Délibération de la formation restreinte n°SAN-2022-022 du 30 novembre 2022 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; Vu le code des postes et des communications électroniques ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2019-188C du 26 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés […] et […] ou pour leur compte ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 17 décembre 2020 ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 21 avril 2022 ; Vu les observations écrites versées par la société […] le 2 juin 2022 ; Vu la réponse du rapporteur à ces observations notifiée à la société […] le 13 juillet 2022 ; Vu les nouvelles observations écrites versées par la société […] le 26 août 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte du 29 septembre 2022 : - Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société […] : - […] ; - […] ; - […] ; - […] ; - […] ; - […] ; - […] ; - […]. En qualité de représentants de la société […], joints par visioconférence : - […] ; - […]. La société […] ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. La société […] (ci-après la société ), dont le siège social est situé […], est une filiale du groupe […] qui est un opérateur de télécommunication fixe. Créée en 1999, la société compte environ 179 salariés. 2. Pour l’année 2020, la société a réalisé un chiffre d’affaires d’environ […] euros, pour un résultat net d’environ […] euros. En 2021, la société dénombrait environ […] d’abonnés, […]. 3. Entre le mois d’octobre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de 41 plaintes à l’encontre de la société. Parmi ces plaintes, 10 ont été examinées dans le cadre de la présente procédure de sanction. Les plaignants faisaient notamment état de difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’effacement. Certaines de ces saisines étaient également relatives à la sécurité des données à caractère personnel des clients de la société. 4. Le 8 février 2019, la société a procédé auprès de la CNIL à une notification de violation de données à caractère personnel puis, le 22 février 2019 à une notification complémentaire. Elles indiquaient qu’environ 4 100 […] avaient été remises en circulation sans que leur reconditionnement ne soit effectif, c’est-à-dire sans que les données du précédent abonné ne soient effacées du disque dur de la […]. 5. Deux missions de contrôle sur place, dans les locaux de la société […] puis de la société […], ont été effectués les 21 et 22 janvier 2020. 6. Les procès-verbaux n° 2019-188/1 et n° 2019-188/2, dressés par la délégation le jour des contrôles, ont été notifiés à la société le 23 janvier 2020. À cette occasion, des demandes de complément d’information et de documents supplémentaires ont été adressées à la société. La direction juridique du groupe […] y a répondu par courriels des 3 et 10 février 2020. 7. Un contrôle sur pièces a également été effectué auprès des sociétés […] et […] le 3 juin 2020. La direction juridique du groupe […] y a répondu par courriel du 29 juin 2020. 8. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 décembre 2020, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 9. Une demande de complément d’information a enfin été adressée à la société par courrier du 16 mars 2022. La direction juridique du groupe […] y a répondu par courrier du 31 mars 2022. 10. Le rapporteur a, le 21 avril 2022, fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. 11. Ce rapport proposait à la formation restreinte de prononcer une amende administrative et une injonction de mettre en conformité le traitement avec les dispositions de l’article L.34-5 du code des postes et des télécommunications électroniques (CPCE) et des articles 7-1, 15, 17, 32 et 33 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 12. Le 2 juin 2022, la société a produit ses observations en réponse au rapport de sanction. 13. Le 13 juillet 2022, le rapporteur a adressé sa réponse aux observations de la société. 14. Le 26 août 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur. 15. Le 5 septembre 2022, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 29 septembre 2022. 16. Le 14 septembre 2022, la société a produit une attestation de son prestataire, la société […], relative à la fourniture de numéros de téléphone et d’adresse électroniques destinés à une campagne de prospection commerciale sur la période du 2 au 6 décembre 2019. 17. Le 21 septembre 2022, le président de la formation restreinte a avisé la société du report de la clôture de l’instruction au lundi 26 septembre 2022 et lui a demandé d’avertir la société […] afin qu’un de ses représentants puisse assister à la séance de la formation restreinte. 18. La société […] et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte. 19. Monsieur […] et Monsieur […], dont l’audition a été estimée utile, ont été entendus en application de l’article 42 du décret n° 2019-536 du 29 mai 2019. II. Motifs de la décision A. Sur le manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen de courrier électronique et de SMS 20. Aux termes de l’article L.34-5 du CPCE : Est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] . 21. Aux termes de l’article 4, paragraphe 11, du RGPD : Aux fins du présent règlement, on entend par […] consentement de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement . 22. Aux termes de l’article 7, paragraphe 1, du RGPD : Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant . 23. Le rapporteur pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11, du RGPD, se fonde sur le fait que la société […], qui réalise des opérations de prospection commerciale par voie électronique via une base de données à caractère personnel collectées par son prestataire, la société […], n’est pas en mesure d’apporter la preuve d’un consentement univoque, spécifique, libre et informé des prospects avant que ceux-ci aient été démarchés lors d’une campagne de prospection commerciale par voie électronique (courriel et SMS) en décembre 2019. Pour considérer le manquement comme étant constitué, le rapporteur s’est appuyé sur les éléments recueillis à l’occasion des opérations de contrôle sur place (procès-verbaux n° 2019-188/1 et n° 2019-188/2) ainsi que sur des pièces complémentaires transmises à l’issue de ces vérifications, notamment un document indiquant que la société a obtenu en décembre 2019 auprès de ce partenaire des fichiers de prospects pour effectuer une compagne de prospection commerciale par SMS et par email et que cette unique campagne […] n’a été faite qu’en décembre 2019 et n’a pas été poursuivie en 2020 . 24. En défense, la société soutient qu’elle a effectivement envisagé de réaliser une campagne de prospection par SMS et courrier électronique auprès de personnes non abonnées et a signé un devis avec son partenaire […] [la société […]] à cet effet . Elle indique cependant qu’elle s’est mal exprimée dans le document produit en pièce et qu’aucun manquement ne peut lui être reproché car cette campagne a été annulée avant même d’être lancée . Elle ajoute que l’une des raisons pour lesquelles cette campagne n’a pas été réalisée est que celle-ci devait permettre originellement de promouvoir les services de […] liés à la fibre optique. Du fait d’une pénurie, entre octobre 2019 et janvier 2020, des équipements utilisateurs nécessaires à l’installation de la fibre optique […], […] n’a finalement pas souhaité promouvoir des services dont elle n’aurait pu assurer la livraison . Lors de la séance de la formation restreinte, la société a réitéré ces éléments. 25. La formation restreinte relève que le document sur lequel se fonde le rapporteur comporte des éléments erronés et que la société a apporté des explications convaincantes sur les circonstances dans lesquelles l’erreur s’est produite. 26. Dans ces conditions, la formation restreinte considère qu’il n’est pas établi que la campagne de prospection commerciale électronique dont il est fait état ait été réalisée et que les éléments du débat ne permettent pas de conclure à l’existence d’un manquement aux obligations résultant de l’article L. 34-5 du CPCE et de l’article 7-1 du RGPD. B. Sur les manquements en lien avec l’exercice des droits 27. Aux termes de l’article 12 du RGPD : 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. […]. 2. […]. 3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. […] . 28. Aux termes de l’article 15 du RGPD : 1. La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations suivantes : […] g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source. […] 3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. […]. 4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d'autrui. 29. Aux termes de l’article 17 du RGPD : 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; […]. 1. Sur le manquement à l’obligation de respecter le droit d’accès 30. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD en matière de droit d’accès, se fonde sur cinq saisines de la CNIL, émanant de Messieurs […] (plainte n° 19009149), […] (plainte n° 19005208), […] (plainte n° 19014037), […] (plainte n° 19015831) et […] (plainte n° 19016618). Dans le cadre de ces plaintes, les personnes faisaient état de difficultés rencontrées dans l’exercice de ce droit, alors même que leurs demandes avaient bien été réceptionnées. 31. Le rapporteur indique que ces cinq saisines concernent notamment l’accès aux données à caractère personnel et, sur ces cinq saisines, quatre concernent plus particulièrement l’obtention d’une information sur la source d’où proviennent leurs données. 32. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que la société n’a pas donné suite dans les délais prescrits aux demandes précitées d’exercice des droits d’accès des plaignants ou qu’elle leur a apporté une réponse incomplète s’agissant de la source de leurs données. 33. En défense, la société fait valoir, s’agissant de l’absence de réponse apportée dans les délais, que les procédures mises en œuvre n’ont pas été respectées en raison d’erreurs humaines isolées. Elle fait également valoir que le nombre réduit de plaintes relevés dans le rapport (2) doit être comparé aux nombres de demandes qu’elle traite par an (environ 600). Enfin, la société indique que ces saisines sont antérieures à la mise en place d’un nouvel outil de ticketing qu’elle utilise depuis juin 2019, qui a permis d’apporter des améliorations à la procédure de traitement des demandes d’exercice de droit. Dès lors, elle considère que ces dysfonctionnements ponctuels sont à présent résolus. 34. S’agissant des demandes d’informations sur la source des données, la société considère que, conformément aux dispositions du considérant 63 du RGPD et de l’article 15-4 du RGPD, elle n’est pas tenue d’y répondre dès lors qu’elle serait conduite à révéler une information relevant du secret des affaires (l’identité du courtier en données lui ayant fourni les données). Elle soutient qu’en réalité, l’information qui est recherchée par les requérants est l’identité de la source primaire qui est à l’origine de la collecte des données du demandeur. Elle indique avoir fait évoluer ses procédures au cours de la procédure de sanction puisqu’elle sollicite désormais ses courtiers en données afin qu’ils lui transmettent l’identité de la source primaire à l’origine de cette collecte, information que la société transmet à son tour aux demandeurs. 35. La formation restreinte relève, s’agissant de l’absence de réponse apportée dans les délais, qu’il résulte de l’article 12 du RGPD que lorsqu’une demande d’exercice de droit lui est adressée, le responsable de traitement doit fournir à la personne concernée des informations sur les mesures prises pour répondre à sa demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois. La formation restreinte rappelle également que lorsque le responsable de traitement ne détient plus tout ou partie des données sur la personne qui exerce son droit d’accès (par exemple, les données ont été supprimées ou l’organisme ne dispose d’aucune donnée sur la personne), il doit néanmoins répondre au demandeur dans un délai maximal d'un mois. 36. S’agissant des informations à fournir sur la source des données au titre de l’article 15 du RGPD, la formation restreinte relève d’abord qu’il ressort des articles précités que la limitation du droit d’accès par les droits et libertés d’autrui qui incluent le secret des affaires, s’applique uniquement à l’article 15-4 du RGPD, relatif aux personnes demandant une copie de leurs données, et non à l’article 15-1 du RGPD, relatif aux personnes demandant des informations à un responsable de traitement qui procède au traitement de leurs données. En l’espèce, la formation restreinte note que les plaignants ne sollicitent pas de la société l’obtention d’une copie de leurs données ou l’accès à ces données, mais seulement une information quant à la source d’où proviennent leurs données. La formation restreinte estime dès lors que l’article 15-4 du RGPD est inapplicable. Elle considère en tout état de cause que l’article 15-1 du RGPD ne pourrait être limité que dans les conditions prévues par l’article 23 du RGPD, ce qui n’est pas le cas en l’espèce. 37. Ensuite, la formation restreinte relève que tout traitement de données à caractère personnel doit être conforme aux principes énoncés à l’article 5, paragraphe 1, a), du RGPD qui prévoit que les données à caractère personnel doivent être traitées de manière transparente au regard de la personne concernée. Elle souligne qu’il ressort des lignes directrices sur la transparence du groupe de travail de l’Article 29 devenu Comité européen de protection des données, que la source d’où proviennent les données à caractère personnel s’entend comme la source spécifique aux données ou, à défaut, la nature des sources (c’est-à-dire les sources publiques et privées) et les types d’organismes, d’entreprises et de secteurs . La formation restreinte considère que le droit d’accès de la personne concernée constitue une garantie fondamentale de la transparence des modalités de traitement des données. Elle en déduit que le responsable de traitement doit par principe communiquer la source spécifique relative aux données et que la limitation du droit d’accès aux indications de la nature des sources, des types d’organismes, d’entreprises et de secteurs ne peut intervenir que lorsqu’il ne détient pas cette information, l’identification de la source spécifique des données à caractère personnel de la personne concernée étant impossible. 38. La formation restreinte relève également que le droit d’accès – l’article 15 du RGPD étant éclairé par le considérant 63 - a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles. 39. La formation restreinte estime que le refus de communiquer l’identité du courtier en données à partir duquel les données de la personne concernée ont été obtenues, alors que la société dispose de cette information, et de limiter le droit d’accès à la source primaire de la collecte (c’est-à-dire le premier acteur de la chaîne à avoir collecté les données à caractère personnel de la personne concernée), qui n’était d’ailleurs pas fournie en l’espèce au moment du contrôle, revient à empêcher la personne concernée de pouvoir vérifier la licéité du traitement effectué par le responsable de traitement et, en particulier, la licéité des transmissions de données déjà effectuées. La formation restreinte considère, dès lors, que le droit de disposer de l’identité de la source des données est nécessaire pour permettre à la personne concernée de donner son consentement et d’exercer les droits qui lui sont conférés par le RGPD, en particulier le droit d’opposition, selon le type de prospection commerciale mise en œuvre par le responsable de traitement ayant obtenu les données auprès de courtiers. 40. La formation restreinte considère qu’un manquement aux obligations des articles 12 et 15 du RGPD est constitué pour l’ensemble des plaintes précitées dès lors que la société n’a pas traité les demandes d’accès qui lui ont été adressées dans le délai qui lui était imparti, laissant ainsi les personnes dans l’ignorance des données traitées par la société les concernant ou qu’elle leur a apporté une réponse incomplète s’agissant de la source de leurs données. En outre, la formation restreinte considère que la société n’a pas fourni, à la date de la clôture de l’instruction, d’éléments permettant d’attester d’une mise en conformité s’agissant spécifiquement du point relatif à la source des données. 2. Sur le manquement à l’obligation de respecter le droit d’effacement 41. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 17 du RGPD, se fonde sur deux saisines de la CNIL, émanant de Messieurs […] (plainte n° 19009870) et […] (plainte n° 19012463), dans le cadre desquelles les plaignants faisaient état de leurs difficultés dans l’exercice de leur droit d’effacement. 42. Le rapporteur indique que les intéressés ont demandé la suppression de leur compte de messagerie […].fr , via l’envoi, respectivement les 10 et 3 février 2019, d’un formulaire dédié à la suppression d’un compte principal […] accès gratuit sur lequel il est précisé que la suppression effective des comptes nécessite un délai de 48 heures après réception du courrier . 43. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle et des éléments communiqués ultérieurement que les plaignants n’ont pas obtenu de réponse à leurs demandes d’effacement formulées par lettre recommandée et que les mesures permettant de satisfaire leurs demandes d’effacement n’ont pas été mises en œuvre, dès lors que la base client SIEBEL contenait diverses données à caractère personnel propres aux plaignants, telles que leur identifiant de connexion, leur nom, prénom et adresse postale. En outre, le statut du compte de messagerie électronique […].fr de ces derniers était renseigné comme étant actif . 44. En défense, la société fait valoir que les demandes de suppression d’un compte […] accès gratuit ne sont pas des demandes d’effacement au sens du RGPD et ne sont encadrées par aucun délai légal […] mais s’assimilent à une demande de résiliation de contrat . La société en conclut qu’il serait totalement disproportionné de considérer que [ces demandes relèvent] de l’article 17 du RGPD et des délais posés par l’article 12.3 du RGPD . La société précise qu’elle est seulement tenue de respecter le principe de limitation de la conservation des données concernées, sans que cela impose la suppression immédiate de toutes les données concernées . Elle indique en ce sens avoir une obligation légale de conserver les données associées aux comptes de messagerie électronique pendant une durée de 1 an , conformément à l’article L. 34-1 du CPCE. 45. Sur ce point, la formation restreinte considère d’abord que les demandes des plaignants sont claires, en ce qu’il s’agissait pour chacun d’une demande de suppression générale d’un compte de messagerie électronique, adressée à la société par le formulaire dédié mis en œuvre par elle. Cette demande impliquait nécessairement la demande de l’effacement des données personnelles liées à l’utilisation du compte. La société ne peut donc se prévaloir du fait que cette demande de suppression n’aurait pas été claire et traitée en tant que demande d’effacement au sens du RGPD. 46. Ensuite, la formation restreinte considère qu’il ressort de l’article 12.3 du RGPD que le responsable de traitement doit fournir aux demandeurs des informations sur les mesures prises à la suite d’une demande formulée en application de l’article 17 du RGPD dans un délai maximal d'un mois, qui peut être prolongé d’une durée raisonnable dans certains cas. Or, elle relève que ce n’est que le 23 mai 2022 que la société a apporté une réponse aux plaignants, soit environ trois ans après que Messieurs […] et […]ont exercé leurs droits. Ce délai de réponse méconnaît l’article 12.3 du RGPD. 47. Enfin, la formation restreinte considère que si la demande d’effacement d’un compte de messagerie électronique n’implique pas nécessairement la suppression de l’ensemble des données relatives à ce compte (certaines données pouvant être conservées avec un statut d’archive intermédiaire), un manquement à l’article 17, paragraphe 1, a), du RGPD est en tout état de cause caractérisé en l’espèce dès lors que le statut du compte était actif et que la messagerie électronique était encore accessible aux personnes concernées plusieurs années après avoir effectué leurs demandes. 48. La formation restreinte considère qu’un manquement aux obligations qui découlent des articles 12 et 17 du RGPD est constitué dès lors qu’il incombait à la société de traiter la demande d’effacement des données à caractère personnel des plaignants dans les délais impartis. 49. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 17 du RGPD. C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel 50. Aux termes de l’article 32, paragraphe 1, du RGPD : Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : a) […] ; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; c) […] ; d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. 1. Sur les mots de passe d’accès aux comptes clients 51. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 32 du RGPD, se fonde d’abord sur le fait que le mot de passe généré aléatoirement par la société lors de la création d’un compte utilisateur sur le site web de la société, lors d’une procédure de récupération ou lors d’un renouvellement du mot de passe, est d’une longueur de huit caractères et peut comporter uniquement un même type de caractères. Ensuite, le rapporteur relève que l’ensemble des mots de passe générés lors de la création d’un compte utilisateur sur le site web de la société était stocké en clair dans la base de données des abonnés de la société jusqu’au 23 janvier 2020. Enfin, le rapporteur relève que la délégation a été informée que le mot de passe qui est généré lors de la création d’un compte utilisateur sur le site web de la société est transmis par courrier électronique ou postal à l’utilisateur et indiqué en clair dans le corps du message. De même, le rapporteur relève qu’il ressort de trois saisines émanant de Messieurs […] (plainte n° 19018181), […] (plainte n° 18023964) et […] (plainte n° 19013170) que le mot de passe qui est associé au compte de messagerie électronique […].fr est transmis par courrier électronique ou postal à l’utilisateur et indiqué en clair dans le corps du message. 52. En défense, la société fait valoir qu’en tant que responsable de traitement, elle est libre de choisir les mesures de sécurité à mettre en place. Elle soutient en ce sens que les recommandations de la CNIL ou de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) citées dans le rapport n’ont aucun caractère impératif. Dès lors, la société considère qu’aucun manquement ne peut être retenu en l’absence d’une violation de données ayant affecté l’accès à l’espace abonné . 53. La société fait ensuite notamment valoir qu’à l’époque des opérations de contrôle, les abonnés étaient incités à modifier leur mot de passe sur leur espace abonné. Elle indique, en outre, que le mot de passe initial qu’elle a attribué présente un niveau de robustesse élevé et que l’espace abonné permet uniquement d’accéder à des informations basiques et non à des informations sensibles. Enfin, la société a annoncé avoir pris plusieurs mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD s’agissant de la sécurité relative aux mots de passe via le renforcement de la robustesse des mots de passe générés ou créés par la société et le renouvellement obligatoire des mots de passe lors d’une procédure de récupération ou dès la première connexion. La société indique également avoir cessé de stocker en clair des mots de passe au sein de la base de données et d’avoir cessé de communiquer des mots de passe en clair (notamment, via l’arrêt de la transmission des mots de passe des nouveaux abonnés en clair par courriel, la création, par les nouveaux abonnés, de leur mot de passe, qui devra être conforme aux préconisations de la CNIL en la matière et la suppression des formulaires au format papier devant être remplis puis adressés par voie postale pour obtenir la suppression d’un compte […] accès gratuit dans lequel la communication du mot de passe en clair était préalablement requise). 54. La formation restreinte considère qu’en l’espèce, la procédure d’authentification ainsi que les modalités de stockage et de transmission des mots de passe mises en œuvre par la société ne sont pas adaptées au regard du risque que ferait peser sur la personne concernée la captation de leur identifiant et de leur mot de passe par un tiers. 55. Il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures. La mise en place d’une politique d’authentification robuste constitue une mesure élémentaire de sécurité qui participe généralement au respect des obligations de l’article 32 du RGPD. Malgré le caractère non impératif de la délibération n° 2017-012 du 19 janvier 2017 ayant pour objet d’apporter des recommandations relatives aux mots de passe, du guide de la CNIL relatif à la sécurité des données à caractère personnel et de la note technique de l’ANSSI relative aux mots de passe cités dans le rapport, ces derniers exposent des précautions élémentaires de sécurité correspondant à l’état de l’art et constituent ainsi un éclairage pertinent pour apprécier la suffisance des mesures mises en place par un responsable de traitement. 56. En l’espèce, s’agissant de la procédure d’authentification, la formation restreinte considère que l’utilisation d’un mot de passe court ou simple sans imposer de catégories spécifiques de caractères et sans mesure de sécurité complémentaire, peut conduire à des attaques par des tiers non autorisés telles que des attaques par force brute ou par dictionnaire , qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent. Les mesures de blocage ont pour objectif de limiter ces types d’attaques. 57. La formation restreinte relève que la Commission recommande dans sa délibération n° 2017-012 du 19 janvier 2017 – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – que, pour satisfaire aux exigences de robustesse des mots de passe et assurer un niveau de sécurité suffisant, lorsque l’authentification repose, comme en l’espèce, sur un identifiant et un mot de passe, sans mise en place d’une mesure de sécurité complémentaire, le mot de passe doit comporter au minimum douze caractères et contenir au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial. Lorsque le mot de passe comporte huit caractères, contenant trois des quatre catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux), il doit s’accompagner d’une mesure de sécurité complémentaire afin d’assurer un niveau de sécurité et de confidentialité suffisant. 58. La formation restreinte relève que la nécessité d’un mot de passe fort est également soulignée par l’ANSSI, qui précise qu’ un bon mot de passe est avant tout un mot de passe fort, c’est à dire difficile à retrouver même à l’aide d’outils automatisés. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules . 59. Par conséquent, en l’espèce, la formation restreinte considère qu’eu égard au volume et à la nature des données à caractère personnel pouvant être contenues dans les millions de comptes d’abonnés (notamment les nom, prénom, numéro de ligne fixe, numéro de téléphone mobile, adresse électronique et factures), l’imposition par cette dernière de mots de passe de connexion aux comptes des clients, composés uniquement de huit caractères, pouvant être d’une seule catégorie de caractères, sans mesure de sécurité complémentaire, ainsi que l’acceptation de leur renouvellement selon ces mêmes modalités, ne permet pas d’assurer la sécurité des données à caractère personnel traitées par la société ni d’empêcher que des tiers non autorisés aient accès aux données à caractère personnel des clients. 60. S’agissant de la procédure de stockage en clair des mots de passe, la formation restreinte constate que toute personne ayant accès à la base de données des clients de la société […] – qu’il s’agisse des administrateurs des systèmes d’information au sein de la société ou d’un attaquant en cas de compromission de celle-ci – pouvait directement collecter les identifiants et mots de passe en clair de chacun des abonnés et ainsi accéder aux informations contenues dans leurs comptes, puis éventuellement les modifier, tenter d’accéder à d’autres comptes de services au moyen de ces identifiants (les mêmes identifiants et mots de passe étant souvent utilisés sur plusieurs services) ou, encore, revendre ces derniers à d’autres attaquants. 61. S’agissant de la transmission du mot de passe en clair, le fait que ces éléments soient transmis en clair via un simple courrier électronique ou postal, les rend aisément et immédiatement utilisables par un tiers qui les intercepterait ou aurait un accès indu à la messagerie électronique de l’utilisateur, dès lors que ces mots de passe n’ont pas une durée limitée ou que leur modification n’est pas exigée lors de la première utilisation. Ce tiers pourrait alors, non seulement accéder à toutes les données à caractère personnel présentes dans le compte utilisateur […] de la personne concernée (nom, prénom, numéro de téléphone […], adresse postale et adresse électronique) mais également télécharger ses factures et le relevé de ses consommations, procéder à la modification du mot de passe, de l’adresse de messagerie électronique ou encore des options du compte. Compte tenu de ces conséquences potentielles pour la protection des données à caractère personnel et de la vie privée des personnes, la formation restreinte considère que les mesures déployées pour garantir la sécurité des données en l’espèce sont insuffisantes. 62. La formation restreinte retient que des manquements aux obligations qui découlent de l’article 32 du RGPD sont ainsi constitués en raison de l’insuffisante robustesse des mots de passe ainsi que de leur stockage et transmission en clair aux abonnés de la société. 63. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD. 2. Sur le reconditionnement des boîtiers […] 64. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 32 du RGPD, se fonde sur le fait que 4 137 boîtiers ont été remis en circulation sans que leur reconditionnement soit parfait , en raison notamment d’une erreur ayant conduit à la suppression d’une procédure (également appelée séquence de test ) destinée à effacer les données stockées sur les disques durs de ces boîtiers […] . 65. En défense, la société fait valoir que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyen, qui lui impose uniquement de mettre en œuvre des mesures de sécurité adaptées aux risques du traitement qu’elle effectue. Elle estime qu’en l’espèce, les mesures mises en œuvre étaient suffisantes, compte tenu du fait que cet incident résulte de deux erreurs humaines successives, qu’il existe un risque anecdotique que les […] soient détournées pour y stocker des données sensibles et que la circonstance qu’un seul abonné ait signalé ces faits conduit à ce qu’un seul accès effectif à la vie privée d’un ancien abonné se soit réalisé , ce qui reflète la probabilité limitée que ce risque se matérialise en pratique . La société considère en outre que la gravité de cet incident doit être nuancée compte tenu de la nature des données usuellement stockées sur les […] – qui se limitent principalement à l’enregistrement des programmes TV et marginalement au stockage de photos ou vidéos personnelles. Enfin, la société rappelle qu’à l’issue de la campagne visant à rappeler les boîtiers concernés, elle a adressé une […] de remplacement aux 322 abonnés n’ayant pas restitué leur […] et qu’en tout état de cause, celles-ci ont été désactivées en juillet 2022. 66. La formation restreinte considère tout d’abord que les mesures techniques et organisationnelles mises en œuvre n’étaient pas suffisantes au regard du risque de violation de données en l’espèce puisqu’aucun processus de levée d’alerte n’a été mis en œuvre pour contrôler la réalisation effective des séquences de tests incluant l’effacement des données. Cette défaillance a rendu possible l’accès, par des tiers non autorisés, en l’occurrence les nouveaux détenteurs des 4 137 boîtiers […] mal reconfigurés, aux données d’anciens abonnés qui auraient été stockées sur les disques durs de ces boîtiers. Ces données pouvaient être des photos, des vidéos personnelles ou l’enregistrement des programmes de télévision par l’utilisateur. La formation restreinte rappelle également que ce n’est pas la violation de données qui est en cause, mais l’insuffisance de mesures de sécurité qui a rendu possible la survenance d’une telle violation. 67. Ensuite, sur la probabilité limitée de réalisation du risque du fait de la réception d’un seul signalement par la société, la formation restreinte note que ce signalement est révélateur de l’insuffisance de mesures techniques et organisationnelles mises en œuvre, ce dernier ayant conduit à la découverte de l’incident. 68. En outre, sur la nature des données stockées dans les boîtiers […], la formation restreinte prend acte de ce que l’usage courant et principal des […] est l’enregistrement par l’utilisateur des programmes de télévision, mais considère que cet usage courant ne permet pas d’écarter la possibilité que certains des boîtiers […] mal reconditionnés contiennent des photos ou des vidéos personnelles, qui ont un caractère hautement personnel. 69. Enfin, la formation restreinte considère que le fait qu’une […] de remplacement ait été adressée aux 322 abonnés n’ayant pas restitué leurs anciens boîtiers ne permet pas d’écarter le risque que des ces derniers aient eu accès aux données d’anciens abonnés. En effet, à la date du 31 mars 2022 – soit plus de trois ans après le signalement de l’incident - la société indiquait que ce risque n’était toujours pas écarté puisque 322 [boîtiers] sont toujours utilisés par les abonnés sans que nous [la société] sachions si les données enregistrées sont celles de l’abonné antérieur ou de l’abonné qui l’utilise . En outre, seule la désactivation des 322 […] non restitués a permis d’écarter ce risque ; or cette désactivation a eu lieu en juillet 2022, soit plus de trois ans après le signalement de l’incident. 70. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 32 du RGPD est constitué en raison de l’insuffisance des mesures techniques et organisationnelles du processus de reconditionnement des boîtiers […] pour assurer la sécurité des données à caractère personnel des abonnés de la société. 71. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 32 du RGPD. D. Sur le manquement à l’obligation de documenter toute violation de données à caractère personnel 72. Aux termes de l’article 33, paragraphe 5, du RGPD : Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article. 73. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 33 du RGPD, fait valoir que la violation de données n’a pas été documentée conformément aux dispositions de l’article précité. 74. En défense, la société fait valoir que l’article 33 du RGPD n’impose pas de formalisme et que la documentation d’un incident de sécurité n’a pas obligatoirement à figurer dans un registre de violation de données. Elle considère que la documentation fournie à la suite du contrôle est conforme aux conditions de l’article précité et qu’elle n’est pas tenue d’y spécifier le résultat des mesures prises à savoir, comme le demande le rapporteur, le nombre de […] récupérées par […] après l’incident et la date de leur récupération . 75. La formation restreinte relève qu’à l’issue des deux jours de contrôle sur place, la société n’avait pas documenté la violation de données constituée par la remise en circulation de 4 137 boîtiers mal reconditionnés au sein d’un registre de violation de données. La documentation communiquée ultérieurement en réponse aux demandes de la délégation de contrôle ne permettait pas de savoir si l’ensemble des boîtiers […] dont le reconditionnement n’avait pas été effectif avaient été rapatriés et, le cas échéant, à quelle date. Or, la formation restreinte relève qu’il ressort du principe de responsabilité posé par le RGPD que le responsable de traitement doit suffisamment documenter ses pratiques pour être en mesure de démontrer sa conformité. En l’espèce, la formation restreinte considère que les éléments précités - à savoir si l’ensemble des boîtiers […] dont le reconditionnement n’avait pas été effectif avaient été rapatriés et, le cas échéant, à quelle date - font partie des informations devant être communiquées pour connaître les éléments factuels permettant d’apprécier l’effectivité de la mesure prise dans le traitement de la violation. 76. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 33 du RGPD est constitué dès lors que la documentation établie à l’issue des deux jours de contrôle sur place et ultérieurement en réponse aux demandes de la délégation de la CNIL, ne permettait pas de prendre connaissance de l’ensemble des mesures prises pour remédier à la violation de données à caractère personnel et de ses effets. 77. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 33 du RGPD. III. Sur les mesures correctrices et leur publicité 78. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. 79. Aux termes de l’article 83 du RGPD : 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende. 80. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas nécessaire et ne serait pas proportionnée au regard des faits qui lui sont reprochés. 81. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation. 82. La formation restreinte considère d’abord que la société a fait preuve d’une négligence certaine s’agissant de principes fondamentaux du RGPD puisque plusieurs manquements sont constitués, portant notamment sur les droits des personnes et la sécurité. La formation restreinte ajoute que trois manquements ont donné lieu à des plaintes. 83. La formation restreinte relève ensuite que la société est un acteur particulièrement important du secteur des fournisseurs d’accès à Internet puisqu’elle dénombrait, en 2021, environ 6,9 millions d’abonnés, ce qui la classait parmi les principaux fournisseurs d’accès à Internet en France. Elle dispose donc de ressources importantes lui permettant de traiter les questions de protection des données personnelles. 84. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 12, 15, 17, 32 et 33 du RGPD. 85. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. En l’espèce, la formation restreinte considère que la société a méconnu ses obligations résultant des articles 12, 15, 17, 32 et 33 du RGPD, portant notamment sur les droits des personnes et sur des mesures élémentaires en lien avec la sécurité des données à caractère personnel. La formation restreinte ajoute que plusieurs manquements ont donné lieu à des plaintes, même si elle observe que les plaintes révélant l’existence de manquements apparaissent peu nombreuses – en effet, leur nombre, de dix, doit être rapporté au nombre d’abonnés s’élevant à environ 6,9 millions –de sorte que ces manquements ne peuvent être regardés comme ayant un caractère systémique. 86. La formation restreinte rappelle également que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2020 pour un résultat net s’élevant à environ […] euros. 87. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative de 300 000 (trois cent mille) euros apparaît justifié. 88. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du CPCE et des articles 7-1, 15, 17, 32 et 33 du RGPD a été proposée par le rapporteur lors de la notification du rapport. 89. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonction du rapporteur. 90. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité de ses traitements avec les dispositions des articles 17, 32 et 33 du RGPD. La formation restreinte considère cependant que la société n’a pas fourni, à la date de la clôture de l’instruction, d’éléments lui permettant d’attester d’une mise en conformité de ses traitements avec les dispositions de l’article 15 du RGPD, dans la mesure où elle entend fournir uniquement des informations relatives à l’identité de la source primaire de la collecte des données de la personne concernée (c’est-à-dire le premier acteur de la chaîne à avoir collecté les données à caractère personnel de la personne concernée). En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une injonction sur ce point. 91. En dernier lieu, s’agissant de la publicité de la décision de sanction, la société soutient qu’une telle mesure ne serait ni nécessaire ni proportionnée au regard des manquements allégués qu’elle réfute et de sa mise en conformité. 92. La formation restreinte considère que la publicité de la sanction se justifie au regard de la pluralité des manquements commis et de la nécessité de porter à la connaissance des personnes, et notamment des clients concernés, les défaillances liées aux traitements de données à caractère personnel mis en œuvre par la société. Elle estime par ailleurs que cette mesure permettra d’informer les personnes concernées de l’existence passée des manquements sanctionnés, dans la mesure notamment où ces faits ont fait l’objet de plusieurs plaintes. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la société […] une amende administrative d’un montant de 300 000 (trois cent mille) euros pour les manquements aux articles 12, 15, 17, 32 et 33 du RGPD ; • prononcer à l’encontre de la société […] une injonction d’apporter une réponse exhaustive aux demandes de Messieurs […] (plainte n° 19014037), […] (plainte n° 19015831), […] (plainte n° 19016618) et […] (plainte n° 19005208) qui précise l’identité du courtier en données à partir duquel elle a obtenu les données des personnes concernées ; • assortir l’injonction d’une astreinte de 500 (cinq cent) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.


Délibération de la formation restreinte n°SAN-2023-004 du 20 mars 2023 relative à l’injonction prononcée à l’encontre de la société X par la délibération
n° SAN-2022-022 du 30 novembre 2022

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2022-022 du 30 novembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ; Vu les éléments transmis par la société […] le 15 décembre 2022 ; Après en avoir délibéré lors de la séance du 16 mars 2023, a adopté la décision suivante : FAITS ET PROCÉDURE La société […] (ci-après la société ) est une filiale du groupe […] qui est un opérateur de télécommunication fixe. Entre le mois d’octobre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de plaintes à l’encontre de la société. Les plaignants faisaient notamment état de difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’effacement. Par décision du 30 novembre 2022, notifiée le 7 décembre 2022, la formation restreinte a, entre autres dispositions, prononcé à l’égard de la société une injonction d’apporter une réponse aux plaignants, assortie d’une astreinte de cinq cent euros (500) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération de la formation restreinte. L’injonction était précisément formulée en ces termes : prononcer à l’encontre de la société […] une injonction d’apporter une réponse exhaustive aux demandes de Messieurs […] (plainte n° 19014037), […] (plainte n° 19015831), […] (plainte n° 19016618) et […] (plainte n° 19005208) qui précise l’identité du courtier en données à partir duquel elle a obtenu les données des personnes concernées. Le 15 décembre 2022, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction. MOTIFS DE LA DECISION La formation restreinte relève qu’il ressort de la réponse de la société que, pour les demandes de Messieurs […] et […], l’identité du courtier qui lui avait fourni les données a été communiquée aux plaignants en réponse à leurs demandes. S’agissant des demandes de Messieurs […] et […], la société […] leur a indiqué ne plus disposer de l’identité du courtier auprès duquel elle avait acquis les données les concernant, faute d’avoir conservé les fichiers de livraison des données en question. La société a ainsi précisé aux plaignants que leurs données avaient été transmises par un courtier en données, une société dont l’activité est de collecter des données à caractère personnel à partir de différentes sources avant de les revendre à des clients, comme […]. , sans mentionner l’identité du courtier concerné. Bien que la formation restreinte estime que la seule communication aux plaignants d’une information générale sur le type d’entité ayant fourni les données ne constitue pas une réponse satisfaisante à leur demande de droit d’accès, elle constate que la destruction des fichiers de livraison relatifs aux données à caractère personnel des plaignants rend matériellement impossible la fourniture de l’identité des courtiers, ce dont elle prend acte. Elle relève que la société n’avait pas fait part de cette impossibilité matérielle au cours de la procédure de sanction. Il résulte de ce qui précède que la société justifie ne plus être en mesure de se conformer totalement à l’injonction. En conséquence, il n’y a pas lieu à liquidation de l’astreinte. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : de dire n’y avoir lieu à liquidation de l’astreinte ; de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-022 du 30 novembre 2022. Le président Alexandre LINDEN


Délibération de la formation restreinte n°SAN-2024-001 du 8 janvier 2024 relative à l’injonction prononcée à l’encontre de [...] par la délibération no SAN-2021-016 du 24 septembre 2021

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de MM. Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, Mmes Christine MAUGÜÉ et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2021-016 du 24 septembre 2021 adoptée par la formation restreinte à l’encontre […]; Vu les éléments transmis par […]le 18 février 2022 ; Vu le courrier du 8 février 2023, par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure aux fins d’instruction de ces éléments ; Vu la demande complémentaire de Mme Sophie LAMBREMON, commissaire rapporteure, notifiée […] le 4 avril 2023 ; Vu le courrier du 16 juin 2023, en réponse à la demande complémentaire, transmis par […] ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 30 novembre 2023, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La décision no SAN-2021-016 du 24 septembre 2021, notifiée […] le 4 octobre 2021, a enjoint […] de : " s’agissant du manquement relatif à la licéité du traitement :  ne traiter que les informations visées par […] et uniquement dans le cadre prévu par ce texte, et notamment veiller à l’effacement des données à caractère personnel contenues dans la rubrique " informations spéciales " et à la destruction du " fichier manuel ", à l’exception des fiches pouvant être conservées à des fins archivistiques dans l'intérêt public ou à des fins de recherche scientifique ou historique ; s’agissant du manquement relatif à la durée de conservation des données, ne conserver des données sous une forme permettant l'identification des personnes concernées que pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées, par exemple en mettant en œuvre un système automatisé permettant l’effacement des données à l’expiration des durées prévues par […], en veillant en particulier à ce que ces durées de conservations courent à compter de l’établissement de chaque fiche signalétique et effacer les données dont la durée de conservation est atteinte ; s’agissant du manquement relatif à l’exactitude des données, prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition, par exemple en mettant en place une procédure normalisée et généralisée à l’ensemble des juridictions visant à ce que toutes les décisions juridictionnelles définitives soient répercutées dans le […], et notamment :  s’agissant de l’effacement de plein droit, s’assurer que l’ensemble des décisions de relaxe, d’acquittement et de correctionnalisation, même partielles, soient répercutées dans le […] ;  s’agissant de l’effacement de principe, s’assurer que l’ensemble des décisions de non-lieu et de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu soient répercutées dans le […], sans décision expresse contraire du procureur de la République compétent ; s’agissant du manquement relatif à la sécurité des données, mettre en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque :  en imposant par exemple que l’accès au […] nécessite une connexion à l’aide de la carte-agent et d’un code PIN ;  en veillant à ne traiter de données à caractère personnel que dans les conditions sécurisées définies pour la mise en œuvre du fichier central du […] à l’issue des opérations de signalisation, notamment dans les locaux de signalisation, par exemple en donnant des instructions en ce sens aux services en charge de la collecte des données. s’agissant du manquement relatif à l’information des personnes, s’assurer qu’une information conforme aux exigences de l’article 104 de la loi no 78-17 du 6 janvier 1978 est fournie aux personnes concernées ; " 2. Ces injonctions étaient assorties d’un délai de mise en conformité expirant le 31 octobre 2021 et par dérogation le délai de mise en conformité visant le manquement relatif à la durée de conservation des données du seul " fichier manuel " expirerait le 31 décembre 2022. 3. Le 18 février 2022, […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, relatifs à la transmission des décisions de classement sans suite par les magistrats du parquet et l’effacement des données contenues dans le […] (ci-après " le […] "), à la mise en œuvre de mesures proscrivant la conservation des relevés signalétiques et des clichés de signalisation en dehors du […] et préconisant leur suppression ainsi qu’à la modification des mentions d’information. 4. Par courrier du 8 février 2023, le président de la formation restreinte a, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments., 5. Dans ce but, après une analyse notifiée […] le 4 avril 2023, la rapporteure a demandé […] de lui fournir, dans un délai de deux mois, des éléments d’informations complémentaires. 6. Par courrier du 16 juin 2023, […] a apporté les précisions demandées. II. MOTIFS DE LA DECISION 7. Sur la licéité du traitement, la formation restreinte relève d’abord qu’il ressort des éléments fournis par […] que la modification du décret du 8 avril 1987 portant création du FAED et l’analyse d’impact relative à la protection des données correspondantes sont en cours d’instruction et de finalisation. La formation restreinte relève que […] indique que la nouvelle version du décret prévoira expressément la collecte du […]. La formation restreinte relève que la CNIL a été saisie d’une demande d’avis relative à la nouvelle version du décret et considère que la régularisation du traitement est en cours. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par […] que l’effacement de l’ensemble des fiches de signalisation papier était réalisé au 24 avril 2023. La formation restreinte considère que les mesures énoncées permettent de considérer que […] s’est conformé à l’injonction sur ce point. 8. Sur la durée de conservation des données, la formation restreinte relève que […] indique avoir mis en place un apurement semi-automatisé hebdomadaire des données dont la date de conservation est dépassée et que ce délai court désormais à compter de l’établissement de chaque fiche de signalisation. La formation restreinte relève également qu’il ressort des éléments fournis par […] que l’ensemble des signalisations dont la date d’expiration est dépassée seront supprimées à partir de la fin du troisième trimestre 2023. Elle considère que ces mesures permettent de considérer que les données à caractère personnel sont conservées uniquement pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées. 9. Sur l’exactitude des données traitées, la formation restreinte relève qu’il ressort des éléments fournis par […] qu’un nouveau modèle de " fiche navette " a été mis en place depuis une dépêche n° […] permettant […] d’être correctement informé des décisions prises par les autorités judiciaires afin de les répercuter dans le […] et que la création d’un réseau de référents dédiés dans les parquets est prévue. Elle considère que ces mesures permettent de garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour, soient effacées ou rectifiées sans tarder. 10. Sur la sécurité des données traitées, la formation restreinte relève d’abord qu’il ressort des éléments fournis par […] que, depuis octobre 2021, il est imposé que l’accès au […] soit fait au moyen de la carte agent associée à un code PIN […]. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par […] que des instructions ont été communiquées par le service national de police scientifique, préconisant la suppression des clichés de signalisation conservés en format papier ou informatique en dehors du […] ainsi que des relevés signalétiques conservés en dehors du […]. La formation restreinte considère que ces mesures permettent de garantir un niveau de sécurité adapté au risque. 11. Sur l’information des personnes, la formation restreinte relève qu’il ressort des éléments fournis par […] qu’une instruction a été diffusée le 30 mai 2023 par la direction générale de la police nationale à l’ensemble de ses services, comportant une affiche informative à apposer dans tous les lieux accessibles au public et en particulier les lieux privatifs de liberté. La formation restreinte relève que si cette affiche reprend bien les informations figurant à l’article 104 de la loi du 6 janvier 1987 relative à l’informatique, aux fichiers et aux libertés, elle renvoie cependant à la consultation d’une rubrique intitulée " rubrique protection des données ", inexistante sur le site web […]. La formation restreinte relève néanmoins l’existence, sur ce site web, d’une rubrique intitulée " Politique de confidentialité " dont le contenu porte sur la protection des données. La formation restreinte invite donc […] à modifier l’intitulé de la rubrique relative à la protection des données visée par l’affiche informative afin qu’elle corresponde à celui mentionné sur le site internet […]. Sous réserve de cette modification, la formation restreinte considère que […] s’est conformé à l’injonction sur ce point. 12. Au regard de l’ensemble de ces éléments, la formation restreinte considère que […] a satisfait aux injonctions. 13. La présente décision sera rendue publique comme l’avait été la délibération no SAN-2021-016 du 24 septembre 2021. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : - de clore la procédure d’injonction ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément […] à l’expiration d’un délai de trois mois à compter de sa publication. Le président Alexandre LINDEN


Délibération n° 2023-118 du 9 novembre 2023 autorisant l’Agence nationale de santé publique à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans, intitulée "EVANE". (Demande d’autorisation n° 923174)

La Commission nationale de l'informatique et des libertés, Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ; Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023 ; Vu le dossier et ses compléments ; Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : Sur le responsable de traitement Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP). Sur les sous-traitants La société IPSOS interviendra dans la mise en œuvre de cette étude en tant que sous-traitant. Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD. Sur les catégories de personnes concernées par l’étude Sous réserve de l’exercice du droit d’opposition, seront incluses dans la présente étude les personnes allocataires des caisses d’allocations familiales, ayant au moins un enfant de moins de deux ans et résidant habituellement en France métropolitaine. Sur la finalité du traitement et son caractère d’intérêt public Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans, intitulée "EVANE". Plus précisément, cette étude est destinée à : décrire et analyser les déterminants du vécu et des pratiques parentales des mères et des pères d’enfants de moins de deux ans en France métropolitaine ; analyser le vécu et les pratiques des parents auprès de populations en situation de vulnérabilité socio-économique. La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi n° 78-17 du 6 janvier 1978 (loi "informatique et libertés"). Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé Le traitement mis en œuvre par l’ANSP est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie. Ce traitement est, à ce titre, licite au regard de l’article 6.1.e) du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé. Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission. Sur les points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et des destinataires des données directement identifiantes. En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004. Réutilisation des données de bases existantes Les données réutilisées dans le cadre de cette étude proviendront de la Caisse nationale d’allocations familiales (CNAF). Le tirage au sort sera réalisé par la CNAF à partir de sa base de données "études, évaluations, statistiques, simulations et recherches". Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par la CNAF à la société IPSOS afin que cette dernière contacte les personnes tirées au sort pour leur proposer de participer à l’étude. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires. À cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes. Cette base de données sera chiffrée et envoyée par la CNAF au responsable de traitement, qui transmettra les données chiffrées à la société IPSOS. Seule la société IPSOS sera destinataire de la clé permettant de déchiffrer les données, qu’elle recevra directement de la CNAF. Sur les catégories particulières de données traitées S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des nom, prénoms, ainsi que des coordonnées (postales, électroniques et téléphoniques) des personnes est nécessaire pour : réaliser l’information des participants ; assurer le suivi des participants au cours de l’étude ; calculer les "Îlots Regroupés pour l'Information Statistique" (IRIS). Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant. S’agissant des autres données collectées : La collecte de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Sur l’information et les droits des personnes S’agissant des modalités d’information : S’agissant des personnes susceptibles d’être tirées au sort : En application de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche : sur le site web du responsable de traitement de l’étude et ses réseaux sociaux ; sur le site web de la CNAF et ses réseaux sociaux ; par un dépliant et une affiche numérique à destination des pédiatres et des services départementaux de protection maternelle et infantile. Ces modalités d’information seront mises en œuvre avant la constitution des bases de données par la CNAF permettant la réalisation du tirage au sort. S’agissant des personnes tirées au sort : Elles recevront une note d’information individuelle par voie postale. S’agissant des participants mineurs : Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés", en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD. En outre, le terme de "données anonymisées" qui est inapproprié, devra être remplacé par les termes de "données codées" ou "pseudonymisées", en précisant que les noms et prénoms des personnes ne seront pas recueillis. Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés". S’agissant des modalités d’exercice des droits : Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection. Pour ce faire, il souhaite traiter les données de l’ensemble des personnes tirées au sort parmi les allocataires de la CNAF. En cas d’exercice du droit d’opposition à des fins de redressement, les données des personnes concernées ne pourront être traitées. Par ailleurs, les personnes ayant refusé de participer à l’étude suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être recontactées, tout comme celles refusant de continuer à participer à l’étude. Ces modalités d’exercice du droit d’opposition devront être clarifiées dans la note d’information collective publiée sur le site web du responsable de traitement ainsi que dans les notes d’information individuelles qui seront adressées aux personnes tirées au sort. Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude. Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la "loi informatique et libertés". Sur les accédants et destinataires Dans le cadre de la mise en œuvre de l’étude : les membres du personnel de l’ANSP auront accès aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ; les employés de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires. Le responsable de traitement a indiqué que les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) des participants acceptant d’être recontactés pour des études ancillaires seront collectées afin de leur proposer de participer à des études ultérieures. Aux fins de confidentialité, ces données devront être conservées uniquement par la société IPSOS. Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants. Sur la sécurité des données et la traçabilité des actions À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’action retenu. La Commission prend acte de ce que le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé", pour mener l’étude. Des espaces projets devront être prévus pour toute mise à disposition des données. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces. Si ces conditions ne sont pas réunies, aucune donnée de l’étude ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD). Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papier. Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés. Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Le responsable de traitement devra s’assurer que son prestataire IPSOS mette en œuvre les mesures de sécurité nécessaires pour protéger la base de données nominatives transmises par la CNAF. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Sur la durée de conservation des données S’agissant des personnes refusant de participer à l’étude : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites au moment de leur refus. S’agissant des données des personnes participant à l’étude et refusant d’être de nouveau contactées pour une étude ancillaire : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites dans un délai de six mois après la passation des questionnaires. S’agissant des données des personnes participant à l’étude et acceptant d’être de nouveau contactées pour une étude ancillaire : Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) devront être détruites par la société IPSOS dans un délai de trois ans après la passation des questionnaires. Les autres données de l’étude seront conservées en base active pour une durée de dix ans. À l’issue de ce délai, les données seront supprimées ou versées aux Archives nationales, conformément aux dispositions du code du patrimoine. Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné. La Présidente Marie -Laure DENIS