Délibération n° 2023-140 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR) "responsable du traitement" du groupe SERVIER
(demande d’approbation n° 20005744)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Servier SAS au nom et pour le compte du groupe Servier (ci-après "Servier") d’une demande d’approbation de ses BCR "responsable du traitement" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la décision de la CJUE C-311/18 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, du 16 juillet 2020 ; Vu les recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE, du 18 juin 2021 ; Vu les recommandations 1/2022 sur la demande d’approbation et sur les éléments et principes à inclure dans les BCR responsable de traitement (article 47 RGDP), du 20 juin 2023 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "responsable du traitement" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "responsable du traitement" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP256 rev.01[2], notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (article 6.1 des BCR et accord intra-groupe) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 6.3 des BCR et l’annexe 1 ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ainsi qu’en annexe 2 des BCR ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexe 3 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par l’article 6.1 des BCR et par les dispositions de l’accord intra-groupe ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles 2.2 et 5.6 des BCR et en annexe 1 ; e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits, y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22 du RGPD, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes sont prévus aux articles 5.3 et 6.3 des BCR ; f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article 6.4 des BCR ; de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article 5.1 des BCR et en annexe 1 ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées aux articles 5.4, 5.7 et 6.2 des BCR ; i) les procédures de réclamation sont décrites à l’article 5.4 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 5.8 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 7.3 des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 6.6 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 5.8 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à l’article 7.2 des BCR ; n) enfin, l’article 5.7 des BCR prévoit une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°28/2023 en date du 28 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "responsable du traitement" présentées par le groupe Servier, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Les BCR "responsable du traitement" du groupe Servier doivent être mises en conformité avec les Recommandations 01/2022 du CEPD dans le cadre de la mise à jour annuelle de 2024. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "responsable du traitement" du groupe Servier ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "responsable du traitement" du groupe Servier approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Les BCR "responsable du traitement" du groupe Servier s’appliquent à tous les traitements de données personnelles effectués par les entités liées. b. États membres de l’EEE depuis lesquels les transferts sont effectués : Allemagne, Autriche, Belgique, Bulgarie, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Royaume-Uni, Slovaquie, Slovénie et Suède. c. Pays tiers vers lesquels les transferts sont effectués : Afrique du Sud, Algérie, Arabie saoudite, Argentine, Arménie, Australie, Azerbaïdjan, Belgique, Biélorussie, Brésil, Cambodge, Canada, Chine, Colombie, Corée du Sud, Côte d'Ivoire, Égypte, Émirats arabes unis, États-Unis, Géorgie, Hong Kong, Inde, Indonésie, Japon, Kazakhstan, Liban, Malaisie, Maroc, Mexique, Niger, Pakistan, Panama, Philippines, Russie, Serbie, Singapour, Sri Lanka, Suisse, Thaïlande, Tunisie, Turquie, Ukraine, Venezuela et Vietnam. d. Les finalités des transferts : les finalités sont détaillées en annexe 3 des BCR. Elles comprennent notamment les finalités suivantes : Gestion des événements indésirables ; Essais cliniques et autres études, recherche ; Gestion du développement des affaires ; Gestion et organisation d'événements / webinaires ; Gestion des sites web ; Gestion des ressources humaines (RH) ; Gestion des technologies de l'information (TI) ; Conformité et confidentialité des données ; Affaires réglementaires ; Gestion des archives ; Gestion des litiges ; Gestion des assurances. e. Catégories de personnes concernées : les catégories sont détaillées dans l’annexe 3 des BCR. Elles comprennent notamment les personnes suivantes : Salariés ; Journalistes ; Patients / Participants ; Enquêteurs ; Fournisseurs ; Personne de contact locale (PCL) ; Partenaires ; Clients ; Prospects ; Utilisateurs visitant le site Web ; Utilisateurs d'applications ; Utilisateurs d'applications de boîte aux lettres ; Personne de contact tierce ; Dirigeants d'entreprise ; Direction générale et membres du conseil d'administration ; Actionnaires ; Consultant ou conseiller externe ; Représentant légal ; Experts ; Étudiants ; Plaignant, Demandeurs. f. Catégories de données à caractère personnel transférées : les catégories sont détaillées, par finalité et par catégorie de personnes concernées dans l’annexe 3 des BCR. [1] Approuvé par le CEPD le 25 mai 2018. [2] Les WP256 rev.01 et WP264 sont remplacés par les Recommandations 1/2022 du CEPD. Cependant, étant donné que les BCR responsable du traitement du groupe avaient déjà atteint le stade de projet consolidé visé par l’article 2.4 du WP263 rev.01 au moment de la publication desdites Recommandations, les BCR peuvent être instruites conformément au cadre précédent, sous réserve que le CEPD adopte son avis d'ici la fin d’année 2023 (paragraphe 13 des Recommandations 1/2022).


Délibération n° 2023-141 du 21 décembre 2023 portant approbation des règles d’entreprises contraignantes (BCR) "sous-traitant" du groupe TESSI
(Demande d’approbation n°20005718)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Tessi SAS au nom et pour le compte du groupe Tessi, d’une demande d’approbation de ses BCR "sous-traitant" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "sous-traitant" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "sous-traitant" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP257.rev.01, notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (section V des BCR et annexes 2, 3 et 7 des BCR) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via les sections VIII et IX.1 des BCR et l’annexe 4 des BCR ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission, qui a été fourni dans le cadre de l’instruction du dossier, à la section IV et en annexes 2 et 8 des BCR ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés à la section III.2 et en annexe 11 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par les sections V, VII, VIII et IX.1 des BCR ainsi qu’aux annexes 2, 3 et 7 ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données , la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes sont visés aux sections IX, XI, XIII.2, XIV des BCR ainsi qu’ en annexes 1, 4 et 10 des BCR ; e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus à la section VIII des BCR ; f) l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l’UE est précisée à la section VII des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée aux sections VIII et IX.1 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées aux sections IV, XIV et XV des BCR ainsi qu’en annexes 4, 5 et 8 des BCR ; i) les procédures de réclamation y compris l’obligation du sous-traitant d’informer le responsable du traitement d’une demande ou d’une réclamation d’une personne concernée, sont décrites aux sections VIII et XIV des BCR et en annexe 4 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à la section XVI et en annexe 6 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d’entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande (section XIII.1 des BCR) ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à la section XVII des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à la section XIII.1 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée par ce même article ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à la section VI des BCR ; n) enfin, la section XV et l’annexe 5 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n° 27/2023 en date du 28 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "sous-traitant" présentées par le groupe Tessi, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "sous-traitant" du groupe Tessi ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "sous-traitant" du groupe Tessi qui sont approuvées par la présente décision couvrent le champ d’application suivant : a. Champ d’application. Ces BCR "sous-traitant" s’appliquent lorsqu’une entité du groupe Tessi liée par les BCR agit en tant que sous-traitant pour le compte et sur les instructions d’un responsable du traitement établi dans l’UE qui n’est pas une entité du groupe Tessi (section III et annexes 2 et 11 des BCR). b. Etats membres de l’EEE depuis lesquels les transferts sont effectués : France, Espagne, Bulgarie (annexe 2 des BCR). c. Pays tiers vers lesquels les transferts sont effectués : les transferts de données à caractère personnel se font vers les entités du groupe Tessi localisées en Suisse, au Royaume-Uni, en Tunisie et à Maurice (annexe 2 des BCR). d. Les finalités des transferts : les finalités sont détaillées à la section III.2.2 et en annexe 11 des BCR. Elles dépendent des services fournis et couvrent notamment les activités suivantes : développement d'applications : étude, conception, création d'applications web, applications mobiles ; tests et recettes des applications ; gestion des services informatiques : support, exploitation ; gestion de la sécurité informatique ; audits et contrôle interne : qualité, sécurité, conformité ; gestion des opérations promotionnelles relatives aux offres de remboursement, aux primes différées et aux jeux concours ; gestion des opérations de marketing ; gestion des réclamations ; gestion des sites Web et applications mobiles dans le cadre des services clients ; gestion et traitement des flux électroniques et papier : catégorisation, dactylographie, codage, enrichissement des fichiers clients, etc. e. Catégories de personnes concernées : ces catégories sont listées à la section III.2.1 et en annexe 11 des BCR (clients et clients des clients) : les employés ; les stagiaires ; les clients ; les partenaires commerciaux ; les fournisseurs ; les prestataires et sous-traitants. f. Catégories de données à caractère personnel transférées : ces catégories sont listées à la section III.2.1 et en annexe 11 des BCR : les données relatives à l’identité ; les données relatives à la vie professionnelle ; les données de connexion (les journaux (logs) et les adresses IP) ; les informations économiques et financières (revenus, impôts, données bancaires, droits sociaux, situation financière, etc.) ; les données sensibles. [1] Approuvé par le CEPD le 25 mai 2018.


Délibération de la formation restreinte n°SAN-2023-025 du 29 décembre 2023 concernant la société TAGADAMEDIA

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Isabelle LATOURNAIRE-WILLEMS et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société TAGADAMEDIA ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 22 juin 2023 ; Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société TAGADAMEDIA le 25 août 2023 ; Vu les observations écrites versées par la société TAGADAMEDIA le 29 septembre 2023 ; Vu la réponse du rapporteur notifié à la société le 20 octobre 2023 ; Vu les observations écrites versées par la société TAGADAMEDIA le 20 novembre 2023 ; Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ; Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte : - Mme Valérie PEUGEOT, commissaire, entendue en son rapport ; En qualité de représentants de la société TAGADAMEDIA : - […]. La société TAGADAMEDIA ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. La société TAGADAMEDIA (ci-après " la société ") est une société par actions simplifiée (SAS) au capital de 100 000 euros, sise 55 rue Legendre à PARIS (75017). Créée en 2015, elle met principalement en œuvre des sites en ligne de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects. Ces données sont ensuite vendues à des partenaires annonceurs effectuant des opérations de démarchage. 2. En 2016, la société TAGADAMEDIA a racheté à 100% la société […]. Créée en 2004, la société […] diffuse des newsletters qui incluent des messages commerciaux pour le compte de clients annonceurs. Les newsletters sont adressées à des prospects dont les données ont été collectées par les sites édités par la société TAGADAMEDIA ou la société […]. 3. En 2023, la société TAGADAMEDIA comptait six salariés. Elle a réalisé, pour l’année 2022, un chiffre d'affaires de […] euros pour un résultat net de […] euros. Pour la période du 1er janvier 2023 au 31 août 2023, son chiffre d’affaires s’est élevé à […] euros. 4. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle en ligne du site web accessible via l’URL https://www.tagadamedia.com/fr afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD "). 5. Ce contrôle en ligne a donné lieu à un procès-verbal n° 2022-054/1 du 16 mai 2022, notifié le 27 mai 2022 à la société. 6. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la CNIL, une délégation de la Commission a procédé à une mission de contrôle sur place de la société TAGADAMEDIA. Des procès-verbaux n° 2022-054/2 et n° 2022-054/3 des 18 et 19 mai 2022 ont été dressés et notifiés à la société par un courrier du 23 mai 2022. 7. Par des courriers des 3 et 10 juin 2022, la société a communiqué les éléments sollicités dans le cadre des contrôles en ligne et sur place. Les 13 juillet et 30 septembre 2022, la délégation de contrôle a adressé des demandes complémentaires, auxquelles la société a répondu les 26 juillet et 12 octobre 2022. 8. Le 18 octobre 2022, un second contrôle en ligne a été diligenté par les services de la CNIL. Le procès-verbal n° 2022-054/4 a été notifié le 5 décembre 2022 et la société a communiqué les éléments sollicités le 20 décembre 2022. Une dernière demande complémentaire a été adressée le 3 mai 2023, à laquelle la société a répondu le 22 mai 2023. 9. Le 22 juin 2023, la présidente de la Commission a, sur le fondement de l’article 22 de la loi du 6 janvier 1978, désigné Mme Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments. 10. Le 25 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5, 6, 30 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique. 11. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de la rapporteure. 12. Sur demande de la rapporteure et par une décision n° 2023-235C du 17 octobre 2023 de la Présidente de la CNIL, une délégation de la CNIL a procédé à un contrôle en ligne pour vérifier la conformité de tout traitement accessible à partir de l’URL " https://testonsensemble.com/testez-de-nouveaux-produits/signup/1 " ou portant sur des données à caractère personnel collectées à partir de cette dernière. Ce contrôle a donné lieu à un procès-verbal n° 2023-235/1. 13. Le 20 octobre 2023, la réponse de la rapporteure a été notifiée à la société. 14. Le 20 novembre 2023, la société a adressé de nouvelles observations en réponse à celles de la rapporteure. 15. Par courrier du 21 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société que l’instruction était close. 16. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte du 7 décembre 2023. I. Motifs de la décision A. Sur le manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre 17. Aux termes de l’article 6, paragraphe 1, du RGPD, " Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ". 18. En vertu de l’article 4, paragraphe 11, du RGPD, le consentement de la personne concernée s’entend de " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ". 1) S’agissant des formulaires de collecte de données de prospects 19. La rapporteure relève que la société collecte des données de prospects par l’intermédiaire de formulaires de participation à des jeux-concours en ligne. Ces données sont ensuite transmises à des partenaires de la société, qui procèdent à des opérations de prospection commerciale par voie électronique. La rapporteure note également que la politique de protection des données, accessible via les sites web que la société TAGADAMEDIA édite, prévoit que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique est le consentement. 20. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 6 du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11 du RGPD, la rapporteure se fonde sur le fait que la conception de ces formulaires ne permet pas aux utilisateurs de manifester leur consentement par un acte positif clair et dénué d’ambigüité, et les incite fortement à accepter la transmission de leurs données aux partenaires de la société à des fins de prospection. 21. En défense, la société confirme qu’elle a choisi de fonder son traitement relatif à la prospection commerciale sur le recueil du consentement, que ce soit pour la prospection par voie électronique, par voie postale et par voie téléphonique. Elle précise que le recueil du consentement " à action unique " est accompagné d’un centre de désabonnement qui permet de se désinscrire de manière complète à l’ensemble des moyens de prospection. 22. La société avait recours, successivement, à deux types de formulaire, l’un reposant sur un bouton unique, l’autre sur deux boutons. 23. S’agissant du formulaire à bouton unique, la société indique que sa conception faisait que la participation de l’internaute au jeu/concours n’était conditionnée qu’à son acceptation du règlement. Ce dernier pouvait ainsi cliquer sur le lien situé dans le texte explicatif pour participer au jeu sans accepter de transmettre ses données aux partenaires. 24. Par ailleurs, d’une manière générale, la société affirme que les deux formulaires permettaient bien aux internautes de faire un choix relatif à la transmission de leurs données, ce qui garantirait le caractère libre du consentement. Elle indique, d’une part, que la participation au jeu et le recueil du consentement pour la transmission des données sont décorrélés, d’autre part, que le consentement est spécifiquement recueilli pour la prospection commerciale. Elle précise également que les formulaires indiquent clairement les implications des clics des internautes, tout en reconnaissant que des modifications étaient nécessaires s’agissant des implications du bouton " JE REFUSE " sur le formulaire à deux boutons. Enfin, la société affirme que le consentement serait univoque car manifesté par un clic sur le bouton, ce qui en fait bien une action positive. Lors de la séance de la formation restreinte, la société a précisé que le formulaire à bouton unique a été mis en place en 2015 mais qu’il est aujourd’hui obsolète, le formulaire à deux boutons étant effectif depuis 2017. 25. À la suite de la réception du premier rapport de la rapporteure, la société a indiqué avoir mis en place un nouveau type de formulaire, qu’elle considère conforme aux exigences du RGPD. Selon la société, le texte explicatif est parfaitement lisible et contient toutes les informations nécessaires pour l’utilisateur qui ne présente aucune vulnérabilité particulière. Elle ajoute que la position des boutons, en affichant d’abord le bouton " J’ACCEPTE " avec un texte explicatif en caractère moins grands, telle qu’elle figure sur le nouveau formulaire, serait considérée comme " neutre ", selon les études sur les cookies produites par la CNIL, et serait donc licite. La société précise qu’il est possible de poursuivre son parcours utilisateur sans accepter de recevoir des offres de partenaires. 26. À cet égard, la société relève que la CNIL n’a publié aucune recommandation spécifique sur le secteur du marketing digital. Elle précise qu’elle a mis en place de nombreuses mesures pour assurer le respect des droits des personnes et communique des statistiques révélant un nombre très élevé de personnes " opt-in " et un nombre peu élevé de personnes " non-opt-in ", c’est-à-dire ayant demandé à se désinscrire / ayant demandé la suppression de leurs données / ou ayant rempli un autre formulaire de jeu tout en refusant la transmission de leurs données. 27. Enfin, la société affirme qu’elle n’a jamais eu la volonté de tromper ou d’induire en erreur les prospects inscrits dans sa base de données, le succès de son activité reposant sur la qualité de ses pratiques de collecte et des personnes inscrites sur sa base de données. 28. La formation restreinte relève d’abord que, aussi bien la politique de protection des données, accessible via les sites web, que le registre des activités de traitement de la société, prévoient que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique, téléphonique ou postale est le consentement, ce que confirme la société. 29. La formation restreinte rappelle que le consentement spécifique requis par les dispositions de l’article 6 du RGPD ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données à caractère personnel. Il convient à cet égard de s’assurer que les personnes concernées ont donné un consentement univoque, spécifique, libre et éclairé lors de la collecte de leurs données à caractère personnel par le biais des formulaires de participation à des jeux-concours. 30. La formation restreinte relève à cet égard que les travaux conduits sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement. 31. Par ailleurs, sur les mêmes conditions du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH : " l’article 7, sous a), de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est " indubitablement " donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence " (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, §54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que " la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être " spécifique ", en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies " (Idem, §§ 58-59). 32. En outre, le Conseil d’Etat a retenu que " le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. " (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21). 33. La formation restreinte relève également, à titre d’exemple, que les lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020 par le groupe de travail " article 29 " (devenu le Comité européen de la protection des données, ci-après " CEPD "), précisent que le caractère libre du consentement " implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable ". 34. À titre d’illustration et de comparaison, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", la Commission recommande ainsi aux organismes concernés de s’assurer " que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique " (§ 34). Elle ajoute qu’il convient " d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir. " (§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé. 35. La formation restreinte rappelle également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage de données. 36. En l’espèce, il ressort des pièces du dossier que la société TAGADAMEDIA transmet à des partenaires les données collectées, à savoir le nom, le prénom, la civilité, la date de naissance, l’adresse postale, de courrier électronique, le numéro de téléphone des prospects, collectés via ses sites de jeux-concours, de tests de produits et de sondages. Ces partenaires procèdent ensuite à des opérations de prospection commerciale, notamment par voie électronique, auprès de ces prospects. 37. La formation restreinte relève que, au moment des contrôles, l’accès à deux formulaires de collecte a été constaté sur les sites utilisés pour collecter les données de prospects : un formulaire à bouton unique et un formulaire à deux boutons. 38. S’agissant du formulaire à bouton unique, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées est situé un bouton unique " JE VALIDE " sur fond vert avec une flèche. Au-dessus de ce bouton, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur ledit bouton, l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertextes permettent d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précise que si l’utilisateur souhaite continuer sans recevoir les offres des partenaires de la société, il peut cliquer sur un lien présent dans le texte (" je clique ici "). En outre, une case à cocher est prévue pour accepter le règlement de l’opération. 39. Ainsi, l’utilisateur confronté à ce formulaire peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton vert " JE VALIDE " pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le lien " je clique ici " permettant de continuer sans recevoir ces offres. 40. La formation restreinte considère que tel qu’il est conçu, le formulaire proposé ne permet pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission de données à des fins de prospection commerciale. L’aperçu global de l’interface met particulièrement en valeur le bouton " JE VALIDE " qui, par sa taille et sa couleur se distingue des autres informations délivrées. De même, son intitulé évoque davantage la conclusion du parcours utilisateur qu’une transmission de données à des partenaires. Enfin, son emplacement et l’usage du verbe valider donnent l’impression de devoir obligatoirement être cliqué pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter la transmission de ses données est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur le bouton " JE VALIDE " et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est donc privé de son caractère univoque et libre. 41. Tout en relevant que ce formulaire était encore accessible en mai 2022, soit au moment des contrôles de la délégation de la CNIL, la formation restreinte prend bonne note que la société n’y recourt plus de façon opérationnelle. 42. S’agissant du formulaire à double bouton mis en place depuis 2017 jusqu’à la notification du rapport de sanction en 2023, la formation restreinte note que, sous les champs permettant aux personnes concernées d’insérer leurs coordonnées, sont situés deux boutons : un bouton " JE VALIDE ", écrit en blanc sur fond rouge, et un bouton " JE REFUSE ", écrit en noir sur fond gris et dont la taille de police est inférieure à celle du bouton " JE VALIDE ". Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton " JE VALIDE ", l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En outre, une case à cocher est prévue pour accepter le règlement de l’opération. 43. La formation restreinte constate que sur ce formulaire, il n’est fait aucune mention des conséquences d’un clic sur le bouton " JE REFUSE ". 44. Ainsi, l’utilisateur confronté à cette interface peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton " JE VALIDE " pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le bouton " JE REFUSE " pour continuer sans recevoir ces offres. 45. À l’instar du formulaire évoqué aux paragraphes 38 à 40 et pour les mêmes motifs, la formation restreinte considère que tel qu’il est conçu, le formulaire décrit ne permet pas de recueillir un consentement univoque et libre de l’utilisateur. 46. Elle relève en outre qu’en l’absence de toute précision sur les conséquences liées au fait de cliquer sur le bouton " JE REFUSE ", le recueil du consentement n’est pas éclairé. Ce dernier pourrait tout aussi bien signifier que le refus de transmettre ses données ne permet pas de participer au jeu-concours, ce qui n’est pas le cas en l’espèce. 47. S’agissant du nouveau formulaire proposé par la société à la suite du rapport de la rapporteure, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées sont situés deux boutons : un bouton " J’ACCEPTE ", écrit en blanc sur fond rouge, et un bouton " ÉTAPE SUIVANTE ", dont l’apparence est identique au premier. Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton " J’ACCEPTE ", l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En cliquant sur " ÉTAPE SUIVANTE ", il continue sans recevoir les offres des partenaires. 48. La formation restreinte considère que, bien qu’ils soient de taille, police et couleur identiques, les termes choisis incitent fortement les utilisateurs à cliquer en tout premier lieu sur " J’ACCEPTE " placé avant le bouton " ÉTAPE SUIVANTE ". En effet, les utilisateurs sont poussés à cliquer sur le premier bouton " J’ACCEPTE " puis le second bouton " ÉTAPE SUIVANTE " laissant penser qu’il existe un séquençage entre ces deux boutons, le premier constituant un préalable au second, alors que le parcours des utilisateurs se poursuit en cliquant sur " J’ACCEPTE ", sans qu’il soit nécessaire de cliquer sur " ÉTAPE SUIVANTE ". La formation restreinte note que si les explications sont fournies sur les conséquences de chacune des deux options, la mise en valeur particulière des deux boutons dans le visuel global du formulaire, par rapport à l’apparence dudit texte en termes de police et de couleur, ne permet pas de compenser le risque que la personne passe directement du remplissage des champs au bouton " J’ACCEPTE " sans en mesurer les conséquences. 49. La formation restreinte considère ainsi que les formulaires n’éclairent pas suffisamment les personnes concernées sur le fait qu’elles consentent à la transmission de leurs données à des fins de prospection commerciale, dans un contexte où l’objet même de ces sites web est d’offrir une perspective de gains ne pouvant laisser supposer l’objectif de collecte pérenne de ces données à de telles fins. Ces personnes ne sont pas mises en mesure de manifester leur consentement par un acte positif clair et dénué d’ambigüité. 50. La formation restreinte considère, dans ces conditions, que la société TAGADAMEDIA ne dispose pas, pour transmettre les données de prospects à ses partenaires aux fins de réaliser des opérations de prospection commerciale, d’un consentement valide au sens des articles 6 et 4 du RGPD. 51. En outre et pour les mêmes motifs, la formation restreinte considère que le consentement recueilli par le biais du dernier formulaire proposé par la société au cours de l’instruction ne répond pas aux exigences du RGPD et que le manquement à l’article 6 du RGPD persiste. 2) S’agissant de la transmission de données de prospects aux partenaires 52. La rapporteure note que la société TAGADAMEDIA transmet des données de prospects à des partenaires à des fins de démarchage par voie postale ou électronique. La rapporteure note que la politique de protection des données à caractère personnel, accessible via le site web de la société, précise que la base légale de la transmission des données aux partenaires de TAGADAMEDIA aux fins de prospection " par courrier postal ou par télémarketing " est le consentement. 53. La rapporteure observe que le fait de ne pas consentir à la transmission de ses données permet bien à l’utilisateur d’empêcher la transmission de son adresse électronique. Toutefois, la rapporteure relève que, malgré l’absence de consentement, l’adresse postale ou le numéro de téléphone est transmis aux partenaires à des fins de prospection par voie postale ou par téléphone. 54. La rapporteure considère donc que la société a procédé à un traitement déloyal des données de prospects n’ayant pas consenti à leur transmission aux partenaires, ce qui constitue un traitement déloyal, contraire à l’article 5, paragraphe 1, a) du RGPD. 55. En défense, la société affirme qu’elle transmet des données à ses partenaires d’une part, à des fins de prospection commerciale et d’autre part, pour la réalisation d’opérations techniques et de qualification, cette dernière finalité relavant de l’intérêt légitime. La transmission des exports de base de données se fait via un " dessin d’enregistrement " propre à chaque partenaire. Ces dessins d’enregistrement peuvent comporter, ou non, une colonne relative au statut de " l’opt-in prospect ". Si la colonne est présente, l’ensemble des données est transmis, la colonne devant encadrer l’utilisation des données de prospects (s’il est indiqué " opt-in = 0 ", le partenaire ne doit pas prospecter sur les données transmises mais se contentera de réaliser les opérations techniques et de qualification). S’il n’y a pas de colonne, l’adresse courriel et le numéro de téléphone du prospect ne sont pas transmis et le partenaire ne recevra que les coordonnées postales pour les opérations techniques et de qualification. 56. La société soutient que l’exploitation des données postales alors que les prospects ont refusé la transmission de leurs données n’est pas le résultat d’un fait généralisé et qu’elle a découvert l’existence de cette pratique au moment du contrôle. Elle ajoute que si certains partenaires ont procédé de la sorte, cette situation ne concerne pas tous les partenaires, ne présente pas un caractère intentionnel de la part de TAGADAMEDIA et ne lui apporte d’ailleurs aucun avantage économique. 57. Enfin, la société précise qu’elle ne transmet plus à ses partenaires, depuis le 1er février 2023, les données de prospects n’ayant pas donné leur consentement ( " non-opt-in " ) . 58. La formation restreinte relève que la politique de protection des données à caractère personnel de la société indique que : " En cas d’acceptation expresse de votre part, vos données pourront également être utilisées par Tagadamedia et/ou ses partenaires pour : • Vous envoyer des offres commerciales et promotionnelles par courrier électronique, y compris à caractère politique ou syndical, par courrier électronique, par SMS/MMS, par courrier postal ou par télémarketing • Vous transmettre des newsletters • Procéder à l'évaluation statistique de la fréquentation du site • Réaliser de la segmentation et des recoupement statistiques. Le fondement légal du traitement est le consentement ". 59. La formation restreinte considère que les finalités visées par la société comme relevant de la réalisation d’opérations techniques et de qualification, à savoir la normalisation postale, le dédoublonnage, l’enrichissement téléphonique, etc., participent à la réalisation des opérations de prospection commerciale de ses partenaires. Ces traitements sont réalisés sur la base de données transmises par la société TAGADAMEDIA, dans le cadre de contrats dont l’objet est, notamment avec la société […], " l’intégration technique de la base de données TAGADAMEDIA SAS chez […] et de sa commercialisation en location par […] " (article 1 du contrat). 60. La formation restreinte note que les données des personnes n’ayant pas consenti à leur transmission aux partenaires sont entièrement ou partiellement transmises aux sociétés partenaires à des fins d’opérations techniques et de qualification et sont utilisées, dans certains cas, à des fins de prospection. 61. La formation restreinte considère que dès lors qu’un prospect ne consent pas à la transmission de ses données aux partenaires de la société, celle-ci n’est pas autorisée à les transmettre, y compris à des fins de réalisation d’opérations techniques et de qualification. 62. Au demeurant, la formation restreinte note que la politique de confidentialité de la société ne précise pas que les données des utilisateurs ayant refusé la transmission de leurs données aux partenaires à des fins de prospection commerciale sont tout de même transmises à ces partenaires pour d’autres finalités et sur le fondement d’une autre base légale. 63. La formation restreinte relève que la société n’a eu connaissance de l’exploitation des données postales par ses partenaires à des fins de prospection commerciale, alors que les prospects avaient refusé la transmission de leurs données, qu’au moment du contrôle en 2022. 64. Elle estime que pour transmettre ces données à ses partenaires, et dans la mesure où elle a choisi la base légale du consentement pour les traitements relatifs à la prospection par voie postale ou par téléphone, la société aurait dû recueillir le consentement des personnes concernées, ce qui n’est pas le cas en l’espèce. 65. La formation restreinte conclut, ainsi, qu’un manquement à l’article 6 du RGPD est constitué. Elle note toutefois que la société ne procède plus, depuis le 1er février 2023, à la transmission de données de prospects " non-opt-in " à ses partenaires. B. Sur le manquement à l’obligation de mettre en œuvre un registre des activités de traitement 66. L’article 30 du Règlement dispose que le responsable de traitement, quel que soit le nombre de ses employés, a l’obligation de tenir un registre des activités de traitement, dès lors que le traitement des données à caractère personnel n’est pas occasionnel. Dans ce cas, le registre des activités de traitement doit comporter toutes les informations listées au 1. de l’article 30 du RGPD, à savoir : le nom et les coordonnées du responsable de traitement, de son représentant et du délégué à la protection des données, les finalités du traitement, les catégories de personnes concernées et les catégories de données à caractère personnel, les éventuels transferts de données et, dans la mesure du possible, les délais prévus pour l’effacement des données et la description des mesures techniques et organisationnelles mises en œuvre pour garantir un niveau de sécurité des données adapté au risque. 67. La rapporteure a constaté que la société partage un registre des activités de traitement avec la société […]. Or ce registre ne précise pas laquelle des sociétés agit en qualité de responsable de traitement. 68. En défense, la société relève tout d’abord qu’elle a bien mis en place un registre des activités de traitement et qu’il s’agit d’un modèle de registre simplifié proposé par la CNIL. Elle ajoute que ce registre comprend bien toutes les mentions prévues à l’article 30 du RGPD. 69. Elle ajoute qu’il est relativement rare que la CNIL sanctionne des organismes sur le fondement de l’article 30 du RGPD et que les décisions qui visent ce manquement concerneraient des faits plus graves (absence totale de registre, absence de mise en conformité après une mise en demeure, etc.). 70. La formation restreinte relève que la société TAGADAMEDIA met en œuvre un registre des activités de traitement, tenu en commun avec la société […], rachetée par elle, pour des traitements relatifs aux ressources humaines ou aux activités de prospection. 71. La formation restreinte note que ledit registre ne distingue pas quelle société agit en qualité de responsable de traitement pour l’activité en question. En effet, il n’est pas précisé pour les activités de ressources humaines ou de prospection si c’est la société TAGADAMEDIA ou la société […] qui agit en qualité de responsable de traitement. Or la société TAGADAMEDIA aurait dû, au regard du nombre de données traitées et de son activité, veiller au caractère exhaustif, précis et à jour de son registre des activités de traitement. 72. Il résulte de ce qui précède que le manquement à l’article 30 du RGPD est caractérisé. 73. La formation restreinte note que la société a mis à jour son registre des activités de traitement qui est désormais conforme aux exigences du RGPD. C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel 74. L’article 32, paragraphe 1, du RGPD prévoit que " Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ". 75. La rapporteure relève que dans le cadre du contrôle effectué sur place le 19 mai 2022, la société a indiqué qu’" il existe un seul compte administrateur de la base de données. Il est partagé par Monsieur […] et le directeur technique ". Elle considère que cette pratique n’est pas conforme aux exigences de sécurité et rappelle que conformément aux règles élémentaires relatives à la sécurité des systèmes d’information, pour être efficace, un mot de passe doit demeurer secret et individuel. Or, l’utilisation de comptes non individuels ne permet pas d’identifier de façon précise les connexions et de tracer les usages et actions réalisées par les personnes ayant accès au compte administrateur. 76. En défense, la société affirme que l’authentification et l’accès à la base de données sont rendus possibles via deux étapes d’authentification : une connexion par VPN grâce à une clé d’authentification individuelle et une seconde étape d’authentification au compte d’administration partagé entre les deux salariés habilités. La connexion VPN se fait grâce à un processus d’édition de clés d’authentification individuelles, les clés n’étant pas partagées entre les salariés. 77. Elle ajoute que les arguments de la rapporteure ne sont pas pertinents au regard de la taille et de la structure de TAGADAMEDIA. 78. La formation restreinte considère que la connexion au VPN au moyen de clés d’authentification individuelles constitue une bonne pratique et qu’elle permet, au regard du nombre restreint de personnes accédant au compte d’administration et de leur qualité, d’imputer les accès et actions effectuées au sein de la base de données par un compte administrateur partagé en cas de nécessité. 79. La formation restreinte conclut, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes physiques, que la société avait mis en œuvre les mesures techniques appropriées afin de garantir un niveau de sécurité adapté au risque. 80. Il résulte ce qui précède que le manquement à l’article 32 du RGPD n’est pas constitué. II. Sur le prononcé de mesures correctrices 81. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ". 82. L’article 83 du RGPD prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. 83. La société indique qu’elle estime que le montant proposé par la rapporteure, de cinq-cent-mille euros, n’est pas proportionné au regard de la gravité des faits reprochés. La société évoque les lignes directrices 04/2022 du CEPD du 12 mai 2022 sur le calcul du montant des amendes administratives. A la lumière de ces lignes directrices, elle rappelle que les traitements entrepris n’emportent pas une sensibilité particulière, que le traitement n’est pas transfrontalier, que le préjudice subi par les prospects n’est pas substantiel et qu’elle n’a pas souhaité tromper les prospects dans le cadre de la collecte des données. 84. En premier lieu, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. 85. S’agissant de l’obligation de disposer d’une base légale pour les traitements mis en oeuvre, la formation restreinte insiste d’abord sur le fait que l’écosystème de la revente de données de partenaires en partenaires exige des garanties particulièrement fortes quant à la qualité et à la validité du consentement obtenu par le primo-collectant des données et dont les partenaires se prévalent à des fins de prospection commerciale. Elle rappelle que l’absence de recueil d’un consentement valide prive de base légale la transmission des données de prospects à des partenaires, qui apparait dès lors illicite. Elle considère que les exigences doivent être particulièrement renforcées s’agissant des modalités de recueil du consentement des utilisateurs des sites web édités par la société, dont l’objet est d’offrir des perspectives de gains, ces personnes n’ayant pas nécessairement conscience de la portée de leur accord dans le cadre de leur inscription. Elle souligne également que la base de données de prospects de la société compte environ six millions de prospects. 86. La formation restreinte note également que, en transmettant des données de prospects à ses partenaires à des fins d’opérations techniques et de qualification alors que ce traitement relève de la prospection commerciale et que les personnes concernées n’ont pas spécifiquement consenti à cette transmission, la société TAGADEMEDIA ne disposait pas d’une base juridique. La formation restreinte relève que la société a cessé cette pratique. 87. S’agissant du manquement à l’obligation de mettre en œuvre un registre des activités de traitement, la formation restreinte estime que même si ce manquement est de faible gravité, le prononcé d’une amende apparaît justifié. 88. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 6 et 30 du RGPD. 89. En deuxième lieu, s’agissant du montant de l’amende administrative, la formation restreinte rappelle que certaines violations du RGPD relevées comportent des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. 90. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. 91. Dès lors, au regard de la responsabilité de la société, de ses capacités financières, de sa coopération au cours de la procédure et des critères pertinents de l’article 83, paragraphe 2, du RGPD, la formation restreinte estime qu’une amende de soixante-quinze mille euros apparaît justifiée. 92. En troisième lieu, s’agissant du prononcé d’une injonction, la formation restreinte relève que le consentement recueilli par le biais du formulaire de collecte proposé par la société dans le cadre de ses premières observations et visé aux paragraphes 47 et 48 ne présente toujours pas un caractère univoque. La formation restreinte considère qu’il est nécessaire de prononcer une injonction sur ce point. 93. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une astreinte d’un montant de mille (1 000) euros par jour de retard et liquidable à l’issue d’un délai d’un mois. 94. En quatrième lieu, s’agissant de la publicité de la sanction, la société soulève les conséquences désastreuses pour sa réputation en la désignant comme un acteur négligent alors même qu’elle est réellement investie dans le respect des normes du RGPD. Cette publicité impacterait aussi bien sa réputation auprès de ses partenaires économiques que des internautes. Elle demande donc que la décision ne soit pas publique ou, à défaut, qu’elle soit anonymisée dans les quinze jours suivant la publication. 95. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité de certains des manquements en cause, de la portée du traitement et du nombre de personnes concernées, soit environ 6 millions de prospects. 96. Elle relève également que cette mesure permettra d’informer les personnes concernées par les opérations de prospection de la société. Cette information leur permettra, le cas échéant, de faire valoir leurs droits auprès de la société. 97. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer une amende administrative à l’encontre de la société TAGADAMEDIA d’un montant de soixante-quinze mille ( 75 000 €) pour manquements aux articles 6 et 30 du RGPD ; • prononcer à l’encontre de la société TAGADAMEDIA une injonction de mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairée et univoque quant à la transmission de leurs données à caractère personnel à des partenaires à des fins de prospection ; • assortir l’injonction d’une astreinte de mille (1 000) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; • rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.


Délibération n° 2024-027 du 28 mars 2024 portant avis sur un projet de décret relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes

N° de demande d'avis : 23015557. Thématiques : fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS), ministères de l'agriculture et de la culture, personnes mineures. Organisme(s) à l'origine de la saisine : ministère de la justice. Fondement de la saisine : Article 31-II de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. L'essentiel : La CNIL considère que la consultation des données par les deux nouveaux accédants envisagés, à savoir les ministères de l'agriculture et de la culture, apparaît justifiée et proportionnée. Les autres modifications opérées par le projet de décret ont pour objet de mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec les évolutions législatives intervenues depuis 2019 et n'appellent pas d'observations de la CNIL. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment ses articles 87 et suivants ; Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le FIJAIS a été créé par la loi n° 2004-204 du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité. Il est tenu sous le contrôle du magistrat dirigeant le service du casier judiciaire national et est sous la responsabilité du ministère de la justice. Il a pour finalités la prévention du renouvellement de certaines infractions à caractère sexuel et violent ainsi que l'identification de leurs auteurs. Il doit aussi permettre de faciliter le suivi des auteurs de ces infractions par les autorités judiciaires et les services de police et de gendarmerie. Il permet enfin d'exercer un contrôle de l'accès à certaines professions entraînant un contact avec des personnes mineures. Ce traitement participant à la prévention des infractions pénales ainsi qu'aux enquêtes en la matière, il relève ainsi de la directive n° 2016/680 du 27 avril 2016 dite directive Police-Justice et des articles 87 et suivants de la loi du 6 janvier 1978 modifiée. B. - L'objet de la saisine Le projet de décret vise à : - ajouter deux nouveaux accédants au FIJAIS, relevant des ministères de l'agriculture et de la culture ; - mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec des évolutions législatives intervenues depuis 2019. Celles-ci ont en effet entraîné des modifications des articles 706-53-10, 706-53-2 et 706-53-4 du CPP. II. - L'avis de la CNIL A. - Sur l'ajout de deux nouveaux accédants Le projet de décret complète l'article R. 53-8-24 du CPP afin d'ajouter deux nouveaux accédants au FIJAIS : - le service des ressources humaines au secrétariat général du ministère chargé de l'agriculture ; - le service des ressources humaines du ministère chargé de la culture. La CNIL rappelle qu'elle a estimé que les modalités selon lesquelles il est prévu d'ouvrir le FIJAIS aux administrations doivent faire l'objet d'un encadrement rigoureux (CNIL, SP, 8 novembre 2007, projet de décret modifiant la partie réglementaire du code de procédure pénale et relatif au FIJAIS et au casier judiciaire national automatisé, n° 2007-326, publiée). En effet, la diversité des professions et activités concernées ainsi que la gravité des conséquences qui peuvent résulter de sa consultation à des fins administratives nécessitent une vigilance particulière. Les modifications envisagées visent à permettre aux ministères concernés de s'assurer que les candidats ou agents à des fonctions impliquant un contact habituel avec des personnes mineures ne font pas l'objet d'une inscription au FIJAIS. Au regard de ce qui précède, la CNIL considère que la consultation des données par les deux nouveaux accédants mentionnés apparaît justifiée et proportionnée. B. - Sur les modalités de consultation du FIJAIS L'article 706-53-7 du CPP indique que les informations contenues dans le FIJAIS sont directement accessibles, par l'intermédiaire d'un système de télécommunication sécurisé, pour les accédants prévus. L'article 706-53-11 du même code prévoit qu'aucun rapprochement ni aucune connexion au sens de l'article 33 de la loi du 6 janvier 1978 modifiée ne peuvent être effectués entre le FIJAIS et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice. Les administrations prévues en tant qu'accédants peuvent interroger les informations contenues dans le FIJAIS par un système de télécommunication sécurisé mis en place par ces ministères (recherche par identité complète uniquement). La CNIL prend acte de ce que les ministères de l'agriculture et de la culture n'ont pas vocation à faire des demandes par liste d'identités compte tenu de la volumétrie des consultations annoncée. Elle constate que ces modalités d'interrogation sont conformes aux articles 706-53-7 et 706-53-11 du CPP. En tout état de cause, elle rappelle que l'interrogation du FIJAIS par ces nouveaux accédants ne devra pas conduire, conformément à l'article 706-53-11 du CPP, à la mise en œuvre d'un rapprochement. C. - Sur les autres modifications réalisées Les autres modifications opérées par le projet de décret ont pour objet de mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec les évolutions législatives intervenues depuis 2019. Le projet de décret vise à modifier : - les conditions d'inscription au FIJAIS prévues à l'article R. 53-8-12 du CPP, le placement sous contrôle judiciaire n'étant plus une condition d'inscription des personnes en examen au FIJAIS ; - les catégories de décisions judiciaires enregistrées dans le FIJAIS conformément à l'article R. 53-8-4 du CPP, les décisions de non-lieu, de cessation ou de mainlevée de ce contrôle n'étant plus enregistrées dans le traitement ; - les conditions d'effacement des données prévues à l'article R. 53-8-36 du CPP dans la mesure où la cessation et la mainlevée du contrôle judiciaire ne sont plus des conditions d'effacement des données ; - la compétence pour connaître des recours contre les décisions de refus du procureur de la République d'effacement ou de rectification des données, désormais attribuée au président de la chambre de l'instruction de la cour d'appel et non plus au juge des libertés et de la détention. Ces modifications n'appellent pas d'observations de la part de la CNIL. Les autres dispositions du projet de décret n'appellent pas non plus d'observations de la part de la CNIL. D. - Sur les mesures de sécurité L'extension du traitement aux deux ministères prévus par le décret n'appelle pas de mesures de sécurité supplémentaires, mais appelle à accroître la vigilance à porter sur la gestion des accès déployés, en raison de la dispersion et la diversité prévisible des utilisateurs accédant au traitement. Elle rappelle que des procédures d'habilitation doivent être définies par les deux nouveaux ministères accédants avant l'accès au FIJAIS. Compte tenu de la sensibilité particulière des données enregistrées dans ce fichier, des mesures doivent être prises afin d'assurer plus largement la sécurité des accès au FIJAIS et la confidentialité stricte des données consultées. Ces mesures doivent faire l'objet de procédures écrites. La CNIL relève que l'accès aux données est limité aux utilisateurs dûment habilités en raison de leurs attributions et dans la limite du besoin d'en connaître. Pour une partie des utilisateurs, cet accès est conditionné à un mécanisme d'authentification reposant sur l'utilisation d'une carte agent combinée avec un code individuel. Toutefois, la CNIL regrette l'existence de situations dérogatoires d'accès par identifiant et mot de passe. La CNIL relève également que la politique d'habilitation spécifique existante sur ce traitement sera applicable aux nouveaux accédants. Toutefois, les accédants du ministère de l'agriculture utiliseront une authentification par un certificat cryptographique et les modalités d'authentification des accédants du ministère de la culture sont en cours de définition. Compte tenu de la sensibilité des données collectées, la CNIL recommande fortement de ne permettre l'accès aux données qu'après une authentification forte multi-facteur, comprenant au moins deux facteurs d'authentification différents, pour tous les accédants. Par ailleurs, la CNIL prend acte du plan d'action de l'analyse d'impact relative à la protection des données (AIPD) visant à réduire la vraisemblance des risques identifiés. Elle regrette toutefois que ce plan d'action ne précise pas de calendrier prévisionnel pour le déploiement des mesures complémentaires. La CNIL encourage donc le ministère à poursuivre les travaux de sécurisation du traitement. Elle rappelle enfin que les exigences de sécurité prévues à l'article 99 de la loi informatique et libertés nécessitent la mise à jour régulière de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques. La présidente, M.-L. Denis


Délibération n° HABS-2025-001 du 9 janvier 2025 habilitant des agents de la Commission nationale de l'informatique et des libertés à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi n° 78-17 du 6 janvier 1978 modifiée

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ; Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Décide : Article 1 Les agents de la direction des contrôles et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée : Mme Madeleine CAZETTES DE SAINT LEGER. Mme Virginie CLAUDE-LOONIS. Mme Audrey DANEL. Mme Ludivine DELELIS. Mme Caroline DEROUET. Mme Rosine DOLBEC. Mme Marie GAILLARDON. M. Rodolphe GÉNISSEL. Mme Sarah GUILLOU. Mme Marion JABOT. M. Jérémie KOUZMINE. Mme Morgane LE HIR. Mme Isabelle MANTZ. Mme Clothilde MAULIN. Mme Oriane MAURICE. Mme Nina MCEVOY. Mme Aude RICHARD. Mme Lauren SERAN. Liens relatifs Article 2 La délibération n° HABS-2024-003 du 18 juillet 2024 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis