En clair
Ce que décide cette délibération, en clair
La CNIL a contrôlé une application mobile liée à la gestion de l'épidémie de covid-19, qui collecte des données de contact entre utilisateurs. Elle a constaté que l'application respectait globalement les règles de protection des données, mais a relevé plusieurs manquements au RGPD et à la loi Informatique et Libertés. La Présidente de la CNIL a donc adopté une mise en demeure (décision obligeant un organisme à corriger des manquements sous un délai donné, sans être une sanction immédiate) demandant à l'organisme responsable de corriger ces problèmes sous un délai d'un (1) mois. Le bureau de la CNIL a aussi décidé de rendre cette mise en demeure publique, notamment parce que l'application traite des données de santé sensibles et concernait environ 1,9 million de téléchargements.
À retenir
- L'organisme devait cesser de faire remonter l'intégralité de l'historique de contacts de chaque utilisateur vers le serveur central, et privilégier une version plus protectrice de l'application.
- Il devait compléter l'information donnée aux utilisateurs sur les destinataires des données et sur les opérations de lecture effectuées via la technologie reCaptcha de Google, ainsi que sur leur droit de refuser ces lectures.
- Le contrat avec le sous-traitant (INRIA) devait être complété pour respecter les mentions obligatoires de l'article 28 du RGPD, et l'analyse d'impact sur la vie privée devait elle aussi être complétée.
- Ce n'est pas une sanction : si l'organisme corrige tout dans le délai d'un mois, la procédure s'arrête là ; sinon, une sanction pourra suivre. La décision ne permettra plus d'identifier l'organisme après un délai de deux ans.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 16 juillet 2020 sous la présidence de Mme Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Mme Sophie LAMBREMON, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] ;
Vu l’arrêté du 30 mai 2020 définissant les critères de distance et de durée du contact au regard du risque de contamination par le virus du covid-19 pour le fonctionnement du traitement de données dénommé […] ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n° 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée […] ;
Vu la délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée […] ;
Vu la décision n° MED-2020-015 du 15 juillet 2020 de la Présidente de la Commission mettant en demeure X ;
A adopté la délibération suivante :
La CNIL a procédé à des contrôles les 9, 25 et 26 juin 2020 sur le traitement de données à caractère personnel dans le cadre de l’application […] , qui ont permis de constater que le fonctionnement de l’application […] respecte pour l’essentiel les dispositions applicables relatives à la protection des données à caractère personnel. La plupart des préconisations formulées par la Commission dans ses avis des 24 avril et 25 mai 2020 ont été pris en compte par X. La délégation a toutefois constaté certains manquements aux dispositions du RGPD et de la loi Informatique et Libertés .
Par décision du 15 juillet 2020, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure X, sis […] à PARIS, de faire cesser sous un délai d’un (1) mois les manquements constatés aux dispositions du règlement (UE) 2016/679 (ci-après le Règlement ou le RGPD ) et de la loi n° 78-17du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ).
Aux termes de la mise en demeure, il est demandé au X de cesser de faire remonter l’intégralité des données de l’historique de contacts de l’utilisateur au serveur central, par exemple en forçant la mise à jour de l’application […] vers la nouvelle version v1.1.* par le blocage de l’application dans sa version v1.0.*
Il est également enjoint au X de compléter l’information fournie aux utilisateurs de l’application […] sur les destinataires ou catégories de destinataires des données à caractère personnel issues de l’application ainsi que sur les opérations de lecture des informations présentes sur les équipements terminaux, effectuées dans le cadre de la technologie reCaptcha de GOOGLE présente dans la version de lancement de l’application, et de leur droit de refuser ces opérations de lecture. X est enfin mis en demeure de veiller à ce que le contrat de sous-traitance conclu avec INRIA contienne les mentions prévues à l’article 28 du Règlement et, enfin, de compléter l’analyse d’impact relative au traitement des données issues de l’application […] .
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 16 juillet 2020.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison des questions inédites en termes de protection de la vie privée et des données personnelles que pose l’application […] et de l’intérêt qu’elles présentent pour le public.
Le bureau rappelle à cet égard que la lutte contre l’épidémie de covid-19, qui relève d’un objectif à valeur constitutionnelle de protection de la santé, constitue un impératif majeur de nature à justifier, dans certaines conditions, des atteintes au droit à la protection de la vie privée et des données à caractère personnel. Le bureau considère néanmoins que, en raison de leur caractère particulièrement sensible en ce qu’elles portent sur l’état de santé des utilisateurs, les données à caractère personnel issues de l’application […] ne doivent être collectées et conservées que dans les limites de ce qui est strictement nécessaire à la gestion de la crise sanitaire actuelle.
Le bureau souligne que la publicité de la décision de mise en demeure se justifie également en raison de la qualité de personne publique du responsable de traitement et de la mission d’intérêt public dans le cadre de laquelle s’inscrit le traitement de données à caractère personnel […] .
Le bureau note en outre que la Commission a émis deux avis, qui ont été rendus publics, portant sur les modalités et les conditions de mise en œuvre de l’application. Dès lors, le bureau considère que la publicité de la mise en demeure participe à l’objectif de transparence sur le contrôle mené par la CNIL sur les conditions et modalités de fonctionnement de l’application […] .
Enfin, le bureau relève qu’à la fin du mois de juin 2020, l’application […] avait été téléchargée par environ 1,9 million d’utilisateurs et avait été activée environ 1,5 million de fois. Aussi, compte-tenu du nombre de personnes concernées, le bureau considère que la publicité de la mise en demeure permettra de sensibiliser un grand nombre de personnes sur l’importance de procéder à la mise à jour de l’application vers sa version v1.1*, qui est davantage protectrice des données à caractère personnel.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°MED-2020-015 de la Présidente de la CNIL mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si X se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément X à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS