La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Didier KLING, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2023-063C du 20 mars 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 13 mai 2025 ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, du 16 juin 2025, signifié à la société NEXPUBLICA FRANCE le 17 juin 2025 ;

Vu les observations écrites de la société NEXPUBLICA FRANCE reçues le 29 juillet 2025 ;

Vu la réponse du rapporteur notifiée à la société NEXPUBLICA FRANCE le 29 août 2025 ;

Vu les observations écrites de la société NEXPUBLICA FRANCE reçues le 10 octobre 2025 ;

Vu la clôture de l’instruction notifiée à la société NEXPUBLICA FRANCE le 29 octobre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 27 novembre 2025 ;

Vu les autres pièces du dossier,

Étaient présents, lors de la séance de la formation restreinte :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société NEXPUBLICA FRANCE :

– (…)

La société NEXPUBLICA FRANCE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. La société NEXPUBLICA FRANCE (ci-après,  » la société « ) est une société par actions simplifiée sise au 4-10, rue Mozart à Clichy (92110). En 2024, elle employait environ 1 000 personnes, son chiffre d’affaires était de (…) et son résultat net de (…) d’euros.

2. Depuis le 21 janvier 2025, la société n’est plus une filiale du groupe INETUM. Anciennement  » INETUM SOFTWARE FRANCE « , la société a également changé de dénomination sociale par publication au bulletin officiel des annonces civiles et commerciales du 28 mars 2025, pour devenir  » NEXPUBLICA FRANCE « . Les sociétés INETUM et NEXPUBLICA FRANCE sont désormais des entités juridiques séparées, poursuivant des activités économiques distinctes et n’entretenant pas de lien capitalistique.

3. La société NEXPUBLICA FRANCE poursuit les activités de conseil en systèmes et logiciels informatiques d’INETUM SOWFTWARE FRANCE. Elle développe et commercialise à ce titre un progiciel dénommé  » Public CRM  » (ci-après,  » PCRM « ), qui est un outil de gestion de la relation avec les usagers dans le domaine de l’action sociale. La première version de cet outil de gestion a été mise en production à la MDPH du département du Nord, le 24 décembre 2019.

4. Le groupement d’intérêt public (GIP) Maison Départementale pour les Personnes Handicapées (ci-après,  » MDPH « ) du département du Nord utilise le PCRM pour assurer son rôle de guichet unique d’information auprès des personnes en situation de handicap et de leurs familles, ainsi que l’instruction administrative et médico-sociale de toute demande de compensation du handicap. La MDPH traite par exemple les demandes de cartes de priorité, d’invalidité, de stationnement et d’allocations d’éducation pour les enfants en situation de handicap ; elle apporte un appui pour la scolarisation ou l’insertion professionnelle pour les publics relevant de ses missions ; elle oriente les personnes vers des établissements ou services médico-sociaux, ou encore traite la demande de prestation de compensation du handicap.

5. La société NEXPUBLICA FRANCE édite et héberge ainsi le PCRM qui permet à la MDPH du département du Nord d’assurer le suivi des demandes dont elle a la charge, ainsi qu’aux usagers de suivre l’avancée de leur dossier via la plateforme en ligne  » portail-autonomie-usager.lenord.fr  » du PCRM.

6. La société NEXPUBLICA FRANCE sous-traite l’hébergement ainsi que les habilitations des utilisateurs dans son système d’information à la société (…) qui appartient (…), certifié  » hébergeur de données de santé  » au sens de l’article L. 1111-8 du code de la santé publique.

7. En mai 2023, environ (…) comptes utilisateurs avaient été créés pour la MDPH du département du Nord, depuis la mise en production du progiciel (24 décembre 2019). Le baromètre établi par la Caisse nationale de solidarité pour l’autonomie indique que la MPHD du département du Nord a rendu (…) décisions et avis en 2022 et que, la même année, (…) personnes avaient au moins un droit ouvert auprès de la MDPH.

8. Les 2 et 10 novembre 2022, des usagers du portail de la MDPH ont signalé avoir accès à des documents concernant des tiers. Le 29 novembre 2022, la MDPH du département du Nord a procédé à une notification de violation de données à caractère personnel auprès de la Commission nationale de l’informatique et des libertés (ci-après  » la Commission  » ou la  » CNIL « ). Suite à des investigations permettant de préciser les caractéristiques de la violation, la MDPH a complété sa notification le 6 mars 2023.

9. Ces notifications de violation de données transmises à la CNIL font état de la survenance de deux incidents de sécurité, liés selon la MDPH à des erreurs de paramétrage par la société NEXPUBLICA FRANCE.

10. Le premier incident s’est déroulé du 26 octobre au 8 novembre 2022. La MDPH a indiqué dans sa notification de violation qu’un paramétrage erroné de la part de NEXPUBLICA FRANCE a permis à des usagers d’accéder à des données de tiers, alors qu’ils n’avaient pas droit d’en connaître. Il est indiqué dans la notification de violation que 366 personnes ont ainsi pu accéder aux données de tiers présentes dans PCRM. La société indique que parmi ces 366 personnes, seuls deux usagers ont eu la possibilité technique d’accéder aux données à caractère personnel de tiers via ces paramétrages erronés.

11. Le second incident s’est déroulé du 26 octobre au 14 novembre 2022. D’après la MDPH, cette violation était également due à une erreur de paramétrage de la part de NEXPUBLICA FRANCE et a conduit à des anomalies d’affichage de pages. Certains usagers ont ainsi eu accès, en lecture seule, aux 5 000 premiers enregistrements de la base à travers six pages web différentes du portail. La société a indiqué que neuf personnes se sont connectées au cours de cette période et ont pu avoir accès aux données de 14 170 personnes (un enregistrement pouvant concerner plusieurs personnes).

12. Dans les deux cas, la société a été dans l’incapacité de lister les données concernées par les violations. Elle a cependant pu exclure un accès aux pièces jointes (par exemple les justificatifs d’identité ou certificats médicaux) comprises dans le PCRM.

13. En application de la décision n° 2023-063C du 20 mars 2023 de la Présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle sur place du groupe INETUM afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi du 6 janvier 1978 modifiée  » ou  » la loi Informatique et Libertés « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection des données (ci-après  » le RGPD  » ou  » le Règlement « ).

14. Ce contrôle sur place a donné lieu à un procès-verbal n° 2023-063/1 du 24 mai 2023.

15. Les 14 juin et 6 et 29 septembre 2023, la société a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place.

16. Aux fins d’instruction de ces éléments, la Présidente de la Commission a, le 13 mai 2025, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

17. Le 17 juin 2025, à l’issue de son instruction, le rapporteur a fait signifier à la société un rapport aux termes duquel il estimait que la société avait commis un manquement à l’article 32 du RGPD et proposait à la formation restreinte de prononcer à son encontre une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

18. Le 29 juillet 2025, la société a produit des observations en réponse au rapport.

19. Le 29 août 2025, la réponse du rapporteur a été notifiée à la société.

20. Le 10 octobre 2025, la société a adressé de nouvelles observations en réponse.

21. Par courrier du 29 octobre 2025, le rapporteur a, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés, informé la société que l’instruction était close.

22. Par courrier du 3 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 27 novembre 2025.

23. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le respect du droit à un procès équitable

24. La société NEXPUBLICA FRANCE estime que les conditions dans lesquelles la procédure de sanction à son encontre a été menée contreviennent à l’article 6 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CESDH) et aux articles 41 et 47 de la Charte des droits fondamentaux de l’Union européenne.

25. Elle soutient d’abord que son droit à ne pas participer à sa propre incrimination a été méconnu dans la mesure où elle a été contrainte de produire les rapports d’audits qui fondent en grande partie la caractérisation du manquement. Par ailleurs elle estime que la procédure est entachée d’irrégularités en ce que la CNIL n’a pas procédé elle-même à des constatations afin d’établir la matérialité des vulnérabilités identifiées dans les rapports d’audits précités. Enfin, la société argue qu’elle n’a pas pu présenter une défense adéquate, le périmètre des faits qui lui sont reprochés étant trop imprécis.

26. En premier lieu, la formation restreinte note que les dispositions de l’article 19 de la loi Informatique et Libertés autorisent la délégation de contrôle à  » demander communication de tous documents nécessaires à l’accomplissement de leur mission « . Elle relève également qu’il ressort de la jurisprudence constante de la Cour européenne des droits de l’Homme (CEDH) que le droit de ne pas s’incriminer soi-même ne proscrit pas l’usage, dans une procédure pénale, de données que l’on peut obtenir de l’accusé en recourant à des pouvoirs coercitifs mais qui existent indépendamment de la volonté du suspect, par exemple les documents recueillis en vertu d’un mandat (Saunders c. Royaume-Uni [GC], § 68, O’Halloran et Francis c. Royaume-Uni [GC], § 47).

27. Partant, la formation restreinte estime que les rapports d’audits ont été transmis conformément aux dispositions de l’article 19 de la loi Informatique et Libertés, au même titre que les autres pièces de l’instruction, sans préjuger d’éventuels manquements, et sans que la société contribue donc à sa propre incrimination. En vertu de la jurisprudence de la CEDH ces pièces peuvent être examinées par la formation restreinte statuant sur l’existence ou non d’un manquement et, le cas échéant, sur le bien-fondé du prononcé d’une sanction.

28. En deuxième lieu, la formation restreinte relève que la force probante des documents versés à la procédure ne saurait être remise en cause. En effet, les audits dont il est question ont été soit commandités directement par la société (audit de code automatisé), soit par le responsable de traitement (tests d’intrusion). Ainsi, il s’agit d’évaluations faisant partie intégrante de la documentation interne de la société, sur lesquelles une autorité de contrôle peut s’appuyer afin d’apprécier le respect par la société de ses obligations.

29. En ce sens, la formation restreinte souligne que les audits en question ne constituent pas des jugements de valeur que le rapporteur se serait contenté de reprendre à son compte, mais le résultat d’analyses objectives du système d’information de la société, réalisées suivant une méthodologie précise et documentée. Elle note d’ailleurs que l’objet de ces audits n’était pas de se prononcer sur la conformité ou la non-conformité de la société, cette appréciation appartenant à la formation restreinte sur la base des explications fournies par le rapporteur et la société, qui ont pu librement discuter la valeur probante de ces pièces.

30. La formation restreinte relève plus précisément que l’évaluation et l’analyse de ces pièces ont été menées par le rapporteur, lequel a mis en relation, d’une part, le risque induit par le traitement pour les personnes concernées et, d’autre part, le niveau de sécurité mis en place par la société compte tenu de ce risque. Elle observe que dans ses écritures, le rapporteur ne s’est pas simplement contenté de reprendre le contenu des audits mais qu’il s’est attaché à analyser la nature des vulnérabilités relevées, leur gravité, leur persistance ainsi que leurs risques potentiels pour les données à caractère personnel des personnes concernées. Les rapports ont également été complétés par l’ensemble des pièces transmises, par les constatations directes réalisées par la délégation de contrôle, ainsi que par les déclarations de la société retranscrites dans le procès-verbal n° 2023-063/1 du 24 mai 2023.

31. La société a pu discuter l’ensemble de ces éléments dans le cadre de la présente procédure contradictoire.

32. Partant, la formation restreinte estime que le grief tiré de l’absence de matérialité des faits reprochés doit être écarté.

33. En dernier lieu, la formation restreinte relève qu’il ressort des pièces du dossier que le périmètre du manquement reproché à la société par le rapporteur est établi avec une précision suffisante, ce dernier ayant considéré dans ses écritures qu’au regard de l’état de l’art et des caractéristiques du traitement, le niveau global de sécurité des données à caractère personnel assuré par la société était insuffisant au regard des articles 5, paragraphe 1 alinéa f) et 32 du RGPD.

34. Enfin, la formation restreinte relève que la société a pu présenter ses observations en défense dans ses deux jeux d’écriture, ainsi qu’oralement lors de la séance de formation restreinte du 27 novembre 2025. En outre, à la demande de la société, le président de la formation restreinte lui a accordé un délai de dix jours supplémentaires afin de pouvoir produire un rapport d’expertise à l’appui de ses deuxièmes observations en défense.

35. Partant, la formation estime que le rapport de sanction, complété par la réponse du rapporteur, permettaient à la société NEXPUBLICA FRANCE de comprendre la portée du manquement qui lui était reproché, et que cette dernière a été mise en mesure d’assurer sa défense de manière adéquate.

36. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que le grief tiré de la méconnaissance des droits de la défense doit être écarté.

B. Sur la responsabilité de la société NEXPUBLICA FRANCE vis-à-vis du traitement en cause

37. Aux termes de l’article 4, paragraphe 8 du RGPD, le sous-traitant est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement « .

38. Le rapporteur considère que NEXPUBLICA FRANCE est sous-traitante de la MDPH du département du Nord pour la mise en œuvre du PCRM, et qu’il lui incombe à ce titre d’assurer un niveau de sécurité adéquat de la solution qu’elle propose.

39. Si la société ne conteste pas sa qualité de sous-traitante, elle entend néanmoins limiter la portée de sa responsabilité pour la mise en œuvre du PCRM. D’une part, elle considère n’avoir qu’une autonomie limitée vis-à-vis du responsable de traitement, qui définit le niveau de sécurité attendu pour le PCRM. D’autre part, elle estime que sa responsabilité dans le déploiement du PCRM doit être relativisée. En effet, elle soutient que certaines vulnérabilités relèvent de son prestataire hébergeur (…), et que par ailleurs elle ne peut être tenue pour responsable de composantes relevant de briques technologiques dont elle n’a pas assuré la conception. Enfin, la société s’interroge sur l’engagement de sa seule responsabilité dans le cadre de la présente procédure, alors qu’il ne relève pas de la pratique habituelle de la CNIL de ne sanctionner que le sous-traitant.

40. À titre liminaire, la formation restreinte rappelle que l’opportunité d’engager une procédure de sanction relève de la seule appréciation de la Présidente de la Commission. Cette décision se fonde sur les éléments collectés lors du contrôle.

1) S’agissant de la responsabilité de NEXPUBLICA FRANCE vis-à-vis du responsable de traitement

41. Aux termes de l’article 28, paragraphe 3, a) du RGPD,  » le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique [qui] prévoit, notamment, que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement […] « .

42. L’article 32-1 du RGPD dispose :  » Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] « .

43. Les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées par le CEPD le 7 juillet 2021 indiquent que  » le sous-traitant ne doit traiter les données que selon les instructions du responsable du traitement. Ces instructions peuvent néanmoins lui laisser une certaine marge d’appréciation quant à la manière de servir au mieux les intérêts du responsable du traitement, en permettant au sous-traitant de choisir les moyens techniques et organisationnels les plus appropriés […]  » et que  » le niveau de détail des instructions données par le responsable du traitement au sous-traitant concernant les mesures à mettre en œuvre dépendra des circonstances spécifiques de l’espèce. […] Dans d’autres, il peut décrire les objectifs de sécurité minimaux à atteindre, tout en demandant au sous-traitant de proposer la mise en œuvre de mesures de sécurité spécifiques « .

44. La formation restreinte relève qu’il résulte de l’article 32 du RGPD que le sous-traitant est tenu de s’assurer que le traitement automatisé de données mis en œuvre pour le compte du responsable de traitement est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit et, d’autre part, en tenant compte de l’état des connaissances et du coût des mesures de sécurité nécessaires.

45. Elle considère qu’indépendamment des obligations qui pèsent en propre sur le responsable du traitement, il revient au sous-traitant de proposer et de mettre en œuvre les solutions techniques et organisationnelles adéquates en matière de sécurité des traitements.

46. En l’espèce, compte tenu de son expertise en matière de développement de solutions informatiques et de ses obligations, il revenait à la société NEXPUBLICA FRANCE de rechercher les mesures techniques et organisationnelles de nature à assurer la confidentialité des données à caractère personnel traitées.

47. C’est d’ailleurs ce qu’il ressort du cahier des clauses techniques particulières (CCTP), qui régit la relation de sous-traitance entre la MDPH du département du Nord et la société NEXPUBLICA FRANCE. La société est en charge de l’hébergement, de la maintenance en condition opérationnelle, de l’évolution logicielle et de l’assistance technique pour la solution PCRM. Le CCTP détermine à ce titre un certain nombre d’obligations qui incombent à NEXPUBLICA FRANCE pour assurer le bon fonctionnement du logiciel (par exemple, en déterminant les spécifications fonctionnelles et techniques, en réalisant des tests d’intégration, ou plus généralement en assurant des missions de maintenance éditeur).

48. La formation relève qu’en sa qualité de responsable de traitement, la MDPH conserve un contrôle sur les finalités de mise en œuvre du traitement, par exemple en définissant ses besoins ou encore en validant les devis en lien avec le PCRM. Cependant il ressort du CCTP que la société NEXPUBLICA FRANCE dispose d’une marge de manœuvre importante pour assurer la sécurité du PCRM. Il y est par exemple précisé que NEXPUBLICA FRANCE est tenue  » à une obligation de conseil, de mise en garde et de recommandations en termes de sécurité et de mise à l’état de l’art  » ainsi que de mettre en place  » les mesures nécessaires au respect des traitements déclarés. En particulier, [elle] assure la sécurité des données à caractère personnel qui pourraient lui être confiées par le Département du Nord « .

49. Ainsi la formation restreinte estime que, sans préjudice de la responsabilité propre du responsable de traitement, il incombe à la société NEXPUBLICA FRANCE d’assurer la sécurité des données à caractère personnel traitées dans le PCRM.

2) S’agissant de la responsabilité de NEXPUBLICA FRANCE vis-à-vis de ses sous-traitants ultérieurs

50. Aux termes de l’article 28, paragraphe 4 du RGPD,  » lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement [et] […] lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations.  »

51. D’une part, la formation restreinte rappelle que la société NEXPUBLICA FRANCE sous-traite l’hébergement du PCRM à son sous-traitant ultérieur (…).

52. S’il ressort des dispositions de l’article 28, paragraphe 2 du RGPD, que  » le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique [qui] prévoit, notamment, que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement […] « , la formation restreinte observe qu’il ressort du CCTP que le responsable de traitement a autorisé la société NEXPUBLICA FRANCE à recruter un sous-traitant ultérieur.

53. Il ressort également du contrat de sous-traitance conclu entre (…) et NEXPUBLICA FRANCE que la société (…) assure uniquement un rôle d’hébergement des données, de mise à disposition de machines virtuelles, ainsi que de respect des modalités d’authentification, et que c’est NEXPUBLICA FRANCE qui fournit à (…) les  » instructions et directives nécessaires à l’exécution des prestations « . La société (…) quant-à-elle  » s’engage à ne traiter les données que sur la base et conformément aux instructions documentées du client et du donneur d’ordre [la société INETUM SOFTWARE FRANCE] « .

54. Si dans son avis 22/2024 relatif à certaines obligations découlant du recours à un ou plusieurs sous-traitant(s) ou sous-traitant(s) ultérieur(s), le CEPD précise que la décision finale de recruter un sous-traitant ultérieur et la responsabilité qui en découle, y compris en ce qui concerne la vérification du caractère suffisant des garanties fournies par le sous-traitant ultérieur, incombent au responsable du traitement, la formation restreinte relève que le CEPD indique également que  » le sous-traitant initial devrait veiller à proposer des sous-traitants ultérieurs fournissant des garanties suffisantes. […] Cela est également cohérent avec le fait que, indépendamment des critères suggérés par le responsable du traitement pour sélectionner les sous-traitants supplémentaires, le sous-traitant initial demeure pleinement responsable, devant le responsable du traitement, de l’exécution des obligations des sous-traitants ultérieurs (article 28, paragraphe 4, du RGPD) « .

55. Comme la société l’indique, la responsabilité du sous-traitant devant l’autorité de contrôle n’est pas automatique pour les actes des sous-traitants ultérieurs. Cependant, en l’espèce, la formation restreinte estime que la société NEXPUBLICA FRANCE reste à titre principal responsable du respect des règles en matière de protection des données à caractère personnel par son sous-traitant ultérieur, et ce sans préjudice de la responsabilité propre de la MDPH du département du Nord. La formation restreinte note également qu’il ressort des pièces de l’instruction que NEXPUBLICA FRANCE avait, en tout état de cause, connaissance d’éventuelles failles de sécurité résultant des mesures – ou de l’absence de mesure – mises en œuvre par la société (…).

56. D’autre part, la formation restreinte relève que si la société n’a pas développé l’application PCRM dans son intégralité et qu’elle a notamment intégré une brique technologique (…) développée par la société (…), ce choix ne résulte pas d’une demande expresse du responsable de traitement. En effet, il ressort des pièces du dossier que si la MDPH du département du Nord prescrit le recours à certains logiciels spécifiques dans le CCTP, tel n’est pas le cas de la brique logicielle développée par la société (…).

57. La formation restreinte relève ainsi que le recours à (…) relève d’un choix technique de la société NEXPUBLICA FRANCE et qu’à ce titre, il lui appartient de s’assurer que cette brique logicielle est exempte de vulnérabilités, au regard des finalités, des moyens et des risques pour le traitement en cause.

58. Compte-tenu des éléments susmentionnés, la société NEXPUBLICA FRANCE ne saurait en l’espèce limiter sa responsabilité propre vis-à-vis d’acteurs tiers.

C. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel traitées

59. L’article 32-1 du RGPD dispose :  » Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] « .

60. L’article 32-2 du RGPD prévoit :  » Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite « .

61. Le rapporteur estime que le niveau de sécurité assuré par un responsable de traitement ou un sous-traitant doit s’apprécier au regard du risque lié à la divulgation et à l’accès non autorisé aux données contenues dans le PCRM. En l’espèce, il souligne que le traitement comporte de nombreuses données à caractère personnel, dont des catégories particulières au sens de l’article 9, paragraphe 1 du RGPD. Il considère que la société a commis un manquement à l’article 32 du RGPD en n’assurant pas un niveau de sécurité des données traitées suffisamment élevé pour le PCRM, dans le cadre de ses activités de sous-traitance pour le compte de la MDPH du département du Nord.

[… passage central omis : décision trop longue pour une cellule …]

95. En conclusion, la formation restreinte considère que l’absence de lignes de défense coordonnées, la multiplicité des vulnérabilités pourtant connues et leur absence de correction rapide démontrent que les mesures mises en place par la société NEXPUBLICA FRANCE n’étaient pas suffisantes afin d’assurer la sécurité des données traitées dans le PCRM.

96. La formation restreinte considère que l’expertise transmise par la société à l’appui de ses deuxièmes observations en défense ne remet pas en cause cette conclusion sur le niveau de sécurité insuffisant du PCRM. La formation restreinte relève que l’analyse détaille les étapes de développement d’un logiciel, et qu’elle explique qu’un logiciel est par nature  » un produit vivant et évolutif, susceptible de comporter des anomalies, qu’il convient de corriger dans le cadre de la maintenance « . Elle conclut que ce sont de telles anomalies, lors d’une mise à jour du PCRM, qui ont conduit aux violations de données, et non pas une faiblesse de construction de cette version du logiciel.

97. La formation restreinte ne remet pas en cause le fait que le PCRM a suivi ces différentes étapes de mise en production, ni le fait que le cycle de vie d’un logiciel puisse nécessiter des correctifs et, en tout état de cause, une maintenance continue. Cependant, si l’expertise s’attache à démontrer que les incidents de sécurité étaient liés à des erreurs ponctuelles lors d’une montée de version du logiciel, la formation restreinte rappelle que ce ne sont pas les violations de données qui caractérisent le manquement, mais la faiblesse généralisée des mesures de sécurité du PCRM. L’expertise transmise n’aborde pas les vulnérabilités relevées par le rapporteur.

98. Or c’est bien le caractère évident des failles relevées, portant sur des vulnérabilités pourtant documentées par la doctrine et de l’état de l’art, ainsi que leur persistance, qui démontrent que la société NEXPUBLICA FRANCE n’a pas respecté son obligation de moyens d’assurer la sécurité des données traitées, et qui caractérisent le manquement à l’article 32 du RGPD. La formation restreinte estime qu’il ressort de l’instruction que la société NEXPUBLICA FRANCE a laissé perdurer des problèmes structurels dans son PCRM, conduisant à un niveau global de sécurité faible et à l’absence de mise en œuvre d’un système de  » défense en profondeur « .

99. La formation restreinte ajoute que la spécialisation de la société dans le conseil en systèmes et logiciels informatiques rend inopérants ses arguments selon lesquels le PCRM était en phase initiale de mise en production et qu’elle avait donc des connaissances nécessairement limitées pour garantir la conformité du logiciel. En effet, si la mise en production d’un logiciel peut s’accompagner de dysfonctionnements et implique des correctifs et mises à jour régulièrs – ce qui relève d’ailleurs de bonnes pratiques – une société spécialisée en développement de solutions informatiques ne saurait invoquer son manque de connaissances lorsqu’un de ses produits révèle des vulnérabilités flagrantes qu’elle a laissé perdurer plusieurs mois.

100. La formation restreinte relève que la société a apporté des correctifs à la suite des violations de données. Cependant elle rappelle que ce n’est pas l’absence de réactio