Délibération n° 2023-080 du 20 juillet 2023 portant avis sur un projet de décret en Conseil d’État relatif à la création du traitement automatisé de données à caractère personnel permettant la gestion du répertoire statistique d’individus et de logements, et sur l’arrêté y afférent

Date de l’avis : 20 juillet 2023 N° de la délibération : 2023-080 N° de demande d’avis : 23001568 Texte concerné : projet de décret et projet d’arrêté Thématiques : Statistique publique, répertoire statistique ; code statistique non signifiant Fondement de la saisine : article 8- I- 4°- a) de la loi du 6 janvier 1978 modifiée L’essentiel : 1. Le projet RESIL permettra la création d’un répertoire statistique exhaustif de la population résidente et du parc immobilier français. Il constitue un traitement d’une ampleur exceptionnelle. La CNIL relève les efforts importants mis en œuvre par l’INSEE pour s’assurer de la conformité de ce traitement à la réglementation en matière de protection des données. 2. La CNIL ne remet pas en cause le principe de la création d’un tel répertoire ni sa nécessité et son utilité. Compte tenu de son ampleur, la proportionnalité d’un tel traitement devrait être confortée en aménageant des garanties complémentaires, notamment pour limiter le risque de détournement de finalité et assurer une meilleure transparence vis-à-vis des citoyens. La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif à la création du traitement automatisé de données à caractère personnel permettant la gestion du répertoire statistique d'individus et de logements, et sur l’arrêté y afférent ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, ci-après la loi " informatique et libertés ", notamment son article 8-I-4°-a) ; Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, I. La saisine A. Contexte de la saisine L’Institut national de la statistique et des études économiques (INSEE) envisage de créer un traitement dénommé Répertoire statistique d'individus et de logements (ci-après " Résil "). Pour la conduite de ses études statistiques sur la population française, l’INSEE procède notamment à des appariements de bases de données administratives. Lorsque cet appariement ne peut pas se faire en utilisant un numéro d’identification commun aux bases appariées, l’INSEE utilise des méthodes basées sur d’autres caractéristiques communes, qui conduisent à des taux d’erreur variables selon le contexte. Le projet Résil s’inscrit dans la volonté de l’INSEE d’améliorer les appariements de données et la qualité des résultats statistiques en créant un nouvel identifiant, à usage statistique, qui serait attribué à toute personne résidant sur le territoire français. Le traitement Résil permettrait également de fiabiliser et rendre moins couteux les appariements, allégeant la collecte d’informations par voie d’enquête. Ce projet s’inscrit dans une tendance largement partagée à l’international. Enfin, il répond en outre à un besoin conjoncturel pour faire face à la disparition en 2023 de la taxe d’habitation, dont le fichier constituait le support d’importantes opérations statistiques (tirage pour mener des enquêtes auprès des ménages, opérations de recensement, etc.). Le traitement Résil constitue un projet d’ampleur inédite. L’INSEE disposera d’une liste exhaustive et à jour de la population résidente et du parc immobilier français. Conscient du caractère exceptionnel de ce projet, l’INSEE a constitué un groupe de concertation, composé de personnalités d’horizons différents, placé sous l’égide du Conseil national de l'information statistique (CNIS) et présidé par M. Delarue, ancien président la Commission Nationale Consultative des Droits de l'Homme (CNCDH) et ancien contrôleur général des lieux de privation de liberté. À l’issue d’auditions, ce groupe a établi un rapport rendu public en novembre 2022 et confirmant l’intérêt du traitement Résil. Plusieurs réunions de travail ont eu lieu en 2022 et 2023 entre les services de la CNIL et l’INSEE sur ce projet. Une analyse d’impact relative à la protection des données (AIPD) a également été menée par l’INSEE. À l’issue de ses travaux d’auditions et de réflexions, le groupe de concertation n’a pas émis d’objection de principe au traitement Résil. Il a toutefois formulé une série de treize préconisations pour en assurer un encadrement juridique et déontologique adapté. L’INSEE et le président du groupe de concertation ont été auditionnés par la CNIL, le 1er juin 2023 pour présenter l’ensemble du projet et préciser leurs positions respectives. B. Objet de la saisine La CNIL est saisie d’une demande d’avis sur un projet de décret en Conseil d’État relatif à la création du traitement Résil et sur l’arrêté fixant la liste des sources pouvant être utilisées pour le constituer. Le traitement Résil sera constitué notamment à partir des fichiers de déclaration Sociale Nominative (DSN), de prélèvement à la source pour les revenus autres (Pasrau) ou encore de différents fichiers fiscaux. Il sera composé de deux sous-répertoires distincts, l’un portant sur les personnes résidant sur le territoire national et l’autre sur les logements. Les données que contiendra Résil se limiteront aux données énumérées à l’article 2 du projet de décret. Il ne comporte aucune donnée sensible. Concrètement, le traitement Résil est une liste exhaustive et mise à jour régulièrement de la population résidente et des logements en France, qui contiendra des données d’identification et des informations permettant d’établir de manière fiable des liens entre personnes et logements. Le numéro d'inscription au répertoire des personnes physiques (NIR) ne sera pas utilisé dans ces listes. Plus précisément, il sera fait usage du code statistique non signifiant (CSNS) créé par l’article 34 de la loi de 2016 pour une République numérique visant spécifiquement à permettre au service statistique public (SSP) de réaliser des appariements de données sans utiliser le NIR. Toute personne résidant sur le territoire français disposerait désormais d’un code statistique non signifiant. Selon le projet de décret, Résil constituera un répertoire ayant une finalité exclusivement statistique et non administrative. Il ne servira qu’à l’élaboration de statistiques par le SSP composé de l’INSEE et de services statistiques ministériels. Aucune décision individuelle ne pourra être prise à l’égard d’une personne au vu des données enregistrées dans le répertoire ou des résultats issus d’appariement avec d’autres sources. Le projet Résil poursuit plusieurs objectifs : améliorer les études statistiques et l’évaluation des politiques publiques, en fiabilisant et rendant moins coûteux les appariements de sources de données diverses, généralement constituées de fichiers administratifs opérationnels et d’enquêtes par échantillon, portant sur les personnes, les ménages et les logements ; constituer des bases de sondage dans lesquelles pourraient être tirés des échantillons pour les enquêtes réalisées par le SSP auprès des ménages, ainsi que préparer les enquêtes annuelles de recensement ; permettre la production des statistiques de population, à l’instar de l’utilisation actuelle des fichiers issus de la taxe d’habitation. L’une des finalités du projet Résil est donc la création au sein de l’INSEE d’un service d’appariement réservé au SSP. Il est envisagé une mise en œuvre progressive de ce répertoire à compter de janvier 2024 et une mise en service pour l’ensemble des services statistiques publics à la fin de l’année 2025. II. L’avis de la CNIL A. Sur la finalité et la nature du traitement Résil Le traitement Résil constituerait un répertoire de la population résidant en France, au sens où il serait constitué d’une liste exhaustive d’entités (personnes et logements) assortie d’informations permettant d’identifier ces entités sans ambiguïté, et de les relier à d’autres données au moyen d’identifiants (CSNS, identifiant logement). Il s’agit d’un répertoire statistique dès lors qu’il est exclusivement destiné à un usage de production de statistiques et n’aurait pas d’utilisation administrative. Comme le rapport du groupe de concertation l’a souligné, il existe une différence fondamentale entre un répertoire statistique et un répertoire administratif : un répertoire statistique ne sert qu’à l’élaboration de statistiques ; il n’est accessible qu’aux statisticiens de la statistique publique ; aucune décision ou appréciation individuelle ne peut être prise concernant une personne au vu des données stockées dans le répertoire. Ce type de répertoire se distingue également de ce qui est souvent désigné sous l’appellation de " fichier de population " ou " registre de population ". Bien qu’il n’en existe pas de définition précise, les registres de population (dénommés " registre national " en Belgique, " registre central de la population " en Suède) s’apparentent à une base de données comportant des informations sur un administré : nom ; prénoms ; date et lieu de naissance ; coordonnées postales, téléphoniques ou électroniques, voire bancaires ; quotient familial, situation par rapport à l’emploi, voire situation par rapport au taux d’endettement ; éventuellement sa photographie. Il s’agit ainsi d’un " annuaire administratif ", consultable par la plupart des administrations. Un tel fichier est généralement utilisé pour établir les titres d’identité et attribuer un numéro d’identification personnel. Ce type de registre repose parfois sur une obligation de déclarer un changement de domicile. La doctrine de la CNIL a toujours été défavorable à la création de ce type de fichiers. Leur constitution soulève deux objections principales. D’une part, dans la mesure où elle permet potentiellement la mise en relation de toutes les informations contenues dans les fichiers où figure l’identifiant individuel utilisé dans le registre de population, elle augmente le risque qu’un acteur accède et traite plus de données à caractère personnel que nécessaires. La CNIL a toujours plaidé en faveur de fichiers sectoriels, par groupes homogènes de finalités dans les différents domaines d’action de l’administration, avec la constitution éventuelle d’identifiants individuels sectoriels. D’autre part, la constitution de tels fichiers soulève des enjeux importants en matière de sécurité. Contrairement à d’autres pays européens (par exemple : Finlande, Espagne, Pays-Bas), la France ne dispose pas de " registre de population ". Selon le rapport du groupe de concertation, il n’est ni envisageable ni envisagé que la France s’oriente vers un tel dispositif. Les pays ne disposant pas de registre de population ni d’identifiant individuel unique ont opté majoritairement pour la mise en place d’un répertoire statistique national permettant de faciliter l’appariement des données à des fins statistiques et de conduire des opérations de recensement de la population. Parmi ces différents modèles, Résil se rapprocherait des exemples néo-zélandais et canadien. Enfin, la CNIL souligne que le projet Résil est différent du projet Safari (pour Système automatisé pour les fichiers administratifs et le répertoire des individus) initié en 1973. Le projet Safari reposait sur l’informatisation du Répertoire National d’Identification des Personnes Physiques (RNIPP), répertoire à finalité administrative. Il prévoyait d’utiliser le NIR comme identifiant unique à chaque personne pour l’ensemble des répertoires et fichiers publics dans le cadre général de l’informatisation et de la modernisation des administrations. Le projet Safari a donné lieu à de vifs débats relatifs aux enjeux pour la vie privée et les libertés individuelles. Le risque majeur perçu concernait les interconnexions possibles, incontrôlables, entre fichiers publics, susceptibles d’entraîner un renforcement du pouvoir d’État sur les citoyens par une utilisation pour des finalités administratives par les ministères de l’intérieur et de la justice. Le second risque était de voir niée l’identité humaine, la personne n’étant désignée que par un numéro au détriment du respect de son identité. La loi " informatique et libertés " fut une réponse à ces risques. L’article 1er de la loi pose le principe de la protection de l’identité humaine. L’article 30 soumet l’utilisation du RNIPP à un contrôle et une réglementation particulière. Enfin, la loi " informatique et libertés " a donné naissance à la CNIL, première autorité administrative indépendante créée en France. Résil se distingue donc de Safari, d’abord par sa finalité strictement statistique, et non administrative. En outre, il convient de souligner que la polémique autour du projet Safari intervenait dans un contexte technologique et réglementaire différent. Aujourd’hui, l’informatisation de l’action publique est encadrée. L’encadrement juridique a également évolué, la protection des données à caractère personnel traitées par des moyens automatisés s’étant renforcée, notamment avec l’adoption du RGPD. Au regard de l’ensemble de ces considérations, la CNIL estime que les finalités du projet Résil sont, en elles-mêmes, déterminées, explicites et légitimes. Un tel traitement relèverait du RGPD et serait placée sous la responsabilité de l’INSEE. Il convient de vérifier que le traitement spécifiquement envisagé par l’INSEE est nécessaire et ne porte pas une atteinte disproportionnée à la vie privée, au regard des garanties apportées. B. Sur la nécessité du traitement Résil L’INSEE fait valoir les éléments ci-après sur la nécessité du traitement : le besoin d’avoir une meilleure connaissance statistique de la population et de fiabiliser les appariements à des fins statistiques et de recherche pour éclairer les politiques publiques ; de façon plus conjoncturelle, la disparition de la taxe d’habitation utilisée pour des opérations statistiques, qui oblige à mobiliser de nouvelles sources de données pour constituer une base statistique ; les pays ne disposant pas de registre de population et d’identifiant partagé – comme dans le cas français – ont opté majoritairement pour la mise en place d’un répertoire statistique national (par exemple, en Nouvelle-Zélande et au Canada) ; enfin, il n’y aurait pas d’alternative satisfaisante à la constitution d’un répertoire national statistique exhaustif de la population. En particulier, un répertoire basé sur échantillon de la population ou un nombre limité de sources exclurait certaines populations (par exemple, les jeunes étudiants, ainsi que certains jeunes actifs et personnes âgées). Le rapport du groupe de concertation a conclu à la nécessité de ce répertoire faute notamment d’une alternative convaincante et au regard des initiatives menées dans d’autres pays, notamment européens. Il ressort effectivement des pièces du dossier que, en premier lieu, les appariements présentent des limites, notamment pour certains types de population (étudiants, personnes de nationalité étrangère, etc.), affectant la fiabilité fine de certaines statistiques. En second lieu, l’absence d’un répertoire statistique tel que Résil ne permet pas à l’INSEE de calculer aisément et précisément certaines statistiques de base sur l’ensemble de la population résidant en France. Eu égard aux besoins de l’administration, notamment en matière d’évaluation des politiques publiques, la CNIL considère que l’utilité et la nécessité du traitement Résil sont suffisamment démontrées au regard de l’ensemble des éléments présentés tant par l’INSEE que par le groupe de concertation. C. Sur la proportionnalité du traitement Résil Le traitement Résil tel qu’envisagé par l’INSEE, présente, de par son ampleur et les appariements de données qu’il permet, des risques pour les droits et libertés et en particulier la vie privée : la constitution d’un répertoire exhaustif et à jour comprenant des données à caractère personnel porte par elle-même une atteinte à la vie privée en permettant à son responsable d’accéder à tout moment à ces informations et de les traiter ; en l’espèce, le traitement comprendra des éléments d’état-civil mais aussi sur le logement des personnes ainsi que des informations, concernant des personnes nées à l’étranger ; les risques de détournement de finalité du répertoire, s’il est utilisé à des fins autres que statistiques (par exemple pour l’instruction d’une demande d’usager, pour la lutte contre la fraude, ou encore par les forces de l’ordre dans leurs missions de police administrative et judiciaire) ; risques liés à une violation de données (par exemple, compromission des identifiants, utilisation des données à d’autres fins par des tiers et notamment des acteurs privés). Ces risques nécessitent que des garanties fortes soient prévues pour s’assurer de la proportionnalité du dispositif. Une série de garanties techniques et juridiques seront mises en œuvre par l’INSEE, en particulier : le projet de décret exclut toute utilisation à des fins autres que statistiques des données. En effet, l’article 1er du projet de décret précise que la finalité de ces traitements " ne peut être que statistique, fondée sur des motifs d’intérêt public, à l’exclusion de tout autre usage. Ces traitements sont réalisés dans le respect des règles déontologiques applicables à la profession de statisticien " ; le régime juridique des services statistiques publics, fixés par la loi n° 51-711 du 7 juin 1951, comprend par ailleurs un ensemble de garanties qui contribueront au respect de cette règle ; l’accès aux deux composantes du répertoire Résil sera limité à un nombre très restreint d’agents individuellement habilités de l’INSEE, soit une vingtaine d’agents environ. Le service d’appariement fourni par l’INSEE sera réservé aux seuls services statistiques ministériels (listés par décret n° 2009-250 du 3 mars 2009 relatif à l'Autorité de la statistique publique, à l’exclusion de tout chercheur extérieur) ; les données contenues dans Résil et celles résultant des appariements demeurent couvertes par le secret statistique garanti par la loi n° 51-711 du 7 juin 1951. La violation de ce secret est sanctionnée pénalement. Cela limite l’utilisation des données à la seule " sphère statistique " ; les données contenues dans les répertoires Résil seront essentiellement des clés d’identification pour assurer le rôle de liste de référence pour réaliser les appariements. Le répertoire n’est enrichi d’aucune donnée issue des appariements (par exemple, données de contact, revenus, détail des logements) et sert donc uniquement de " colonne vertébrale " à des appariements statistiques ; une attention importante sera portée à la sécurité de ce répertoire particulièrement sensible ; l’INSEE a indiqué dans son AIPD étudier la faisabilité d’un mécanisme de destruction de Résil en cas d’atteinte à l’intégrité du secret statistique. La CNIL prend acte de ce que le gouvernement s’oriente vers une solution permettant de rendre le répertoire indisponible, tout en conservant une sauvegarde chiffrée sur support externe, avec une clé de déchiffrement confiée à un tiers de confiance ; des mécanismes de prévention et de contrôle ont été prévus pour empêcher les détournements de finalité, qui devraient être renforcés (v. infra). La CNIL estime que, au regard du très fort développement des outils informatiques dans la conduite des politiques publiques depuis trente ans et de l’enjeu important que constitue la fiabilité et la précision des statistiques publiques pour la conception, la conduite et l’évaluation de ces politiques, la création du traitement Résil porte une atteinte proportionnée à la vie privée des personnes, à condition que soient renforcées les garanties prévues pour prévenir tout détournement de finalité comme exposé ci-dessous. En particulier, la CNIL considère que certaines garanties devraient être renforcées pour prévenir tout détournement de finalité du répertoire et assurer un contrôle sur les appariements qui peuvent être réalisés via le traitement Résil. L’INSEE prévoit de créer un service d’appariement réservé au seul SSP. Afin d’éviter tout usage administratif de Résil ainsi que des appariements avec des bases de données administratives, il est nécessaire de mettre en place un mécanisme efficace de contrôle. Il est à noter également qu’il n’est pas prévu d’ouvrir ces appariements directement à des chercheurs. Ces derniers pourront néanmoins, comme c’est le cas actuellement, accéder à des données pseudonymisées issues d’appariements. A titre liminaire, la Commission relève que l’article 1er du projet de décret prévoit que les appariements " constituent des interconnexions, telles que mentionnées au 3° du I de l’article 33 de la loi informatique et libertés, de sources de données statistiques tierces, fondés sur les données à caractère personnel conservées dans Résil et permettant de créer de nouveaux fichiers comprenant tout ou partie des variables de chacun des fichiers des sources d’origine ". La Commission s’interroge sur la qualification d’interconnexion pour l’ensemble des mises en relation au regard de la jurisprudence du Conseil d’Etat, notion qui n’est par ailleurs pas définie dans la loi et est sujette à interprétation. En premier lieu, le projet de décret rappelle que ces appariements s’inscrivent dans les conditions prévues par la loi du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques et que leur finalité ne peut être que statistique, fondée sur des motifs d’intérêt public, ou d’évaluation des politiques publiques à l’exclusion de tout autre usage. Ces traitements doivent en outre être réalisés dans le respect des règles déontologiques applicables à la profession de statisticien. Le secret statistique interdit strictement la communication de données individuelles ou susceptibles d'identifier les personnes, issues de traitements à finalités statistiques, que ces traitements proviennent d’enquêtes ou de bases de données. Par dérogation aux règles communes applicables au secret professionnel, le secret statistique est en effet opposable à toute réquisition judiciaire ou émanant d’autorités administratives (fiscale ou douanière par exemple). Les données protégées par le secret statistique peuvent néanmoins être communiquées, au cas par cas, après avis du Comité du secret statistique pour répondre aux demandes formulées à des fins statistiques ou de recherche scientifique ou historique d’intérêt public. La CNIL rappelle que la finalité statistique au sens du RGPD, doit satisfaire cumulativement aux critères tenant : à la nature des résultats. Les résultats obtenus doivent constituer des données agrégées et anonymes au sens de la réglementation sur la protection des données ; à l’usage des résultats. Le traitement doit tendre à la production de données agrégées pour elles-mêmes. Ces données peuvent ensuite servir à orienter les politiques publiques. En second lieu, si l’accès au service d’appariement par les seuls membres du SSP ainsi que le caractère exclusivement statistique de la finalité des appariements sont des garanties importantes, la CNIL recommande de les compléter dans le prolongement de certaines préconisations émises par le de groupe de concertation : la liste des appariements réalisés devrait être publiée avec, pour chaque appariement, la mention de leur responsable de traitement, des catégories de données mobilisées, des finalités des traitements et modalités d’exercice des droits. La CNIL recommande de prévoir cette obligation explicitement dans le projet de décret qui lui est soumis ; la composition du CNIS devrait être élargie à des personnalités reconnues pour leur expertise en matière de protection des données issues du monde académique, associatif mais aussi de la sphère publique afin de prendre en compte les enjeux éthiques des appariements et ceux liées aux droits et libertés des personnes ; le CNIS pourrait avoir la mission explicite de donner un avis d’opportunité sur les appariements réalisés par la statistique publique, avis prenant en compte les dimensions éthiques et celles liées aux droits et libertés des personnes ; la CNIL recommande la publication par l’INSEE d’un bilan annuel comportant les chiffres clés sur l’utilisation du Résil et le nombre d’appariements. En tout état de cause, la création de Résil ne devrait pas avoir pour conséquences de modifier le cadre actuel relatif à l’accès des chercheurs aux bases détenues par l’INSEE ainsi qu’aux données statistiques. D. Sur la minimisation des données L’article 5 du projet de décret prévoit que pour constituer et mettre à jour le répertoire Résil, différentes sources de données, listées dans un arrêté pris après avis de la CNIL, pourront être utilisées. Ces sources sont notamment issues de la Déclaration Sociale Nominative (DSN), des prélèvements à la source pour les revenus (Pasrau) et d’autres fichiers fiscaux. Lorsque ces sources contiennent le NIR, celui-ci fait l’objet d’une l’opération cryptographique prévue au troisième alinéa de l’article 30 de la loi du 6 janvier 1978 (production d’un code statistique non signifiant ou CSNS). La Commission relève que suite aux recommandations du groupe de concertation, l’INSEE a écarté certaines sources relatives notamment aux titres de séjour des étudiants étrangers (AGEDREF), à l’utilisation de la carte vitale et au Répertoire National Commun de la Protection Sociale (RNCPS). La CNIL rappelle que l’ajout de toute nouvelle source de données dans le projet d’arrêté exigerait un nouvel avis de sa part ainsi que du CNIS, conformément à l’article 5 du projet de décret. Elle sera particulièrement vigilante sur la nécessité de l’ajout de toute nouvelle source. L’article 2 du projet de décret énumère les données à caractère personnel qui seront enregistrées dans Résil. La CNIL estime que cette collecte est limitée aux données d’identification strictement nécessaires à la mise en œuvre des finalités de Résil, à l’exclusion de toute autre donnée. Le répertoire comportera : des données relatives à l’état civil des personnes ; des données permettant l’identification des personnes (p. ex : CSNS, identifiant Résil ou identifiant techniques d’autres sources administratives) ; des données permettant d’identifier les logements (code non signifiant du logement) ; des données permettant de faire le lien entre les personnes et les logements. La Commission relève que le NIR ne sera pas traité, ni aucune donnée sensible au sens de l’article 9 du RGPD. De même, le fichier ne comportera aucune donnée d’adresse des logements (cette adresse ne pouvant être obtenue que par l’INSEE via le code non signifiant du logement) ni de données de contact (ex : numéro de téléphone, adresse électronique, etc.). La CNIL prend acte de ce que la collecte et la conservation des données d’état-civil dans le répertoire permettront en outre de supprimer progressivement ces données dans les autres fichiers détenus par l’INSEE et de les remplacer par un code non signifiant utilisé uniquement à des fins statistiques. E. Sur les droits des personnes Le projet de décret prévoit que l’information du public sera réalisée au moyen d’une fiche d’information publiée sur le site web " insee.fr " spécifiquement consacré au traitement Résil. L’article 7 du projet de décret prévoit l’exclusion des droits d’opposition et de rectification, conformément aux dérogations ouvertes aux traitements à des fins statistiques par le 2 de l’article 89 du RGPD. Compte tenu de l’ampleur exceptionnelle du répertoire Résil et des craintes qu’il pourrait susciter au sein de la population, l’INSEE se doit d’être exemplaire en matière de transparence. Il devrait prolonger l’action initiée avec la constitution du groupe de concertation et la publication de son rapport au mois de novembre 2022 en développant une communication active à destination d’un public non statisticien sur l’utilisation de données administratives et les appariements, en s’inspirant des bonnes pratiques des instituts nationaux de statistique étrangers. Celle-ci pourrait se concrétiser par exemple par la création d’un portail dédié. F. Sur la durée de conservation des données L’article 6 du projet de décret prévoit les durées de conservation des données du répertoire Résil. Ces données sont conservées et actualisées, pour les personnes physiques, durant toute leur vie et jusqu’au 31 décembre de la dixième année suivant le décès, et, s’agissant des logements, jusqu’au 31 décembre de la dixième année suivant l’affectation d’un logement un autre usage ou sa démolition. Selon l’INSEE ces durées permettront d’assurer des appariements sur une période d’étude longue et sont communes à d’autres traitements qu’elle met en œuvre à des fins statistiques. Pour les traitements relatifs aux appariements qui seraient réalisés par l’INSEE à la demande des services statistiques ministériels, il est prévu que les fichiers seront supprimés une fois le résultat validé et transmis au service demandeur. Ces durées de conservation apparaissent pertinentes. G. Sur la sécurité En premier lieu, au vu du caractère particulier des données ainsi que de la gravité des risques pour les personnes physiques en cas d'atteinte à la confidentialité des données, la CNIL considère que la restriction de l’accès au seul petit groupe de personnes nommément habilitées pour les seules finalités décrites est une mesure essentielle à la sécurité du dispositif. En deuxième lieu, la CNIL souligne l’importance de classifier les répertoires statistiques sur les personnes et les locaux, ainsi que l’ensemble des fichiers d’appariement, leurs copies et archives, au plus haut niveau de sensibilité dans les processus de l’INSEE, donc en l’occurrence de relever de la catégorie " sous haute protection ". Dans la suite de ces deux observations, le contrôle de l’accès logique constitue une mesure de première importance. La CNIL considère à cet égard qu’une authentification multi-facteurs des personnes accédant au registre serait de nature à garantir un niveau de sécurité adéquat, en complément des modalités rigoureuses d’habilitation, de gestion des droits d’accès et de traçabilité prévues par l’INSEE. La CNIL considère en outre que le chiffrement de la base Résil constitue une garantie essentielle. Par ailleurs, parmi les mesures de sécurité annoncées, la CNIL tient à souligner l’engagement de l’INSEE à faire régulièrement auditer le dispositif par un tiers. Afin de répondre à la fois aux besoins de sécurité et de protection des données, la CNIL recommande que ces audits prennent en compte ces deux aspects et que les éléments soulevés par l’audit soient intégrés dans un plan d’action dont la mise en œuvre s’effectuerait dans des délais raisonnables. Les autres dispositions n’appellent pas d’observations de la part de la CNIL. La Présidente M.-L. DENIS


Délibération n° 2024-011 du 18 janvier 2024 portant adoption d’une recommandation sur l’application du règlement général sur la protection des données au développement des systèmes d’intelligence artificielle

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ; Après avoir entendu le rapport M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement Formule les observations suivantes : De nombreux acteurs ont fait part, à la Commission nationale de l’informatique et des libertés (CNIL), de questionnements concernant l’application du règlement général sur la protection des données (RGPD) à l’intelligence artificielle (IA), en particulier depuis l’émergence de systèmes d’IA génératives. La CNIL adopte une première recommandation sur l’application du RGPD au développement des systèmes d’intelligence artificielle. Cette première recommandation est composée de plusieurs fiches pratiques : Quel est le périmètre des fiches pratiques sur l’IA ? Déterminer le régime juridique applicable Définir une finalité Déterminer la qualification juridique des acteurs Assurer que le traitement est licite – Définir une base légale (1/2) Assurer que le traitement est licite – En cas de réutilisation des données, effectuer les tests et vérifications nécessaires (2/2) Réaliser une analyse d’impact si nécessaire Tenir compte de la protection des données dès les choix de conception du système Tenir compte de la protection des données dans la collecte et la gestion des données Modèle de documentation : fiche descriptive du jeu de données Elle sera complétée ultérieurement sur d’autres thèmes, après consultation publique. Décide : Article 1er : La recommandation figurant en annexe est adoptée. Article 2 : La présente délibération sera publiée au Journal officiel de la République française. La présidente M.-L. Denis Annexe Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : https://www.cnil.fr/fr/ia-la-cnil-publie-ses-premieres-recommandations-sur-le-developpement-des-systemes-dintelligence


Délibération de la formation restreinte n°SAN-2024-004 du 4 avril 2024
concernant la société HUBSIDE.STORE

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Isabelle LATOURNARIE-WILLEMS et MM. Alain DRU et Bertrand du MARAIS, membres ; Vu la fin de mandat de Monsieur Alexandre LINDEN, intervenue le 1er février 2024 ; Vu la délibération n° 2024-015 du 7 mars 2024 élisant Monsieur Philippe-Pierre CABOURDIN en tant que président de la formation restreinte de la Commission nationale de l'informatique et des libertés ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu le code des postes et des communications électroniques ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2021-191C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société SFK GROUP, par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 4 avril 2022 ; Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société HUBSIDE.STORE le 23 août 2023 ; Vu les observations écrites versées par la société HUBSIDE.STORE le 29 septembre 2023 ; Vu la réponse de la rapporteure à ces observations, notifiée à la société le 20 octobre 2023 ; Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ; Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ; Vu la délibération avant-dire droit de la formation restreinte n°SAN-2023-019 du 14 décembre 2023 ; Vu les observations écrites versées par la rapporteure le 21 décembre 2023 ; Vu les observations écrites versées par la société le 28 décembre 2023 ; Vu les observations orales formulées lors de la séance de la formation restreinte du 18 janvier 2024 ; Vu la note en délibéré transmise par la société le 29 janvier 2024 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte : - Mme Valérie PEUGEOT, commissaire, entendue en son rapport ; En qualité de représentants de la société HUBSIDE.STORE : - […] ; La société HUBSIDE.STORE ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. La société HUBSIDE.STORE (ci-après " la société "), dont le siège social est situé 23/25 avenue Kléber à Paris (16ème), est une filiale de la société SFK GROUP. Elle a pour activité la gestion des boutiques " HUBSIDE.STORE ", spécialisées dans le commerce de détail de matériel de télécommunication. Au 31 mai 2023, la société employait 706 salariés et comptait 97 boutiques, réparties entre la France, la Belgique, le Portugal et l’Italie. Son chiffre d’affaires pour l’année 2021 s’est élevé à environ […] euros, pour un résultat net de […] euros. 2. Afin de promouvoir le catalogue des produits vendus en magasin, la société procède à des campagnes de démarchage par téléphone et par SMS à partir de fichiers de prospects achetés auprès de deux partenaires principaux, les sociétés […] et […]. Elle a indiqué avoir envoyé environ 1,4 million de SMS entre le mois de septembre 2020 et le mois de septembre 2021, et plus de 220 000 entre mai 2022 et mai 2023. S’agissant de la prospection téléphonique, la société a indiqué avoir émis environ 3,2 millions d’appels entre mai 2022 et mai 2023, à destination d’environ 1,3 million de prospects. 3. Le 23 septembre 2021, une délégation de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD "). 4. Le procès-verbal n° 2021-191/1, dressé le jour du contrôle, a été notifié à la société le 30 septembre 2021. 5. La société a communiqué des pièces complémentaires les 5 octobre et 22 novembre 2021. 6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 4 avril 2022, désigné Mme Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 7. Conformément à l’article 56 du RGPD, le 9 juin 2023, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, l’Italie, l’Espagne, le Portugal et la Belgique se sont déclarées concernées. 8. Les 8 juin et 13 juillet 2023, la rapporteure a adressé deux demandes complémentaires auxquelles la société a répondu les 23 juin et 3 août 2023. 9. Le 23 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 6, 14 et 32 du RGPD et à l’article L. 34-5 du code des postes et des communications électroniques (ci-après " le CPCE ") qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique. 10. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de sanction. 11. La rapporteure a répondu aux observations de la société le 20 octobre 2023. 12. Le 22 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société et le président de la formation restreinte que l’instruction était close. 13. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 7 décembre 2023. 14. La formation restreinte a tenu une séance le 7 décembre 2023. 15. Par délibération avant-dire droit n°SAN-2023-019 du 14 décembre 2023, envoyée par courrier électronique à la société le même jour et notifiée par voie postale le 21 décembre 2023, la formation restreinte a demandé à la société HUBSIDE.STORE et à la rapporteure la production d’une pièce complémentaire, évoquée par la société lors de la séance du 7 décembre 2023. 16. Le 21 décembre 2023, la rapporteure a communiqué à la formation restreinte une pièce intitulée " leads_701_23-09-2021 […] ". 17. Le 28 décembre 2023, la société a communiqué à la formation restreinte une pièce également intitulée " leads_701_23-09-2021 […] ". 18. En application de l’article 41 du décret n°2019-536 du 29 mai 2019, une convocation à la séance de la formation restreinte du 18 janvier 2024 a été notifiée à la société HUBSIDE.STORE le 21 décembre 2023 ; 19. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte. II. Motifs de la décision A. Sur la désignation du rapporteur 20. Aux termes de l’article 39 du décret n°2019-536 du 29 mai 2019, " lorsqu'une mesure prévue au III de l'article 20 de la loi du 6 janvier 1978 […] est susceptible d'être prononcée, le président de la commission désigne un rapporteur n'appartenant pas à la formation restreinte, et en informe le responsable de traitement ou le sous-traitant mis en cause ". 21. La formation restreinte relève qu’en application de ces dispositions, la présidente de la CNIL a, par décision du 7 avril 2022, désigné Mme Valérie PEUGEOT, commissaire, pour établir le rapport devant permettre à la formation restreinte d’arrêter sa décision dans le cadre du dossier " CTX n°2022-019 HUBSIDE.STORE ". 22. Lors de la séance du 7 décembre 2023, puis dans le cadre de ses observations du 28 décembre 2023, la société HUBSIDE.STORE a invoqué la nullité de cette désignation, dans la mesure où elle serait intervenue sur la base d’une saisine ne concernant pas la société HUBSIDE.STORE. 23. La formation restreinte relève que le 1er juillet 2020, la CNIL a été saisie d’une plainte n°20010737 visant plusieurs sociétés du groupe SFK. 24. Par décision n°2021-191 du 29 juin 2021, la présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société SFK GROUP ou par ses filiales. 25. Le procès-verbal de contrôle en date du 23 septembre 2021 indique que " la mission de contrôle a pour objet de procéder à la vérification sur place de la conformité des traitements de données à caractère personnel mis en œuvre par la société SFK GROUP ou par ses filiales et notamment les sociétés […] et […] ". Il précise qu’ " en particulier, il s’est agi d’effectuer des vérifications postérieurement aux clôtures du 4 mai 2021 des mises en demeure MED n°2020-041 du 24 novembre 2020 à l’encontre de la société […] et MED n°2020-042 du 24 novembre 2020 à l’encontre de la société …] ; il s’est également agi de donner suite à la saisine […] relative à l’exercice de son droit d’accès par un plaignant ". 26. La formation restreinte considère que, dans la mesure où la saisine […] a donné lieu à des vérifications réalisées lors du contrôle sur place le 23 septembre 2021, lequel visait le groupe SFK et l’ensemble de ses filiales, dont fait partie la société HUBSIDE.STORE, le fait que cette saisine soit mentionnée dans la décision de la présidente de désigner Mme Valérie PEUGEOT en tant que rapporteure est sans incidence sur la validité de cette désignation, quand bien même ladite saisine ne viserait pas spécifiquement la société HUBSIDE.STORE. B. Sur la procédure de coopération européenne 27. Aux termes de l’article 4 paragraphe 23, b) du RGPD, on entend par " traitement transfrontalier " " un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant, mais qui affecte sensiblement ou est susceptible d'affecter sensiblement des personnes concernées dans plusieurs États membres ". 28. La rapporteure relève que la société dispose de boutiques en France, mais également en Belgique, en Espagne, au Portugal et en Italie. Elle observe que, bien que la société ait indiqué que ses opérations de prospection commerciale étaient menées exclusivement depuis la France, à destination de ressortissants français, elle a néanmoins transmis des enregistrements d’appels de prospection à destination de ressortissants belges, dans l’objectif de promouvoir ses boutiques situées en Belgique. Par ailleurs, la rapporteure relève que la société a également indiqué que sa base de données clients contenait l’ensemble des données des clients des boutiques HUBSIDE.STORE en Europe. Elle considère que, dès lors, la société met en œuvre des traitements de données à caractère personnel transfrontaliers. 29. En défense, s’agissant des opérations de prospection commerciale par téléphone, la société affirme n’effectuer de la prospection qu’auprès d’individus domiciliés en France, afin de générer du trafic dans ses points de vente situés en France. S’agissant des enregistrements d’appels à destination de ressortissants belges transmis à la délégation, elle précise que " HUBSIDE.STORE Belgium, entité de tête portant les activités d’HUBSIDE.STORE en Belgique ne dispose pas de personnels dédiés à l’animation d’un service client. Aussi, pour les opérations de prospection téléphoniques ou sms effectuées dans l’optique de générer du trafic dans les points de vente situés sur le territoire belge, HUBSIDE.STORE Belgium a pu sous-traiter cette activité de prospection à SFAM en utilisant les services des plateaux commerciaux hexagonaux de cette société. Dès lors, étaient fournis aux équipes préposées à la prospection, l’accès à un fichier de prospection belge, acquis d’HUBSIDE.STORE Belgium ". 30. En premier lieu, s’agissant des opérations de prospection commerciale par téléphone visées par le manquement à l’article 6 du RGPD, la formation restreinte relève que ce manquement repose sur la conception de formulaires mis en œuvre par des courtiers en données ne fournissant à la société HUBSIDE.STORE que des données de ressortissants français. Dans ces conditions, malgré la réalisation par la société de démarchage téléphonique à destination de ressortissants belges, la formation restreinte considère que le traitement concerné par le manquement à l’article 6 du RGPD ne constitue pas un traitement transfrontalier. 31. En deuxième lieu, s’agissant des enregistrements d’appels de prospection téléphonique visés par le manquement à l’article 14 du RGPD, la formation restreinte relève que ces derniers visent des ressortissants français mais également des ressortissants belges, afin de promouvoir des boutiques situées en Belgique. Ainsi, le caractère transfrontalier du traitement apparait caractérisé. 32. En troisième et dernier lieu, la société a indiqué que sa base de données clients, visée par le manquement à l’article 32 du RGPD, contenait les données des clients de l’ensemble des points de vente HUBSIDE.STORE en Europe. La formation restreinte considère ainsi que la gestion de cette base de données constitue un traitement transfrontalier au sens de l’article 4, paragraphe 23, du RGPD. 33. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis aux autres autorités de contrôle européennes compétentes, en vue de leur permettre d’effectuer des objections pertinentes et motivées sur les traitements et manquements qui les concernent, le 20 février 2024. La formation restreinte relève que les autorités de contrôle suivantes sont concernées par la présente procédure : Belgique, Italie, Espagne, Portugal. 34. Au 20 mars 2024, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé. C. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique 35. Aux termes de l’article L. 34-5 du CPCE, " est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe […] ". 36. Aux termes de l’article 4, paragraphe 11, du RGPD, on entend par " consentement " de la personne concernée " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ". 37. En application des dispositions combinées des articles L.34-5 du CPCE et 4, paragraphe 11 du RGPD, l’organisme qui fait réaliser des opérations de prospection commerciale par voie électronique doit disposer d’un consentement univoque, spécifique, libre et informé des personnes concernées. 38. La rapporteure relève que la société a indiqué procéder à des opérations de prospection commerciale par SMS à partir de fichiers de prospects achetés auprès de courtiers en données. Elle observe que les constatations réalisées par la délégation ont permis d’établir que ces courtiers collectaient les données des personnes concernées par l’intermédiaire de formulaires de participation à des jeux-concours en ligne. 39. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11 du RGPD, la rapporteure se fonde sur le fait que la conception de ces formulaires ne permet pas aux utilisateurs de manifester leur consentement par un acte positif clair et dénué d’ambigüité, et les incite fortement à accepter la transmission de leurs données aux partenaires de la société à des fins de prospection. 40. En défense, la société se prévaut des termes du contrat la liant à l’un de ses fournisseurs, la société […], estimant qu’elle ne peut être tenue pour responsable des agissements non conformes de son prestataire. S’agissant de l’autre fournisseur, la société […], elle indique qu’elle n’entretenait avec lui aucune relation contractuelle avant le mois de novembre 2021 et que la majorité des fichiers reçus provenaient de la société […], complétés par des apports en provenance de la société […] ayant elle-même recours à un réseau de sous-traitants parmi lesquels la société […]. 41. En l’espèce, il ressort de l’instruction que la société HUBSIDE.STORE réalise des opérations de prospection commerciale par SMS à partir de fichiers de prospects achetés auprès de fournisseurs de données, chargés de recueillir le consentement des personnes concernées au moment de la collecte des données. Entre le mois de septembre 2020 et le mois de septembre 2021, 1 363 773 SMS de prospection ont ainsi été envoyés. Le nombre d’envois entre le mois de mai 2022 et le mois de mai 2023, s’élève à 221 206. 42. En premier lieu, s’agissant de la société […], la formation restreinte relève que lors du contrôle du 23 septembre 2021, la société a indiqué que les " SMS de prospection relatifs au catalogue de la société HUBSIDE.STORE sont envoyés aux prospects fournis par la société […] car cette dernière est capable de cibler des prospects proches des boutiques ". A cette occasion, une extraction de 5 000 fiches de prospects livrées par la société […] a ainsi été effectuée. Par ailleurs, la société a fourni à la délégation deux bons de commande de la société […], datés du 3 août 2021, portant sur la vente de plusieurs dizaines de milliers de fichiers à la société HUBSIDE.STORE. 43. Ces éléments conduisent la formation restreinte à considérer que la société HUBSIDE.STORE exploitait bien, au jour du contrôle, les fichiers de prospects livrés par la société […]. 44. En deuxième lieu, la formation restreinte rappelle que lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n°SAN-2022-021, publié). 45. Il en résulte qu’en sa qualité de responsable de traitement, la société HUBSIDE.STORE est tenue de vérifier elle-même que les conditions lui permettant de réaliser des opérations de prospection commerciale sont réunies. A cet égard, la formation restreinte a retenu la responsabilité d’un organisme en considérant qu’un simple engagement contractuel de son courtier en données à respecter le RGPD et les règles applicables en matière de prospection commerciale ne constituait pas une mesure suffisante (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié). 46. Ainsi, s’agissant des engagements contractuels de la société […] dont se prévaut la société HUBSIDE.STORE, la formation restreinte considère que les obligations contractuelles pouvant être imposées aux fournisseurs ne sauraient exonérer la société HUBSIDE.STORE de sa responsabilité en tant que responsable de traitement, malgré l’existence éventuelle d’une responsabilité des fournisseurs. 47. En troisième lieu, la formation restreinte rappelle que le consentement spécifique requis par les dispositions de l’article L. 34-5 du CPCE ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données personnelles. Il convient ainsi de s’assurer que les personnes concernées ont donné un consentement univoque, spécifique, libre et éclairé lors de la collecte de leurs données à caractère personnel par le biais des formulaires de participation à des jeux-concours. 48. La formation restreinte relève à cet égard que les travaux conduits sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement. 49. Par ailleurs, sur les mêmes conditions du consentement, La Cour de justice de l’Union européenne (ci-après " CJUE ") a précisé, dans sa décision Planet49 GmbH : " l’article 7, sous a) de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est " indubitablement " donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence " (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, §54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que " la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être " spécifique ", en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies " (Idem, §§ 58-59). 50. En outre, le Conseil d’Etat a retenu que " le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. " (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21). 51. La formation restreinte relève également, à titre d’exemple, que les lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020 par le groupe de travail " article 29 " (devenu le Comité européen de la protection des données, ci-après " CEPD "), précisent que le caractère libre du consentement " implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable ". 52. A titre d’illustration et de comparaison, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", la Commission recommande aux organismes concernés de s’assurer " que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique " (§ 34). Elle ajoute qu’il convient " d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir. " (§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé. 53. La formation restreinte rappelle également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage des données. 54. En l’espèce, il ressort des pièces du dossier que les sociétés […] et […], fournisseurs des données de prospects à la société HUBSIDE.STORE, collectent les données des personnes concernées (nom, prénom, civilité, adresse électronique, numéro de téléphone mobile, date de naissance et adresse postale) par l’intermédiaire de formulaires de participation à des jeux-concours en ligne, afin de permettre à leurs partenaires de les utiliser dans le cadre de leur prospection commerciale. 55. S’agissant des constatations réalisées par la délégation lors du contrôle, la formation restreinte relève que les formulaires accessibles à partir des sites web […], […], […] et […] se présentent de façon similaire. Sous les champs permettant aux personnes concernées d’inscrire leurs coordonnées (qui leur sont demandées par les formules " remplissez vos coordonnées ci-dessous en cas de gain " ou " remplissez vos coordonnées ci-dessous pour postuler ") est situé un bouton " VALIDER ", " JE VALIDE " ou " JE REPONDS AUX QUESTIONS POUR POSTULER ". Au-dessus ou en-dessous de ce bouton, un texte précise qu’en cliquant sur ce dernier, l’utilisateur déclare avoir lu la politique de protection des données de la société et accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertextes permettent d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précise que si l’utilisateur souhaite continuer sans recevoir les offres des partenaires de la société, il peut cliquer sur un lien présent dans le texte (" cliquez ici "). 56. Ainsi, l’utilisateur confronté à ce formulaire peut, soit cliquer sur un bouton permettant à la fois de valider sa participation au jeu et d’accepter que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cliquer sur le lien " cliquez ici " permettant de continuer sans recevoir ces offres. 57. La formation restreinte considère que tels que conçus, les formulaires proposés ne permettent pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission de données à des fins de prospection commerciale. L’aperçu global des interfaces met particulièrement en valeur le bouton " VALIDER ", " JE VALIDE " ou " JE REPONDS AUX QUESTIONS POUR POSTULER " qui, par sa taille et sa couleur, se distingue des autres informations délivrées. De même, son intitulé évoque davantage la conclusion du parcours utilisateur plutôt qu’une transmission de données à des partenaires. Enfin, son emplacement donne l’impression de devoir obligatoirement être cliqué pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter la transmission de ses données aux partenaires est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur l’un des boutons précités et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est donc dépourvu d’un caractère univoque et libre. 58. La formation restreinte note par ailleurs que, dans le cadre de ses observations écrites relatives au manquement à l’article 6 du RGPD, la société a produit deux autres formulaires, présentés comme conformes. Or, la formation restreinte relève que leur conception ne permet pas davantage aux personnes concernées de manifester leur consentement par un acte positif clair et dénué d’ambigüité. 59. D’une part, la formation restreinte observe que la présentation de ces formulaires, à l’instar de ceux consultés par la délégation lors du contrôle sur place, met particulièrement en valeur le bouton " VALIDER MES COORDONNEES " et " CONTINUER ", pour valider la participation au jeu et transmettre ses données aux partenaires. Au contraire, le lien hypertexte " cliquez ici " permettant de participer au jeu sans accepter cette transmission est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle du bouton et sans mise en valeur particulière. De plus, le visuel global du formulaire accessible à partir du site […], qui contient trois encarts verts (" JE VALIDE MA PARTICIPATION ", " JE CONFIRME MES COORDONNEES POUR LA LIVRAISON EN CAS DE GAIN " et " VALIDER MES COORDONNES ") conduit à penser qu’il existe un séquençage logique entre ces trois actions et que le bouton " VALIDER MES COORDONNEES " est le dernier bouton à activer pour participer au jeu et obtenir son gain. Or, ce bouton n’est pas obligatoire puisque l’utilisateur peut utiliser le lien précité " cliquez ici ", ce qui n’est pas intuitif au regard de l’apparence générale du formulaire. 60. En outre, s’agissant du formulaire mis en œuvre par la société […] à partir du site […], la formation restreinte relève l’existence de deux cases à cocher, l’une concernant la lecture et l’acceptation du règlement du jeu, l’autre la lecture de la politique de confidentialité et l’acceptation de la transmission de ses données. L’aspect similaire de ces cases, présentées comme des mentions légales à lire obligatoirement, et dont le texte d’accompagnement commence par " j’ai lu ", pousse l’utilisateur à les cocher indistinctement, puis à cliquer sur " CONTINUER " en transmettant ses données. La possibilité de participer au tirage au sort sans recevoir d’offres promotionnelles existe en cliquant sur le lien " ici " mais est inscrite dans une police plus petite et sans mise en valeur par rapport au bouton " CONTINUER " qui, d’une part, est particulièrement visible, par sa taille, sa couleur et sa police, d’autre part, semble conclure le parcours utilisateur du fait de son emplacement en bas de formulaire. Ainsi, le caractère facultatif du bouton " CONTINUER " ne se déduit pas nettement du visuel global du formulaire. 61. D’autre part, la formation restreinte relève qu’un contrôle en ligne réalisé le 17 octobre 2023 a permis de révéler que, compte tenu de sa configuration, le formulaire visé au paragraphe précédent ne permettait matériellement pas à l’utilisateur de participer au jeu sans accepter la transmission de ses données aux partenaires de la société, et donc sans être destinataire de prospection commerciale, contrairement à ce qui est indiqué sur le formulaire. 62. La formation restreinte considère ainsi que les formulaires susvisés n’éclairent pas suffisamment les personnes concernées sur le fait qu’elles consentent à la transmission de leurs données à des fins de prospection commerciale, dans un contexte où l’objet même de ces sites web est d’offrir une perspective de gains ne pouvant laisser supposer l’objectif de collecte pérenne de ces données à de telles fins. Ces personnes ne sont pas mises en mesure de manifester leur consentement par un acte positif clair et dénué d’ambigüité. 63. La formation restreinte considère, dans ces conditions, que la société HUBSIDE.STORE ne dispose pas, pour réaliser ses opérations de prospection commerciale par voie électronique, d’un consentement valide au sens des articles L.34-5 du CPCE et 4 du RGPD. 64. Un manquement à l’article L.34-5 du CPCE est ainsi caractérisé. D. Sur le manquement à l’obligation de traiter les données de manière licite 65. Aux termes de l’article 6 du RGPD, " 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ". 66. La formation restreinte rappelle que les actions de prospection commerciale par appels téléphoniques peuvent être réalisées sur la base légale de l’intérêt légitime de la société (f) ou sur celle du consentement (a). 67. En l’espèce, la société a indiqué réaliser des opérations de prospection commerciale par téléphone, à partir de fichiers de prospects achetés auprès de plusieurs fournisseurs de données. 68. La formation restreinte relève que la société n’a pas été en mesure, ni dans ses observations écrites, ni dans ses observations orales lors de la séance, d’indiquer précisément sur quelle base légale elle se fondait pour procéder à de tels traitements. Dans ces conditions, les deux bases légales susceptibles d’être applicables en l’espèce seront examinées successivement. 1) Sur l’intérêt légitime 69. La rapporteure soutient que, pour fonder ses opérations de prospection commerciale par téléphone, la société ne peut se prévaloir de la base légale de l’intérêt légitime visée au point f) de l’article 6, paragraphe 1 du RGPD. Elle relève ainsi, s’agissant des formulaires de participation à des jeux-concours en ligne par l’intermédiaire desquels la société […] collecte les données des prospects qu’elle revend à la société HUBSIDE.STORE, que cette dernière n’est pas systématiquement mentionnée dans la liste des partenaires susceptibles de démarcher les personnes concernées, et qu’ainsi ces dernières ne peuvent légitimement s’attendre à recevoir des offres commerciales de cette société. 70. En défense, la société se prévaut des engagements contractuels de la société […], qui prévoient que la société HUBSIDE.STORE doit être mentionnée parmi les destinataires des données collectées. Elle considère qu’elle ne saurait être tenue pour responsable des manquements de son prestataire, et produit un exemple de formulaire mis en œuvre par la société […] contenant un lien URL renvoyant à une liste des partenaires, parmi lesquels figure la société […] (un lien vers la politique de confidentialité de cette dernière permettant d’accéder à la liste complète des sociétés faisant partie du même groupe que […], dont la société HUBSIDE.STORE). Enfin, la société affirme mettre en œuvre des contrôles réguliers relatifs à la conformité des fichiers livrés. 71. La formation restreinte rappelle que, si la prospection commerciale par voie non électronique peut être réalisée sur la base de l’intérêt légitime de la société, cette dernière doit s’assurer que le traitement ne heurte pas les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. 72. A cet égard, le considérant 47 du RGPD dispose que : " […] l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. Les intérêts et les droits fondamentaux de la personne pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur […]. ". 73. En l’espèce, la formation restreinte relève que certains formulaires de jeu-concours à partir desquels la société […] collecte des données de prospects qu’elle transmet à la société HUBSIDE.STORE ne permettent pas aux personnes concernées de s’attendre raisonnablement à recevoir des offres de prospection commerciale de la part de cette société. 74. Ainsi, s’agissant du formulaire accessible depuis le site web […], la formation restreinte observe que ce dernier contient un lien hypertexte renvoyant à une liste nominative de partenaires et non à des catégories de partenaires. Ainsi, les personnes concernées peuvent légitimement s’attendre à ce que cette liste de partenaires soit exhaustive. Or, ladite liste ne mentionne pas la société HUBSIDE.STORE. 75. Concernant les formulaires présents sur les sites […] (ce formulaire renvoyant au site www.[...]) et […], la formation restreinte relève qu’ils ne mentionnent pas la liste des partenaires ou des catégories de partenaires auxquels les données sont susceptibles d’être transmises, et qu’ils ne contiennent en outre aucun lien permettant d’accéder à une telle liste. 76. Au demeurant, s’agissant des vérifications que la société affirme réaliser sur les formulaires à partir desquels les données sont collectées, la formation restreinte relève qu’elle ne produit aucun élément permettant d’en attester, les engagements contractuels de ses fournisseurs ne constituant pas une mesure de contrôle en tant que telle. 77. La formation restreinte considère que dans ces conditions, la protection des intérêts, libertés et droits fondamentaux des personnes concernées prime sur les intérêts légitimes de la société, et que cette dernière ne peut dès lors se prévaloir de la base légale mentionnée à l’article 6, paragraphe 1, f) pour fonder ses opérations de prospection commerciale par téléphone. 2) Sur le consentement 78. La rapporteure considère que, pour fonder ses opérations de prospection commerciale par téléphone, la société ne peut se prévaloir de la base légale du consentement visée au point a) de l’article 6, paragraphe 1, du RGPD. Elle se fonde sur les mêmes arguments que ceux développés concernant le manquement à l’article L.34-5 du RGPD, s’agissant des formulaires de collecte mis en œuvre par les fournisseurs de données. 79. En défense, la société se prévaut des termes du contrat passé avec la société […]. Elle prend note des constats matérialisés mais indique que, si les manquements existent, ils ne sont représentatifs ni d’une volonté de méconnaître ses obligations, ni de pratiques généralisées. Elle fournit à cet égard deux exemples de formulaires de collecte mis en œuvre par ses fournisseurs, qu’elle estime conformes. Enfin, elle fait état de contrôles réalisés sur les fichiers à la suite de leur mise à disposition par le prestataire et insiste sur l’impossibilité, compte tenu de la volumétrie de ces fichiers, de mettre en œuvre un contrôle unitaire. 80. En premier lieu, la formation restreinte rappelle que, si le caractère intentionnel de la violation doit être pris en compte pour décider s’il y a lieu de prononcer une amende et pour décider de son montant, il est sans incidence sur la caractérisation du manquement, ce dernier pouvant résulter d’une négligence. Il en va de même du caractère généralisé ou non dudit manquement. 81. En deuxième lieu, s’agissant des modalités de recueil du consentement à la prospection téléphonique, la formation restreinte considère que les formulaires mis en œuvre par les fournisseurs de la société HUBSIDE.STORE ne permettent pas de recueillir un consentement valide, au sens de l’article 6, paragraphe 1, point a) du RGPD, comme développé aux points 47 à 63 de la présente délibération s’agissant de la prospection électronique. 82. En troisième et dernier lieu, s’agissant des contrôles que la société affirme réaliser sur les fichiers livrés, la formation restreinte observe que la société ne produit aucun élément permettant d’en attester. 83. D’une part, dans ses observations écrites du 29 septembre 2023, puis dans ses observations orales lors de la séance du 7 décembre 2023, la société a évoqué une pièce intitulée " leads_701_23-09-2021 […] ", recueillie lors du contrôle sur place et faisant état, selon elle, de " contrôles des fichiers de prospection réalisés à la suite de leur mise à disposition par le prestataire ". Par délibération n° SAN-2023-019 du 14 décembre 2023, la formation restreinte a sollicité de la rapporteure et de la société la production de cette pièce. 84. La formation restreinte relève que le fichier produit par la rapporteure, dont l’empreinte numérique atteste qu’il s’agit bien du fichier à partir duquel les constats ont été réalisés par la délégation lors du contrôle, ne contient aucun élément de nature à attester des vérifications dont se prévaut la société. Conformément à ce qui est mentionné sur le procès-verbal de contrôle, il s’agit d’un fichier de prospects (" leads ") livré par la société […] au groupe INDEXIA le 23 septembre 2021, contenant les données d’environ 15 000 prospects. Si, pour chacun de ces prospects, un lien URL devant permettre d’accéder à la source des données est présent, la formation restreinte relève qu’aucune mention ne fait état de vérifications qui auraient pu être réalisées par la société HUBSIDE.STORE ou le groupe INDEXIA. Lors de la séance du 18 janvier 2024, la société a indiqué ne pas remettre en cause l’intégrité de cette pièce. 85. S’agissant du fichier produit par la société, la formation restreinte relève qu’il ne correspond pas à celui recueilli lors du contrôle, dans la mesure où son empreinte numérique et sa taille diffèrent. Elle relève en outre que cette différence est confirmée par son contenu puisque, contrairement aux constatations figurant au procès-verbal du 23 septembre 2021, il ne contient aucune donnée de prospects mais seulement des liens URL assortis de commentaires (" ok ", " une seule case à cocher ", " litigieux "). 86. Enfin, la formation restreinte observe que le contenu du fichier produit n’apparait pas cohérent avec la finalité invoquée dans la mesure où les commentaires sommaires et non datés qui y figurent ne sont reliés à aucune fiche de prospect et qu’il n’est par ailleurs pas démontré que les non-conformités identifiées auraient fait l’objet de remontées à la société […]. La formation restreinte considère ainsi qu’en tout état de cause, un tel fichier ne permet pas de démontrer l’existence de vérifications réalisées sur les fichiers livrés. 87. D’autre part, s’agissant des autres pièces du dossier, la formation restreinte note qu’elles attestent exclusivement d’exigences imposées par la société HUBSIDE.STORE à la société […], préalablement à la reprise de leurs relations contractuelles, sans constituer des contrôles par la société HUBSIDE.STORE sur les pratiques ultérieures de son prestataire. 88. La formation restreinte relève enfin que la proportion de fichiers non conformes parmi ceux examinés de manière aléatoire par la délégation (soit quatre fichiers non conformes sur les sept examinés) démontre l’insuffisance des mesures prises par la société pour s’assurer de la validité du consentement des personnes concernées. 89. Ainsi, la formation restreinte estime que les formulaires visés dans la présente délibération ne permettent pas à la société HUBSIDE.STORE de disposer d’un consentement valide des personnes concernées. Elle souligne qu’au regard des formulaires produits par la société dans ses observations du 29 septembre 2023, le manquement relevé est persistant. 90. Dès lors, en l’absence de base légale permettant à la société HUBSIDE.STORE de fonder ses opérations de prospection commerciale par téléphone, la formation restreinte considère qu’un manquement à l’article 6 du RGPD est constitué. E. Sur le manquement à l’obligation de transparence et d’information des personnes 91. L’article 14, paragraphe 1, du RGPD dresse la liste des informations devant être communiquées par le responsable de traitement aux personnes concernées lorsque leurs données à caractère personnel n’ont pas été collectées auprès d’elles, parmi lesquelles les finalités du traitement ainsi que sa base juridique. 92. Le paragraphe 2 de ce même article prévoit qu’en " plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée " certaines informations " nécessaires pour garantir un traitement équitable et transparent à l'égard de la personne concernée ", notamment les droits dont ces dernières disposent, la durée de conservation des données, la source dont elles proviennent ou encore le droit d’introduire une réclamation auprès d’une autorité de contrôle. 93. La rapporteure relève que les personnes faisant l’objet de prospection commerciale par téléphone de la part de la société HUBSIDE.STORE (soit environ 1,3 million de prospects français et belges entre mai 2022 et mai 2023) ne sont pas informées de l’ensemble des mentions obligatoires prévues à l’article 14 susmentionné. Elle observe que, si les prospects sont bien informés de l’enregistrement de l’appel ainsi que de leur possibilité de s’opposer à cet enregistrement et de s’inscrire sur Bloctel, l’ensemble des autres informations ne leur sont pas communiquées, les personnes concernées ne se voyant pas non plus offrir la possibilité d’obtenir une information plus complète. 94. La société n’a présenté aucune observation en défense sur ce point. 95. La formation restreinte rappelle que, dans la mesure où la société a indiqué effectuer de la prospection commerciale par téléphone à partir de fichiers transmis par ses partenaires, il s’agit d’un cas de collecte indirecte, pour lequel l’information des personnes doit être assurée dans les conditions définies à l’article 14 du RGPD. 96. Elle relève, à titre d’éclairage, que le CEPD précise, dans ses lignes directrices sur la transparence au sens du règlement (UE) 2016/679, que si une information à plusieurs niveaux est possible pour plus de clarté, il " recommande que le premier niveau (autrement dit, la principale façon de communiquer pour la première fois avec une personne concernée) communique de manière générale les informations les plus importantes […] Par exemple, quand le premier contact avec une personne concernée se fait par téléphone, ces informations pourraient être fournies lors de l’appel téléphonique tandis que les autres informations requises au titre des articles 13 et 14 pourraient être fournies ultérieurement et par d’autres moyens, notamment en envoyant un exemplaire de la politique de confidentialité par e-mail et/ou en envoyant à la personne concernée un lien vers l’avis/la déclaration en ligne du responsable du traitement sur la protection de la vie privée à différents niveaux ". S’agissant de l’obligation d’information dans un environnement téléphonique, il est suggéré de mettre en œuvre des " explications orales fournies par une personne physique permettant une interaction, [des] questions appelant une réponse, ou [des] informations automatisées ou pré-enregistrées proposant l’option d’entendre d’autres informations plus détaillées ". 97. La formation restreinte observe qu’il ressort des enregistrements téléphoniques communiqués par la société que les personnes faisant l’objet de prospection téléphonique sont uniquement informées de l’enregistrement de l’appel et de la possibilité de s’inscrire sur Bloctel, sans qu’aucune autre information ne leur soit communiquée quant au traitement de leurs données à caractère personnel. 98. La formation restreinte relève en outre que ces personnes ne se voient offrir aucune possibilité d’obtenir une information plus complète, par exemple via l’activation d’une touche sur leur clavier téléphonique. 99. Dans ces conditions, la formation restreinte considère que le manquement à l’article 14 du RGPD est constitué. F. Sur le manquement à l’obligation d’assurer la sécurité des données 100. Aux termes de l’article 32, paragraphe 1 du RGPD, " compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ". 101. La rapporteure relève que la société a indiqué conserver les données des clients de ses points de vente en Europe, soit 104 391 personnes en novembre 2021, pendant une durée de cinq ans à compter de la date de clôture du contrat, conformément aux délais légaux de prescription, précisant que ces données étaient conservées en base active, sans qu’aucun mécanisme d’archivage intermédiaire ne soit mis en œuvre. La rapporteure considère que ces modalités de conservation ne permettent pas de limiter l’accès aux données aux utilisateurs ayant besoin d’en connaître, dans la mesure où les personnes ayant intérêt à avoir accès à ces données pendant la durée du contrat continuent, même après la fin de ce dernier, à pouvoir y accéder sans restriction pendant une durée de cinq ans, alors même que leurs fonctions ne leur imposent plus nécessairement d’en connaître. 102. En défense, la société indique que chaque boutique HUBSIDE.STORE dispose de sa propre base de données clients, et que les vendeurs ne peuvent donc accéder qu’aux informations des clients de la boutique à laquelle ils sont rattachés. S’agissant des services supports, elle confirme qu’ils ont accès à l’ensemble des données des clients du réseau HUBSIDE.STORE. Par ailleurs, elle ne conteste pas qu’à l’issue de la relation contractuelle, aucune limitation d’accès n’intervient, et précise que certains services, notamment le service après-vente, sont gérés par les vendeurs eux-mêmes. Elle souligne enfin, dans le cadre de ses observations orales lors de la séance du 7 décembre 2023, que la société HUBSIDE.STORE, bien que créée en 2017, a commencé à déployer ses boutiques à compter de l’année 2021, et qu’aucune donnée n’est donc conservée depuis cinq ans. 103. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement doit mettre en place des mesures appropriées pour assurer la confidentialité des données et éviter que ces dernières soient traitées de façon illicite par des personnes qui n’ont pas besoin d’en connaître (CNIL, FR, 29 octobre 2021, Sanction, n°SAN-2021-019, publié). 104. Ce besoin d’en connaître est susceptible d’évoluer en fonction du cycle de vie des données et des finalités pour lesquelles elles sont conservées. Ainsi, pendant la phase de leur utilisation courante, qui correspond à la durée nécessaire pour accomplir la finalité déterminée, les données sont conservées en " base active " et accessibles à l’ensemble des services chargés de la mise en œuvre du traitement. A l’issue de cette phase, lorsque les données ne sont plus utilisées pour atteindre l’objectif fixé mais qu’elles présentent encore un intérêt administratif pour l’organisme (par exemple pour la gestion d’un éventuel contentieux) ou doivent être conservées pour répondre à une obligation légale, elles doivent pouvoir être consultées uniquement de manière ponctuelle et motivée par des personnes spécifiquement habilitées, participant à l’objectif ayant justifié cette conservation, en faisant l’objet d’un archivage intermédiaire. Cet archivage intermédiaire nécessite d’opérer une séparation avec la base active, qui peut être physique (via un transfert des données au sein d’une base d’archives dédiée), ou logique (via la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder). 105. La formation restreinte relève que la société ne conteste pas conserver les données de ses clients à l’issue de la relation contractuelle, sans qu’aucune mesure d’archivage intermédiaire n’intervienne. La formation restreinte rappelle que la cessation des relations contractuelles doit conduire à limiter l’accès aux données à certains salariés en raison de leurs fonctions. Néanmoins, la formation restreinte considère qu’en l’état, les éléments qui figurent au dossier ne permettent pas d’établir que des personnes auraient accès auxdites données sans avoir besoin d’en connaître. 106. Il résulte ce qui précède que le manquement à l’article 32 du RGPD n’est pas constitué. III. Sur le prononcé de mesures correctrices et la publicité 107. Aux termes de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ". 108. L’article 83 du RGPD prévoit que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. 109. En premier lieu, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, le caractère délibéré ou non de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. 110. La formation restreinte souligne que les manquements commis par la société portent sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel. 111. Ainsi, s’agissant du recueil du consentement à des fins de prospection par voie électronique, la formation restreinte insiste sur le fait que l’écosystème de la revente de données de partenaires en partenaires exige des garanties particulièrement fortes quant à la qualité et à la validité du consentement obtenu par le primo-collectant des données et dont les partenaires se prévalent à des fins de prospection commerciale. Elle souligne qu’à cet égard, l’organisme qui se prévaut d’un tel consentement pour mener des opérations de prospection commerciale endosse une responsabilité essentielle lui imposant, en tant que responsable de traitement, de s’assurer que les conditions lui permettant de réaliser lesdites opérations sont réunies, indépendamment de la responsabilité éventuelle des fournisseurs de données, primo-collectants. En outre, elle considère que les exigences doivent être particulièrement renforcées s’agissant des modalités de recueil du consentement des utilisateurs des sites web dont l’objet est d’offrir des perspectives de gains, ces personnes n’ayant pas nécessairement conscience de la portée de leur accord dans le cadre de leur inscription. Elle relève également que la société a recours massivement à la prospection par voie électronique, - celle-ci ayant envoyé plus de 1,3 million de SMS entre le mois de septembre 2020 et le mois de septembre 2021, et plus de 220 000 entre mai 2022 et mai 2023 -, et que de telles pratiques sont susceptibles d’être vécues comme particulièrement intrusives. 112. S’agissant du manquement à l’obligation de disposer d’une base légale pour traiter les données des prospects dans le cadre de la prospection commerciale par téléphone, la formation restreinte rappelle l’importance, en l’absence de recueil d’un consentement valide, de permettre aux personnes concernées de mesurer l’ampleur des traitements dont leurs données sont susceptibles de faire l’objet. Ainsi, le fait qu’au moment de la collecte des données, une liste détaillée des partenaires susceptibles de réaliser des opérations de prospection commerciale soit mise à la disposition des personnes concernées, sans que la société HUBSIDE.STORE y figure, et sans que cette liste soit complétée par une mention précisant les catégories de partenaires dont pourrait faire partie la société HUBSIDE.STORE, prive les personnes concernées du socle minimal d’information permettant de préserver leurs intérêts, libertés et droits fondamentaux. 113. S’agissant du manquement à l’obligation d’information des personnes, la formation restreinte relève que la société utilise des données obtenues massivement auprès de courtiers en données, sans permettre notamment aux personnes concernées de s’assurer de la source de leur collecte. Elle rappelle que l’information des personnes constitue une mesure fondamentale permettant à ces dernières de pouvoir exercer les droits dont elles bénéficient, et qu’un tel manquement revêt donc une particulière gravité. Elle souligne enfin que ce manquement apparait structurel, dans la mesure où, sur les dizaines d’enregistrements d’appels fournis par la société, aucun ne répond aux exigences d’information prévues à l’article 14 du RGPD. 114. La formation restreinte insiste enfin sur le fait que la société HUBSIDE.STORE, en tant que filiale de la société SFK GROUP, dispose de ressources humaines, financières et techniques suffisantes pour s’assurer du respect des règles relatives à la protection des données à caractère personnel. 115. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles L. 34-5 du CPCE et 6 et 14 du RGPD. 116. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les violations relevées en l’espèce concernent des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. 117. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que la société HUBSIDE.STORE a réalisé un chiffre d’affaires de plus de […] euros au titre de l’année 2021, pour un bénéfice de plus de […] euros. Par ailleurs, la formation restreinte relève que le nombre de boutiques HUBSIDE.STORE est passé de 62 en septembre 2021 à 97 en mai 2023, soit une augmentation de 56%. 118. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de cinq cent vingt-cinq mille euros (525 000 €) apparaît justifiée. 119. En troisième lieu, s’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité de certains des manquements en cause, de la position de la société sur le marché, de la portée des traitements et du nombre de personnes concernées. 120. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits. 121. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer une amende administrative à l’encontre de la société HUBSIDE.STORE d’un montant de cinq cent vingt-cinq mille euros (525 000 €) pour manquements aux articles L.34-5 du code des postes et communications électroniques et 6 et 14 du RGPD, qui se décompose comme suit :  deux cent mille euros (200 000 €) pour manquement à l’article L.34-5 du code des postes et des communications électroniques ;  trois cent vingt-cinq mille euros (325 000 €) pour manquements aux articles 6 et 14 du RGPD ; • rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication. Le président Philippe-Pierre CABOURDIN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.


Décision DR-2024-011 autorisant l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le bien-être et la santé mentale des enfants scolarisés de la petite section de maternelle au CM2, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2004 à 2037, intitulée « Enabee »  (Demande d’autorisation n° 921423v1)


Décision DR-2024-033 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en oeuvre un traitement de données ayant pour finalité une étude épidémiologique descriptive et prévalence de la mastocytose systématique indolente à partir des données grenobloise, intitulée « PREMAST ». (Demande d’autorisation n° 924006)


Décision DR-2024-038 autorisant la société MERCK HEALTHCARE KGAA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation des modalités de traitement, de l'utilisation des ressources de santé et du fardeau économique du carcinome urothélial métastatique (CUM) en France, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2014 à 2024. (Demande d’autorisation n°924031)