du 8 février 2023 rendue par le président de la formation restreinte. 35. Par ailleurs, la formation restreinte souligne que les faits sanctionnés seraient susceptibles de porter une atteinte suffisamment caractérisée aux dispositions dont la CNIL a pour mission d’assurer l’application et de constituer ainsi une infraction pénale en application du 2° de l’article 226-22-2 du code pénal. 36. En conséquence, la formation restreinte considère que ces manquements justifient qu’une amende administrative soit prononcée. 37. S’agissant du montant de l’amende, compte tenu de l’activité de l’organisme qui est une collectivité territoriale et de sa situation financière, la formation restreinte considère que le prononcé d’une amende administrative de 5 000 euros apparaît justifié. B. Sur le prononcé d’une injonction assortie d’une astreinte 38. En premier lieu, la formation restreinte relève que la commune n’a toujours pas procédé à la désignation d’un délégué à la protection des données. 39. Au regard de la persistance du manquement relevé au titre de la désignation d’un délégué à la protection des données persiste, la formation restreinte estime nécessaire le prononcé d’une injonction afin que la commune se mette en conformité avec ses obligations. 40. En second lieu, la formation restreinte souligne qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. 41. La formation restreinte ajoute qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité des manquements reprochés mais également adapté aux capacités financières du responsable de traitement. 42. Au regard de ces éléments, la formation restreinte considère proportionné le prononcé d’une astreinte d’un montant de 150 euros par jour de retard et liquidable à l’issue d’un délai de deux mois. C. Sur la publicité de la décision 43. Enfin, la formation restreinte estime nécessaire que sa décision soit rendue publique au regard de la gravité des manquements et de leur persistance. 44. Elle souligne que la protection des données à caractère personnel par les collectivités publiques est d’autant plus importante qu’elles traitent un nombre considérable de données, dont certaines sont sensibles. En outre, les enjeux de cybersécurité, notamment au regard de la recrudescence des attaques à l’encontre des systèmes d’informations de ces entités, font ressortir l’importance du rôle du délégué à la protection des données auprès des collectivités publiques. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la commune de KOUROU une amende administrative d’un montant de cinq mille (5 000) euros au regard des manquements constitués aux articles 31 et 37 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ; • prononcer à l’encontre de la commune de KOUROU une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent-cinquante (150) euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte ; • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la commune de KOUROU à l’expiration d’un délai d’un an à compter de sa publication ; • ordonner à la commune de publier, sur le site officiel de la commune de KOUROU accessible à l’adresse https://www.ville-kourou.fr/, un message d’information à destination de ses usagers quant à la présente décision de la formation restreinte ; La publication de ce communiqué sera effectuée selon les modalités suivantes : - L’encart inséré reproduira avec fidélité le texte suivant : " Communiqué : la formation restreinte de la Commission nationale de l’informatique et des libertés a prononcé une amende de 5000 euros contre la commune de Kourou et une injonction de désigner un délégué à la protection des données assortie d’une astreinte de 150 euros par jour de retour dans un délai de deux mois après la notification de la décision pour manquements à la désignation d’un délégué à la protection des données et à l’obligation de coopérer avec les services de la CNIL. Décision accessible à l’adresse suivante : https://www.cnil.fr/fr/sanction-kourou" - Le texte https://www.cnil.fr/fr/sanction-kourou comportera un pointeur hypertexte activable par l’utilisateur - Le communiqué figurera dans un encart spécifique localisé sur la page accessible à l’adresse https://www.ville-kourou.fr/. Cet encart sera inséré sous le bandeau contenant les boutons " la mairie ; politique de la ville ; urbanisme ; éducation ; culture, sports, partenaires " - Le texte publié sera encadré selon le style employé par la mairie sur son site dans la police identique à celle utilisée dite " montserrat " et dont la taille ne saurait être inférieure à 14 pixels - La publication est ordonnée pour une durée de 4 jours à compter de 12h00, heure de Paris (France), le septième jour suivant la notification de la présente délibération - A l’issue de la période mentionnée ci-dessus, la commune procédera au retrait du texte de l’encart. Le vice-président Philippe-Pierre CABOURDIN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de trois mois à compter de sa notification.