Délibération n°2013-420 de la formation restreinte prononçant une sanction pécuniaire à l’encontre de la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n°2013-025 du 13 juin 2013 de la Présidente de la Commission nationale de l’informatique et des libertés mettant en demeure la société X ;

Vu la délibération du bureau de la Commission nationale de l’informatique et des libertés n°2013-174 du 13 juin 2013 décidant de rendre publique la décision n°2013-025 du 13 juin 2013 de la Présidente de la Commission nationale de l’informatique et des libertés mettant en demeure la société X ;

Vu la décision de la Présidente du 1er octobre 2013 désignant M. Jean MASSOT, Commissaire, membre de la CNIL, en qualité de rapporteur ;

Vu le rapport de M. Jean MASSOT, commissaire rapporteur, notifié à la société X par courrier recommandé avec accusé de réception en date du 11 octobre 2013 ;

Vu les observations en réponse de cette dernière, en date du 13 décembre 2013 ;

Vu la décision de la Présidente de la formation restreinte de restreindre la publicité de l’audience conformément à la demande de la société, notifiée par courrier adressé aux conseils de celle-ci le 29 octobre 2013 ;

Vu la décision du Secrétaire général de la Commission en date du 11 décembre 2013 désignant les agents de la Commission devant être présents à l’audience de la formation restreinte ;

Vu les autres pièces du dossier ;

Après avoir entendu, lors de sa réunion du jeudi 19 décembre 2013 : – M. Jean MASSOT, Commissaire, en son rapport ;

– … ; (représentants de la société et de leurs conseils)

M. Jean-Alexandre SILVY, Commissaire du Gouvernement, n’ayant pas formulé d’observations ;

Les représentants de la société mise en cause ayant pris la parole en dernier ;

Le rapporteur, le Secrétaire général et les représentants des services de la Commission, le commissaire du Gouvernement et les représentants de la société s’étant retirés ;

Après en avoir délibéré, a adopté la décision dont la teneur suit :

I. RAPPEL DES FAITS

Le 24 janvier 2012, la société X (ci-après X ou la société) établie aux […] à l’adresse […], a annoncé son projet de fusionner une soixantaine de règles de confidentialité applicables à autant de ses services dans un seul document intitulé règles de confidentialité ou politique de confidentialité. La société a indiqué son intention de mettre en ligne ces nouvelles règles au 1er mars 2012.

A cette annonce, le groupe de coordination des autorités européennes de protection des données dit groupe de l’article 29 ou G29 a pris la décision d’apprécier les conséquences de ce projet sur la protection des données personnelles des citoyens de l’Union européenne au regard des dispositions de la directive 95/46/CE. Au cœur de ses préoccupations figurait la détermination de l’impact de ce projet de nouvelles règles quant à la combinaison des données que la société collecte sur ses utilisateurs.

A cet effet, le G29 a décidé de la création d’un groupe de travail ad hoc et confié à l’autorité française de protection des données (la CNIL ou la Commission) le soin de mener les discussions avec X dans le cadre de ces travaux.

Le 2 février 2012, le G29 a informé la société de cette décision en lui demandant de suspendre ce projet de fusion dans l’attente de ses conclusions, ce que celle-ci a refusé. De nombreux échanges sont intervenus, notamment dans le cadre de deux questionnaires, envoyés à la société les 16 mars et 22 mai 2012.

A l’issue de ces discussions, le G29 a considéré que la société ne se conformait pas aux exigences de la directive 95/4/CE. Un courrier signé des 27 autorités composant le G29 a donc été adressé en ce sens à la société le 16 octobre 2012, formulant des recommandations pratiques visant à guider la société vers une mise en conformité. Le 21 novembre 2012, la CNIL a, au nom du G29, invité la société à se mettre en conformité avec les recommandations du G29 avant le 15 février 2013.

A l’issue d’échanges complémentaires, la société a rencontré, dans les locaux de la CNIL, des représentants de la taskforce constituée par les autorités de protection des données à caractère personnel britannique, espagnole, française, néerlandaise, italienne et du Land de Hambourg. Par un courrier du 26 mars 2013, la société s’est engagée à mettre en œuvre de nouvelles mesures pour améliorer la protection des données de ses utilisateurs.

Prenant acte de l’analyse du G29 et de ses conclusions, et considérant que les propositions de X n’étaient pas de nature à assurer une mise en conformité au cadre législatif français, la Présidente de la Commission, par décision en date du 29 mars 2013, a décidé d’ouvrir une procédure de contrôle sur le fondement de l’article 44 de la loi n°78-17 du 6 janvier 1978 modifiée et chargé le Secrétaire Général de la Commission de faire procéder aux vérifications correspondantes.

A l’issue de celles-ci, la Présidente a estimé que la société contrevenait à plusieurs dispositions de la loi n°78-17 du 6 janvier 1978 modifiée. Elle l’a donc mise en demeure, le 10 juin 2013, de prendre un certain nombre de mesures afin de se conformer à ces dispositions dans un délai de trois mois.

Conformément à l’article 46 alinéa 2 de la loi, la Présidente a demandé au bureau de la Commission de se prononcer sur l’opportunité de rendre cette décision de mise en demeure publique.

Le 13 juin 2013, le bureau, régulièrement composé de la Présidente et des deux Vice-présidents de la Commission conformément aux dispositions de l’article 13-I de la loi, a ordonné la mesure de publicité sur le fondement de la gravité des manquements constatés et de l’atteinte consécutive aux droits fondamentaux des personnes concernées, en tenant également compte du statut et de la taille de l’organisme en cause, leader mondial sur le marché de la recherche d’information sur Internet et de la fourniture de services associés, et, par suite, du nombre de personnes concernées par ses traitements (plusieurs millions sur le territoire national).

Dans sa réponse à la mise en demeure, la société a soutenu que la loi française, en l’occurrence la loi du 6 janvier 1978 modifiée, n’était pas applicable aux traitements en cause et que la CNIL n’était donc pas compétente pour engager une procédure répressive dans cette affaire ; elle a par ailleurs contesté chacun des manquements qui lui étaient reprochés.

Sur la base de cette réponse, la Présidente de la Commission a désigné M. Jean MASSOT, membre de la CNIL, en qualité de rapporteur, afin qu’une procédure soit engagée contre la société sur le fondement du 1° du I de l’article 45 de la loi du 6 janvier 1978 modifiée, qui dispose :

I. – La Commission nationale de l’informatique et des libertés peut (…) mettre en demeure le responsable de faire cesser le manquement constaté dans un délai qu’elle fixe.

Si le responsable d’un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes :

1° Une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’État ; (…).

A l’issue de son instruction, le rapporteur a notifié à la société un rapport demandant à la formation restreinte de la CNIL de prononcer à son encontre une sanction pécuniaire de 150 000 €, dont il demandait par ailleurs qu’elle soit rendue publique. Ce rapport a été notifié par courrier en date du 11 octobre 2013, reçu le 14 octobre 2013, dont copie a également été notifiée à la société Y par courrier en date du 11 octobre 2013, reçu le 14 octobre 2013.

A l’appui de sa proposition, le rapporteur a considéré que la société n’avait pas satisfait à la mise en demeure prononcée par la Présidente de la CNIL, et qu’elle était responsable de plusieurs manquements à la loi du 6 janvier 1978 modifiée.

Le courrier de notification qui accompagnait le rapport informait par ailleurs la société que son dossier était inscrit à l’ordre du jour de la formation restreinte du jeudi 19 décembre 2013 à 14h30. La société a fait part de ses observations écrites sur le rapport par un courrier de ses conseils, en date du 13 décembre 2013. Lors de la séance de la formation restreinte de la CNIL du jeudi 19 décembre 2013, elle a en outre réitéré oralement ses observations en défense. La société a pour l’essentiel conclu à l’inapplicabilité de la loi du 6 janvier 1978 modifiée aux faits de l’espèce et à l’incompétence de la CNIL pour la mettre en demeure et initier à son encontre une procédure de sanction. Sans remettre en cause la matérialité des faits constatés, elle a par ailleurs contesté que l’ensemble des données qu’elle traite soient des données à caractère personnel au sens de la loi, ainsi que l’ensemble des manquements lui ayant été reprochés sur le fond.

Au vu du rapport et des éléments de l’instruction, des écritures de la société et des observations orales ayant été formulées à l’audience, la formation restreinte a adopté la décision dont la teneur suit :

II. MOTIFS DE LA DÉCISION

1. Sur la contestation de la société quant à l’applicabilité de la loi n°78-17 du 6 janvier 1978 modifiée et à la compétence de la CNIL

L’article 5 de la loi n°78-17 du 6 janvier 1978 modifiée soumet à l’application de la loi n°78-17 du 6 janvier 1978 modifiée les traitements de données à caractère personnel :

– 1°) Dont le responsable est établi sur le territoire français. Le responsable d’un traitement qui exerce une activité sur le territoire français dans le cadre d’une installation, quelle que soit sa forme juridique, y est considéré comme établi ;

– 2°) Dont le responsable, sans être établi sur le territoire français ou sur celui d’un autre Etat membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un autre Etat membre de la Communauté européenne.

Dans ses écritures comme en séance, la société X conteste que la loi n°78-17 du 6 janvier 1978 modifiée lui soit applicable. Elle soutient que les traitements mis en œuvre dans le cadre de la politique de confidentialité litigieuse relèvent de sa seule et unique responsabilité et que les conditions d’applicabilité de la loi définies par cet article ne sont pas constituées.

La société soutient que les services auxquels ont recours les utilisateurs installés sur le territoire français sont exclusivement fournis par la société X établie aux […]. Elle soutient que la société Y n’exerce aucune activité effective dans le cadre de laquelle X traite des données personnelles ; elle ne saurait donc constituer un établissement au sens de l’article 5-I-1°) de la loi. Elle soutient également que, dans cette hypothèse, elle ne recourt pas à des moyens de traitements situés en France.

a) Sur la notion d’établissement

La formation restreinte relève tout d’abord que la société Y participe de manière effective à des activités liées aux traitements de données relatives aux utilisateurs de ses services.

Elle relève à cet égard que l’activité de publicité en ligne, qui constitue une contrepartie à la mise à disposition gratuite par la société de ses services aux utilisateurs, et qui génère la majeure partie de ses revenus, est indissociable du traitement des données des utilisateurs. En effet, c’est précisément grâce à la quantité considérable de données dont elle dispose sur eux qu’elle peut garantir aux annonceurs des prestations de ciblage publicitaire d’une grande précision, au plus proche des centres d’intérêt des personnes.

La formation restreinte relève à cet égard que parmi les activités de la société Y déclarées en 2003 au Registre du commerce et des sociétés figurent notamment l’intermédiation en matière de vente de publicité en ligne, la promotion sous toutes ses formes de la publicité en ligne et la promotion directe de produits et services et la mise en œuvre de centres de traitement de l’information.

C’est à l’aune de l’importance que revêtent ces activités localisées en France que la société Y peut être regardée comme un établissement au sens de l’article 5 de la loi n°78-17 du 6 janvier 1978 modifiée, pour les traitements ayant pour finalité la publicité. La circonstance que les opérations techniques de traitement des données aient lieu hors de France, en l’occurrence aux Etats-Unis, est sans incidence sur cette qualification.

b) Sur la notion de moyen de traitement

En tout état de cause, si l’on considère, comme le soutient la société, que seule la société X est responsable de traitement, sans que ses autres établissements participent au traitement, la formation restreinte considère que la loi du 6 janvier 1978 est applicable, dès lors que la société X recourt à des moyens de traitement sur le territoire national.

La société soutient qu’elle n’a pas recours à des moyens de traitement sur le territoire français.

– De manière générale, elle soutient que l’interprétation du rapporteur quant à la notion de moyen de traitement serait excessive. Selon elle, la directive 95/46/CE ne couvre que les responsables de traitement non-européens dont les activités sont réellement centrées sur le territoire d’un Etat membre. A ce titre, elle soutient qu’elle n’a pas vocation à s’appliquer à des traitements effectués sur les ordinateurs et terminaux mobiles des utilisateurs par le biais des cookies ou de dispositifs similaires.

A cet égard, la formation restreinte relève que la notion de moyen de traitement doit être interprétée à la lumière du considérant 18 de la directive 95/46/CE, qui précise l’intention du législateur communautaire quant à l’insertion de cette notion dans le texte : considérant que l’établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive; que, dans ce cas, il convient de soumettre les traitements de données effectués à la loi de l’État membre dans lequel des moyens utilisés pour le traitement de données en cause sont localisés et de prendre des garanties pour que les droits et obligations prévus par la présente directive soient effectivement respectés (…).

Le législateur communautaire visait donc à éviter le contournement de la protection accordée aux résidents européens du fait de l’établissement du responsable de traitement dans un pays non-membre de l’Union Européenne. A cet effet, il a fait le choix d’une législation technologiquement neutre, considérant que le champ de cette protection ne doit pas (…) dépendre des techniques utilisées, sauf à créer de graves risques de détournement (considérant 27).

C’est au regard de l’ensemble de ces dispositions que la formation restreinte doit apprécier les faits de l’espèce.

– En l’espèce, la société conteste spécifiquement que les cookies, pris isolément, puissent être considérés comme des moyens de traitement. Selon elle, un cookie ne serait qu’un fichier texte, un type de marqueur qui serait lu, et qui ne correspondrait pas à un moyen de traitement proprement dit. Il ne pourrait donc procéder à aucun traitement de données sur l’ordinateur de l’utilisateur ni exercer un contrôle sur lui.

Il est certain qu’un fichier texte ne constitue pas, en lui-même, un traitement. Cependant, la formation restreinte relève que tant la lecture que l’écriture d’informations sur le navigateur installé sur le terminal de l’utilisateur s’effectue par l’intermédiaire de cookies, dans le but de collecter des informations dont la société sera l’unique destinataire.

Or, l’article 2 de la loi n°78-17 du 6 janvier 1978 modifiée attribue la qualification de traitement notamment à toute opération de collecte, enregistrement, consultation, extraction, communication par transmission, diffusion ou toute autre forme de mise à disposition. Ainsi, l’accès aux informations relatives à l’utilisateur par le vecteur du cookie et leur lecture constituent bien des traitements au sens de cet article.

En outre, l’article 32-II de la loi n°78-17 du 6 janvier 1978 modifiée fait explicitement peser une obligation d’information préalable sur le responsable de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement , celui-ci étant expressément qualifié de responsable de traitement par le texte. Par suite, tout moyen permettant de procéder à de telles actions doit être qualifié de moyen de traitement au sens de la loi n°78-17 du 6 janvier 1978 modifiée.

Cette disposition traduit le souhait du législateur européen exprimé à l’article 5, paragraphe 3 de la directive 2002/58/CE modifié par l’article 2 de la directive 2009/136/CE qui dispose que le stockage d’informations ou l’obtention de l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur n’est permis qu’à condition que l’abonné ou l’utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46/CE, une information claire et complète, entre autres sur les finalités du traitement . Le champ d’application de la directive 95/46/CE étant limité aux traitements de données à caractère personnel, à l’exclusion de tout autre traitement, la référence à ce texte ainsi qu’aux finalités des traitements opérés conduit à interpréter cette disposition comme qualifiant toute activité de stockage ou de lecture d’informations par l’intermédiaire de cookies de traitement de données à caractère personnel.

Par conséquent, l’ensemble des équipements et logiciels participant à ces actions d’écriture ou de lecture – y compris les cookies et les outils similaires – doivent être considérés comme des moyens de traitement.

– La société soutient que la référence au terme de moyens de traitement dans les textes applicables implique par ailleurs l’exercice d’un degré de contrôle substantiel, c’est-à-dire la capacité de diriger l’utilisation des moyens de traitement pour son propre compte.

Or, selon elle, ce sont les utilisateurs eux-mêmes qui ont recours à leurs moyens de traitement, c’est-à-dire leurs terminaux, pour accéder aux services en ligne qu’elle fournit, dans la mesure où ils contrôlent les composants de leurs terminaux et la connexion/déconnexion à Internet, de même qu’ils décident de la composante du service qu’ils vont utiliser et de la finalité de cette utilisation. La formation restreinte considère que cet argument est infondé.

En effet, il est certain que la société exerce un degré de contrôle suffisant, voire substantiel, sur les moyens de traitement évoqués plus haut, quel que soit le service qu’elle fournit aux utilisateurs concernés.

Si ceux-ci peuvent effectivement choisir d’éteindre leur terminal ou suspendre leur connexion Internet, la société a en revanche la totale maîtrise des dispositifs de stockage ou d’accès à des informations qui, tels que les cookies, sont déposés dans le terminal de l’utilisateur. Le dépôt de ces dispositifs procède bien de la décision de la seule société, qui détermine également la finalité de la collecte et la nature des données qui lui remonteront par ce vecteur. Elle exerce donc un degré de contrôle substantiel et suffisant sur ces moyens de traitement. – Enfin, la société reproche à la Commission de chercher à étendre l’application de la directive 95/46/CE et de la loi n°78-17 du 6 janvier 1978 modifiée en s’appuyant sur le critère de la localisation des utilisateurs qui, s’il est prévu par la proposition de règlement du Parlement européen et du Conseil du 25 janvier 2012, n’est pour l’heure pas applicable en droit français.

Ce reproche est également infondé. En l’espèce, la localisation des utilisateurs ne constitue pas un critère d’application de la loi mais un élément de fait permettant de déterminer la localisation des moyens de traitement, l’une et l’autre étant, eu égard aux technologies utilisées, indissociables. La société X a donc recours à des moyens de traitement sur le territoire français.

– Il résulte de ce qui précède que la société est soumise à l’application de la loi française et par conséquent à la compétence de la CNIL, que ce soit au titre des moyens qu’elle met en œuvre en France pour traiter les données des utilisateurs ou de son établissement sur le territoire national.

2. Sur la qualification préalable des données soumises aux règles de confidentialité, de données à caractère personnel au sens de la loi n°78-17 du 6 janvier 1978 modifiée

La société conteste que l’ensemble des données des utilisateurs qu’elle traite sous l’égide des règles de confidentialité litigieuses constituent invariablement des données à caractère personnel au sens de l’article 2 de la loi n°78-17 du 6 janvier 1978 modifiée, qui dispose que constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

A son sens, seules les données qu’elle collecte auprès des détenteurs de comptes […] seraient des données à caractère personnel au sens de la loi. Les autres données qu’elle collecte et traite pour les besoins de son service en ligne ne relèveraient pas de cette qualification et n’entreraient donc pas dans le champ d’application de la loi.

Elle conteste spécifiquement que les adresses IP constituent des données à caractère personnel, y compris en étant associées aux données issues des cookies […], dès lors qu’elle ne disposerait d’aucun moyen raisonnable lui permettant de relier ces éléments à une personne identifiée ou identifiable.

Il appartient donc à la formation restreinte de se prononcer sur cette qualification qui conditionne l’application de la loi n°78-17 du 6 janvier 1978 modifiée aux faits de l’espèce.

A cet effet, il convient de tenir compte de la nature et des caractéristiques des trois catégories d’utilisateurs ciblés par la société.

a) Catégories de personnes concernées

– Une première catégorie de données correspond aux utilisateurs dits authentifiés, c’est-à-dire aux personnes qui, pour avoir accès à un service dont le fonctionnement repose sur la création d’un compte utilisateur (par exemple des comptes […]), se sont préalablement authentifiées au travers d’une interface ad hoc (le compte […]).

Les données contenues dans ce compte sont notamment les suivantes : nom, prénom, données de vérification du mot de passe, pseudonyme, date de naissance, sexe, pays, éventuellement adresse électronique alternative, numéro de téléphone, photo du profil public de la personne, carte de crédit, etc. La société a également accès à la liste des applications installées sur un terminal […], la boite mail et l’ensemble des messages associés, les photos (service […]) et les documents (service […]) détenus par l’utilisateur, les données de localisation du terminal mobile, les paramètres du terminal et du navigateur, les identifiants uniques comme le numéro IMEI, les visites de sites tiers, etc.

Les données générées par l’utilisation des services de X par un utilisateur authentifié sont accessibles à l’ensemble de ceux-ci, y compris ceux ne requérant pas d’authentification préalable.

– Une seconde catégorie de données correspond aux personnes qui accèdent à un service offert par la société sans authentification préalable à travers un compte […]. Ces utilisateurs dits non authentifiés relèvent de deux sous-catégories :

– Les utilisateurs actifs non authentifiés, qui ont recours à un service de la société sans que l’accès à celui-ci soit conditionné par une authentification préalable. Au premier rang de ces services figurent […] ou […].

Les données issues de l’utilisation de ces services varient selon la nature de ceux-ci. Les données collectées sur les utilisateurs du moteur de recherche sont les termes de la recherche, l’adresse IP de l’utilisateur, ses préférences (option linguistique, etc.), les informations issues de deux cookies installés par le service (dénommés […] et […]), qui contiennent eux-mêmes de nombreuses données, dont des identifiants uniques. Sont également collectées les données dérivées de fonctionnalités spécifiques du service, qui permettent d’apprécier les conditions de leur utilisation à distance (ex : la vitesse de frappe de l’utilisateur via la fonctionnalité […]). Des données de natures différentes seront issues des services […] et […] (localisation, etc.).

A partir de l’adresse IP et des identifiants présents dans les cookies installés sur le terminal de l’utilisateur, la société reconnaîtra celui-ci automatiquement quand il utilisera d’autres services de X ultérieurement. Elle associera ainsi les données issues de ces services à celles issues de services utilisés précédemment.

Or, il est incontestable que les facultés d’identification des personnes s’accroissent au fur et à mesure que s’intensifie le croisement de leurs données, notamment les termes de leurs requêtes dans le service […] – comme l’a démontré l’affaire dite AOL Stalker de 2006. Il suffira notamment que l’utilisateur laisse apparaître son identité une seule fois lors de l’utilisation d’un des services librement accessibles de X (par exemple dans l’hypothèse de […] ou […], c’est-à-dire la recherche de son propre nom dans le moteur de recherche) pour que celle-ci soit définitivement associée aux données que sa navigation a précédemment générées.

– Les utilisateurs dits passifs, c’est-à-dire ceux d’entre eux qui n’ont pas recours par eux-mêmes à un service de X, mais dont la société collecte néanmoins les données de manière indirecte. Lorsque ces utilisateurs naviguent sur des sites sur lesquels la régie publicitaire de X est présente, la société va collecter leurs adresses IP, les sites sur lesquels ils se trouvent, ainsi que les identifiants uniques présents dans des cookies spécifiques alors dénommés DoucleClick.

Tel est le cas quand ces utilisateurs se connectent à des sites Internet tiers faisant appel aux services de X pour mesurer leur fréquentation ([…]), proposer de la publicité ciblée à leurs visiteurs en fonction de leurs profils ([…]), fournir un plan de situation ([…]), etc.

Cette collecte a également lieu quand une personne adresse un courrier électronique à un utilisateur du service […] : quand bien même l’expéditeur ne serait pas un utilisateur de X, le contenu de son message sera scanné par la société, qui affichera de la publicité ciblée aux côtés des messages qu’il recevra de son correspondant.

De même, X propose aux webmasters d’inclure un bouton +1 sur leurs sites pour permettre aux utilisateurs de recommander des articles ou des publications sur le réseau social […] sur lequel ils ont ouvert un compte. Lorsqu’un utilisateur se rend sur un de ces sites, la société en est informée du simple fait de l’affichage du bouton, qui conduit aussitôt au dépôt et à la lecture de cookies, sans même qu’il soit besoin pour l’utilisateur de cliquer. Cette information s’opère via les cookies […], […] et […] pour les utilisateurs authentifiés, les cookies […] et […] pour les utilisateurs actifs non-authentifiés, et le seul cookie […] pour les utilisateurs passifs. Les utilisateurs, quel que soit leur statut, seront ré-identifiés dès qu’ils visiteront ultérieurement le même site ou tout autre site sur lequel figure également le bouton +1.

Ainsi, les données relatives aux visiteurs de sites tiers sur lesquels la régie publicitaire de X est présente (et que celle-ci collectera) sont l’adresse IP de l’utilisateur, le nom du site ainsi que l’identifiant unique présent dans le cookie DoubleClick, qui sert à améliorer la pertinence de la publicité affichée. Disposant de cet identifiant cookie et de son adresse IP, la société pourra reconnaître l’utilisateur à l’occasion de visites ultérieures de sites également partenaires de DoubleClick, afin de lui adresser des publicités personnalisées, notamment en fonction de l’analyse de son comportement de navigation.

[… passage central omis : décision trop longue pour une cellule …]

Au vu de ce qui précède, la formation restreinte constate que la société ne respecte ni les dispositions de l’article 6-5°) de la loi ni les termes de la mise en demeure sur ce point.

6. Sur le manquement à l’article 7 de la loi du 6 janvier 1978 modifiée

Les règles de confidentialité de la société, dans leur version applicable à l’issue du délai imparti par la mise en demeure, c’est-à-dire au 27 septembre 2013, prévoient que les informations personnelles que vous fournissez pour l’un de nos services sont susceptibles d’être combinées avec celles issues d’autres services de X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez. Le recoupement de données en provenance de cookies DoucleClick avec des données permettant de vous identifier n’est possible qu’avec votre accord explicite.

Cette disposition autorise la société à procéder à la combinaison de l’intégralité des données qu’elle collecte sur ses utilisateurs à travers l’ensemble de ses services, qu’ils soient authentifiés, non authentifiés ou passifs, que ce soit sur les données d’un même utilisateur ou entre les données de plusieurs utilisateurs.

Ainsi, concernant les utilisateurs authentifiés, les données renseignées dans un compte utilisateur peuvent être associées aux données dérivées de l’utilisation de tous ses services par ce même utilisateur ; ces données pourront alors être utilisées par l’ensemble de ceux-ci, qu’ils ne soient accessibles qu’aux utilisateurs authentifiés ou à toutes les catégories d’utilisateurs des services de la société. Les données relatives aux utilisateurs actifs non-authentifiés que la société collecte notamment à travers les cookies […] et […] sur l’ensemble de ses sites, les cookies […] sur les services […] et […], les cookies DoubleClick sur […], etc., seront également combinées entre elles, de même que les données issues des cookies DoubleClick et […] qui la renseigneront sur les visites de l’utilisateur sur des sites tiers. Ces données seront associées entre elles et utilisées par tout autre service, par exemple pour personnaliser des résultats de recherche. Quant aux jeux de données que la société recueillera à travers ces cookies sur les seuls utilisateurs passifs, ils seront combinés entre eux à des fins d’analyse, d’affichage de publicités personnalisées ou de développement produit.

– De telles combinaisons sont soumises à l’application de l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée dont les dispositions pertinentes prévoient que, pour être mis en œuvre, de tels traitements doivent avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes : (…) 4°) L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ; 5°) La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

La Présidente de la Commission a estimé que la société procédait à cette combinaison de données sans respecter ces impératifs. Elle l’a donc mise en demeure de ne pas procéder, sans base légale, à la combinaison potentiellement illimitée des données des utilisateurs, quel que soit leur statut.

– La société, pour sa part, se défend de ne pas respecter la loi sur ce point. Elle soutient au contraire qu’elle peut se fonder sur plusieurs des critères de l’article 7 de la loi pour prouver la légitimité des traitements auxquels elle procède, ceux-ci variant en fonction de la nature des données, du traitement et de la relation qu’elle entretient avec l’utilisateur, et, de manière plus générale, des circonstances. Dans de nombreux cas, elle considère qu’elle peut même s’appuyer sur plusieurs de ces critères pour légitimer une opération de traitement de données.

Il appartient donc à la formation restreinte de se prononcer sur la validité de chacun des fondements que la société invoque pour légitimer la combinaison des données à laquelle elle procède sur ses utilisateurs.

– En premier lieu, la société soutient qu’elle peut s’appuyer sur le recueil du consentement des utilisateurs dans de nombreux cas.

Concernant les utilisateurs authentifiés, le consentement se manifesterait par le fait que l’utilisateur coche la case matérialisant son accord aux conditions d’utilisation et aux règles de confidentialité. Ce consentement serait éclairé du fait que les informations données dans les règles seraient suffisamment précises sur les opérations de traitement des données.

La formation restreinte rappelle que la validité du consentement de l’utilisateur est soumise à la triple condition que celui-ci soit libre, spécifique et informé, comme le prévoit l’article 2(h) de la directive 95/46/CE.

En l’espèce, elle relève que la mention de cette faculté de combinaison n’apparaît qu’au milieu des règles de confidentialité, dans le dernier tiers de la rubrique intitulée Comment nous utilisons les données que nous collectons. Cette information, alors qu’elle a trait à une modification essentielle de la politique de confidentialité de la société, n’est donc pas accessible aux utilisateurs en première intention. Par ailleurs, elle ne se distingue pas des développements qui l’entourent, eux-mêmes formulés en termes généraux, notamment quant à la description des traitements de données, comme il a été dit plus haut. Il est donc impossible de considérer en l’espèce que le fait de cliquer sur la case J’accepte des conditions d’utilisation puisse être considéré comme un accord explicite et spécifique à cette combinaison.

Par ailleurs, en se contentant de prévoir que les informations personnelles que vous fournissez pour l’un de nos services sont susceptibles d’être combinées avec celles issues d’autres services de X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez , la société n’a pas suffisamment précisé la nature de la combinaison qu’elle compte opérer sur les données personnelles de ses utilisateurs pour que ceux-ci puissent être réputés avoir compris la portée de leur accord.

En particulier, il est établi que les données qu’un même utilisateur génèrera alors qu’il sera successivement authentifié, actif non-authentifié (y compris après s’être déconnecté de son compte) ou encore passif (c’est-à-dire quand il visitera des sites tiers intégrant un outil de X comme DoubleClick ou le bouton +1) seront cumulées entre elles. Or, il est impossible de soutenir que la formulation générale figurant dans les règles de confidentialité permet à l’utilisateur authentifié qui se sera déconnecté de comprendre que ses données continueront cependant d’être traitées puis combinées par la société avec celles figurant dans son compte personnel.

La société est d’autant moins légitime à soutenir que l’utilisateur est clairement informé de la portée de son accord qu’elle ne diffuse plus la liste intégrale des services qu’elle propose et qui seront concernés par cette combinaison.

De surcroît, la formation restreinte relève que la société revendique le fait que le recoupement de données en provenance de cookies DoubleClick avec des données permettant de vous identifier n’est possible qu’avec votre accord explicite. Or, la société traitera l’ensemble des données de navigation issues de sites tiers intégrant l’outil DoucleClick pour créer des profils utilisateurs à des fins de ciblage publicitaire, que les personnes concernées soient ou non des utilisateurs authentifiés. Les données collectées par ce biais seront associées aux données figurant dans les comptes utilisateurs […] quand les personnes concernées accèderont ultérieurement à des services requérant leur authentification préalable, et ce alors même que leur consentement spécifique n’aura pas été recueilli en amont. Il est donc inexact de la part de la société, qui n’apporte aucun élément probant en défense sur ce point, de se prévaloir du contraire dans ses règles de confidentialité.

Concernant les utilisateurs non-authentifiés, la société soutient que le consentement des utilisateurs se matérialise à travers leur utilisation continue du service de X, en conformité avec les conditions d’utilisation, que leur consentement concernant les cookies serait recueilli par le biais de notices et de mécanismes spécifiques et qu’un consentement plus détaillé peut occasionnellement être requis au moment de la collecte ou de l’utilisation des données quand elle l’aura estimé nécessaire et/ou approprié.

Sur ce point, la formation restreinte ne considère pas que la seule utilisation d’un service puisse valoir consentement d’un utilisateur non-authentifié aux traitements de ses données ni, a fortiori, à leur combinaison, dès lors que, par construction, il n’aura pas été préalablement mis en mesure de prendre connaissance des conditions d’utilisation ou des règles de confidentialité sur ce point.

De même, il est impossible de revendiquer le moindre consentement de la part des utilisateurs passifs qui n’auront aucune conscience du fait que leurs données seront recueillies à l’occasion de leur navigation sur un site tiers faisant appel à un outil de X ou de l’envoi d’un message à un utilisateur de […].

Ainsi, l’information relative à la combinaison des données des utilisateurs n’est pas suffisamment visible ni explicite pour que la validation des règles de confidentialité puisse être considérée comme un consentement explicite et éclairé de la part des utilisateurs authentifiés, et la société ne recueille aucun consentement de la part de ses utilisateurs actifs non authentifiés et passifs.

Le critère du consentement des utilisateurs ne peut donc pas être revendiqué par la société pour légitimer la combinaison de leurs données, quel que soit leur nature.

– S’agissant en deuxième lieu des données nécessaires à l’exécution d’un contrat, la société précise que la relation avec ses utilisateurs est régie par les conditions d’utilisation qui constitueraient le cadre contractuel global entre X et ses utilisateurs. Ce faisant, elle ne fait aucune distinction entre les trois catégories d’utilisateurs dont les données sont collectées à travers ses services sur le seul fondement de ses règles de confidentialité.

A cet égard, la formation restreinte constate que ni les utilisateurs actifs non authentifiés ni les utilisateurs passifs n’ont jamais accepté les conditions d’utilisation de la société. En l’absence de tout contrat les liant à la société, leurs données ne peuvent donc être considérées comme pouvant être traitées et combinées dans le cadre de l’exécution d’un contrat.

En outre, la formation restreinte relève que l’éventuelle combinaison des données des utilisateurs n’est aucunement nécessaire à l’exécution du contrat dont la société revendique qu’il la lie à eux. En effet, comme l’indiquent les règles de confidentialité, la combinaison des données des utilisateurs n’est que susceptible de se produire, par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez. Cet exemple illustre clairement que le traitement de ces données n’est pas nécessaire pour que la société puisse exécuter un contrat qui la lierait aux utilisateurs.

Le critère de l’exécution d’un contrat ne peut donc pas davantage être invoqué par la société pour légitimer la combinaison des données des utilisateurs, quel que soit leur statut.

– La société fait enfin valoir qu’il relève de son intérêt légitime de pouvoir procéder à la combinaison des données de ses utilisateurs (qu’ils soient authentifiés ou non) afin de leur garantir la meilleure qualité de service possible. Elle soutient que ses intérêts convergent avec ceux de l’utilisateur qui souhaite pouvoir utiliser ses services et bénéficier de la meilleure qualité disponible, si bien que, leurs intérêts respectifs se rejoignant, les siens propres ne peuvent qu’être qualifiés de légitimes.

De fait, l’amélioration de la qualité de ses services relève incontestablement des intérêts de la société qui peuvent être qualifiés de légitimes au sens de la loi.

Pour autant, la formation restreinte relève que la société a prévu de procéder à la combinaison potentiellement illimitée de toutes les données qu’elle collecte sur chacun de ses utilisateurs, quel que soit leur statut, et alors même qu’elle n’a pas déterminé les durées de conservation qui leur seraient applicables. Cette combinaison est donc de nature à méconnaître les intérêts des utilisateurs et à porter atteinte à leur droit au respect de la vie privée.

Il appartient donc à la formation restreinte de juger si l’intérêt ou les droits et libertés fondamentaux des personnes concernées sont suffisamment préservés en l’espèce pour que l’équilibre qu’a prescrit le législateur entre ces deux catégories d’intérêts soit atteint.

Pour sa part, la société soutient que son intérêt légitime n’outrepasse pas les droits et intérêts de ses utilisateurs dès lors qu’elle leur fournit des outils pour exercer leurs droits, ainsi que de l’information détaillée dans ses règles de confidentialité ou dans les notices contextuelles applicables à certains services.

Sur ce point, la formation restreinte relève que la société a effectivement développé des outils visant à permettre aux utilisateurs d’exercer un contrôle sur la collecte et le traitement de leurs données, mais que leur portée et leur présentation ne sont pas de nature à rendre ce contrôle effectif pour l’ensemble des utilisateurs, quel que soit leur statut.

Ainsi, […] qui permet de visualiser les données associées à son compte […] n’est disponible qu’aux utilisateurs authentifiés. S’il permet à ceux-ci de désactiver ou de supprimer l’historique de leurs recherches dans leur compte, il ne leur permet en revanche pas d’effacer toutes les données les concernant dans les journaux des serveurs de X.

L’outil dit de visualisation du profil publicitaire, s’il est quant à lui accessible à l’ensemble des utilisateurs de la société, tous statuts confondus, n’est cependant plus référencé sur la page principale de la politique de confidentialité, comme ce fut le cas jusqu’au 1er mars 2012. Pour y accéder, l’utilisateur doit naviguer à travers plusieurs rubriques successives, dont les intitulés ne permettent pas toujours de comprendre qu’elles mènent à l’outil qui permet de moduler la portée du ciblage dont les utilisateurs sont l’objet (règles et principes, puis publicité dans la rubrique quelques informations de nature technique, enfin paramètres des annonces).

En tout état de cause, ce module ne permet pas aux utilisateurs authentifiés de contrôler effectivement la combinaison de leurs données, encore moins de s’y opposer, puisque ceux-ci ne peuvent que supprimer ou désactiver l’historique de leur navigation et les centres d’intérêt que la société leur a elle-même attribués en fonction de leur comportement en ligne.

Quant aux utilisateurs non authentifiés (actifs ou passifs), ils ne peuvent que gérer les critères de ciblage publicitaire qui les concernent, c’est-à-dire désactiver le ciblage publicitaire ou s’opposer au dépôt de cookies DoubleClick. En outre, ce module ne fonctionne pas sur l’ensemble des appareils, notamment sur les smartphones, et, en tout état de cause, il ne permet pas aux utilisateurs de s’opposer à la combinaison de l’ensemble de leurs données.

Ainsi, contrairement à ce que soutient la société, les droits dont bénéficient les utilisateurs ne leur confèrent pas un large pouvoir de contrôle sur le principe même, le moment de la fourniture de données et sur la manière dont celle-ci sont utilisées et ne lui permettent (pas) de modifier, restreindre ou mettre un terme au traitement de ses données.

La formation restreinte estime donc que la société ne peut se prévaloir, pour chacun de ses utilisateurs, d’un recueil du consentement, de la nécessité d’exécution d’un contrat ou d’un juste équilibre entre son intérêt légitime et les droits fondamentaux de ses utilisateurs.

Elle ne respecte donc ni les dispositions de l’article 7 de la loi ni les termes de la mise en demeure sur ce point.

Sur les manquements constatés

En conséquence, eu égard à la persistance des manquements précités, tels qu’ils ont été préalablement constatés dans la mise en demeure prononcée par la Présidente de la Commission le 10 juin 2013, la société X verra prononcer à son encontre une sanction pécuniaire d’un montant de 150 000 € (cent cinquante mille euros).

La formation restreinte décide également de rendre sa décision publique sur le site Internet de la Commission.

En outre, compte tenu du caractère massif des données collectées par la société, du nombre important et indéterminé des personnes concernées, qui pour nombre d’entre elles ne sont pas en mesure de s’y opposer ni même d’en être informées, la formation restreinte estime nécessaire d’ordonner l’insertion de cette décision sur le site […].

PAR CES MOTIFS

Conformément au I de l’article 45 de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de prononcer à l’encontre de la société X une sanction pécuniaire de 150 000 € (cent cinquante mille euros).

Elle décide également de rendre cette décision publique sur le site de la CNIL.

Elle ordonne par ailleurs à la société de publier à sa charge, sur son service de communication au public en ligne accessible à l’adresse […], le texte suivant :

Communiqué : la formation restreinte de la Commission nationale de l’informatique et des libertés a condamné la société X à 150 000 euros d’amende pour manquements aux règles de protection des données personnelles consacrées par la loi informatique et libertés. Décision accessible à l’adresse suivante : […].

La publication de ce communiqué sera effectuée selon les modalités suivantes :

– La publication est ordonnée pour une durée de quarante-huit heures consécutives à compter de 8h00, heure de Paris (France), le septième jour suivant la notification de la présente délibération.

– Le communiqué figurera dans un encart spécifique localisé sur la page accessible à l’adresse […]. Cet encart sera inséré sous les boutons […] et […] et au-dessus du pied de page incluant le bandeau d’information relatif à l’utilisation des cookies. Il sera centré verticalement et horizontalement.

– Le texte publié sera encadré selon le style employé par la société pour les informations présentées en pied de page.

– Le texte de l’encart sera publié dans une taille de caractères qui ne saurait être inférieure à la taille 13 points dans la police dite Arial, sans sheriff. La couleur rgb (177, 68, 54) sera employée pour le mot Communiqué. La couleur rgb (102, 102, 102) sera employée pour le reste du texte incluant le pointeur hypertexte.

– L’encart inséré reproduira avec fidélité le texte suivant : Communiqué : La formation restreinte de la Commission nationale de l’informatique et des libertés a condamné la société X à 150 000 euros d’amende pour manquements à la loi informatique et libertés. Décision accessible à l’adresse suivante : […]

– Le texte […] comportera un pointeur hypertexte activable par l’utilisateur.

– A l’issue de la période déterminée ci-dessus, la société procédera au retrait du texte de l’encart.

La société X dispose d’un délai de deux mois à compter du jour de la notification de la présente décision pour exercer un recours devant le Conseil d’Etat à son encontre.

Fait à Paris, le

La Présidente de la formation restreinte

Claire DAVAL