La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Alex TÜRK ;

Etant aussi présents M. Emmanuel de GIVRY, vice-président délégué, Mme Isabelle FALQUE-PIERROTIN, vice-présidente, Mme Claire DAVAL, M. Sébastien HUYGHE et M. Jean-Marie COTTERET, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, et notamment son article 1er ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° 2010-216 adoptée en urgence par le bureau de la Commission le 26 mai 2010, adressant une mise en demeure à la société X ;

Vu les décisions n° 2009-231C du 4 décembre 2009 et n° 2010-140C du 17 mai 2010 du président de la Commission de procéder à la vérification sur place de la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée du dispositif […] mis en œuvre par la société X, représentée en France par la société Y ;

Vu le rapport de M. Philippe GOSSELIN, commissaire rapporteur, notifié à la société X par courrier en date du 28 octobre 2010, reçu le 1er novembre 2010, dont copie a également été notifiée à la société Y par courrier en date du 28 octobre 2010, reçu le 29 octobre 2010 ;

Vu les observations en réponse de cette dernière, en date du 28 décembre 2010 ;

Vu les autres pièces du dossier ;

Après avoir entendu, lors de sa réunion du jeudi 6 janvier 2011 :

– M. Philippe GOSSELIN, commissaire, en son rapport ;

– M. A, responsable de la protection des données personnelles de la société X, M. B, directeur des relations institutionnelles, M. C, responsable juridique, M. D, de la société Y, et Maître E, avocate, leur conseil ;

Mme Elisabeth ROLIN, commissaire du Gouvernement, n’ayant pas entendu formuler d’observations ;

Les représentants de la société mise en cause ayant pris la parole en dernier.

I. RAPPEL DES FAITS

1. Présentation de la société X et des services offerts

La société X (ci-après, la « société ») a pour principale activité la recherche d’informations sur internet, le développement de services sur internet et la publicité en ligne.

Elle a notamment développé des outils de recherche géographique reposant sur des photographies satellites ou aériennes, ainsi que sur des photographies prises dans les voies et lieux publics. Elle a ajouté à ces outils cartographiques des fonctionnalités supplémentaires, telles la géolocalisation, qui permet de déterminer la position d’un utilisateur du service.

La société a tout d’abord lancé, en 2004, le service en ligne […], qui permet de visualiser en ligne une zone géographique, aussi bien à l’échelle d’un pays qu’à l’échelle d’une rue. Les cartes proposées sont issues à la fois de données cartographiques classiques (frontière, rue, autoroute, etc.) et d’images satellites ou aériennes très précises. Ce service a été étendu à la France en avril 2006.

En 2007, elle a intégré au service […] le service […] offrant ainsi aux internautes une vue panoramique des rues à 360° horizontalement et 290° verticalement. Les images affichées sont réalisées à partir de photographies collectées par la société X dans le monde entier, au moyen de véhicules équipés d’appareils photo numériques et mises bout à bout. Ces véhicules sont usuellement désignés sous le terme de […].

La société Y a annoncé l’extension du service […] au territoire français en juin 2008. Elle a déclaré le traitement ayant pour finalité la mise à disposition du service internet […] auprès de la Commission nationale de l’informatique et des libertés (ci-après la « CNIL » ou la « Commission ») le 1er juillet 2008, pour le compte de la société X (déclaration n° 1303459).

En février 2009, la société X a ajouté à la fonctionnalité mobile du service […] le service de géolocalisation […]. Ce nouveau service permet à l’utilisateur, dès lors qu’il dispose à la fois d’un compte […] et de l’application […] installée sur son téléphone évolué ( smartphone ), d’afficher sa position et d’indiquer ainsi à ses proches où il se trouve en temps réel ; il permet également, à l’inverse, de géolocaliser ses amis ou sa famille sur une carte ou une liste, dès lors que ceux-ci disposent du même équipement.

Le fonctionnement de l’ensemble des services de géolocalisation par les réseaux Wi-Fi ou GSM que propose la société (y compris […]) repose sur la constitution et la mise à jour d’une base de données commune, dénommée base […].

La société a créé cette base de données par étapes successives. Une étape essentielle de son développement initial a consisté en la collecte massive de signaux radios (GSM et Wi-Fi) associés à des positions GPS par les […], dans le cadre du programme […]. Aujourd’hui, l’enrichissement et la mise à jour de la base procède essentiellement de la collecte des données captées et transmises de manière récurrente par les utilisateurs connectés à ce service via leurs téléphones et terminaux mobiles, c’est-à-dire les adresses MAC et les identifiants SSID des points d’accès Wi-Fi se trouvant à proximité de ceux-ci. L’enregistrement des données provenant de ces terminaux permet d’actualiser en permanence les informations figurant dans la base […]. C’est cette collecte permanente de données, opérée par l’intermédiaire des terminaux mobiles des utilisateurs, qui permet ainsi à la société d’optimiser les services de géolocalisation par les réseaux qu’elle offre à ses clients.

2. Les échanges entre la CNIL et Y concernant le service […] (février 2009 – avril 2010)

En février 2009, X a annoncé le lancement de […] dans 27 pays, dont la France.

A la suite d’échanges entre la CNIL et la société Y sur le fonctionnement de […], notamment lors d’une réunion tenue à la CNIL le 6 février 2009 puis lors d’échanges par courriel, le président de la CNIL a adressé un courrier à la société, le 14 mai 2009, indiquant qu’elle considérait ce service comme reposant sur des traitements de données à caractère personnel soumis à la loi du 6 janvier 1978 modifiée et qu’à ce titre, conformément à l’article 22 de cette même loi, ceux-ci devaient faire l’objet d’une déclaration auprès de ses services.

La société a contesté cette analyse dans un courrier en réponse daté du 3 août 2009, estimant que ces traitements n’étaient pas soumis à la loi française, la collecte des données concernées n’étant selon elle pas réalisée par des moyens de traitement situés sur le territoire français. Elle a par conséquent refusé de déclarer […] auprès de la CNIL.

Par un courrier daté du 29 octobre 2009, reçu à la Commission le 21 décembre 2009, la société Y a informé la CNIL de son souhait de désigner un correspondant à la protection des données à caractère personnel. La désignation a pris effet le 29 janvier 2010.

Les services de la CNIL ont de nouveau interrogé Y sur les modalités de collecte des données utilisées dans le cadre du service […], par un courriel en date du 8 janvier 2010.

Dans son courriel de réponse en date du 8 février 2010, la société a indiqué que la base de données de géolocalisation sur laquelle repose son service (la base […]) a été constituée en trois étapes successives, à savoir :

– Initialement avec les informations contenues dans les requêtes des utilisateurs de […] en utilisant le cell ID [l’identifiant de l’antenne GSM] et le centre de la carte affichée, en se fondant sur l’hypothèse selon laquelle, statistiquement, le terminal se trouve aux environs de celle-ci ;

– En second lieu, les informations GPS et Wi-Fi ont été ajoutées lorsqu’elles se trouvent incluses dans les requêtes des utilisateurs de […] ;

– Enfin, les voitures […] ont été utilisées pour alimenter la base de données en utilisant GPS et signaux radio.

Au vu de cette réponse, le président de la CNIL a informé la société, par un courrier en date 20 avril 2010, que la Commission maintenait son interprétation selon laquelle […] requiert le déploiement de moyens de traitement sur le territoire français, à l’instar du service […], et qu’en conséquence ce service devait faire l’objet de formalités préalables en France.

3. Les premiers contrôles opérés par la CNIL

Les services de la CNIL ont procédé à un contrôle sur place le 11 décembre 2009 auprès de la société Y, représentant la société X, afin de vérifier la conformité du service […] aux dispositions de la loi du 6 janvier 1978 modifiée.

Lors de ce contrôle, la société a présenté les moyens techniques mis en œuvre pour enregistrer les photographies collectées par les […]. Les services de contrôle ont constaté que ces véhicules étaient équipés de plusieurs appareils photo numériques, ainsi que d’un dispositif enregistrant des données GPS.

Il a été demandé à la société d’indiquer à la CNIL, sous cinq jours, si les véhicules utilisés collectaient d’autres informations techniques en dehors des données GPS et des photographies. Il ressort des échanges subséquents avec la société que la CNIL n’a pas obtenu de précisions sur ce point dans le délai imparti.

Comme convenu avec la société lors du contrôle sur place effectué le 11 décembre 2009, la Commission a procédé à une nouvelle mission de contrôle auprès de la société le 18 janvier 2010, afin d’examiner un véhicule dit […] en état de marche.

La délégation de contrôle a constaté la présence de plusieurs dispositifs de collecte de données sur le toit du véhicule, ainsi que d’une clef Wi-Fi dans le coffre du véhicule, permettant de capter et d’enregistrer des signaux Wi-Fi. Elle n’a toutefois pas pu déterminer la nature précise des données enregistrées par le dispositif car le véhicule présenté à la délégation ne comportait aucun disque dur de collecte.

La délégation de contrôle a donc réitéré la demande préalablement formulée concernant la nature des données collectées et demandé que la finalité de la collecte des signaux Wi-Fi lui soit précisée. La société s’est engagée à répondre à la Commission dans un délai de 5 jours ouvrés sur ces deux points, ainsi que sur diverses autres questions restant en suspens, cet engagement figurant au procès-verbal de contrôle.

Par un courrier du 28 janvier 2010, transmis par la société Y, la société X a indiqué à la Commission que :

– les véhicules sont équipés de dispositifs GPS pour suivre leur positionnement et permettre ainsi d’associer cette information aux images collectées ;

– ils contiennent par ailleurs des équipements laser afin d’aider à mesurer les distances entre les objets, ainsi qu’un dispositif permettant de se connecter aux réseaux sans fil (Wi-Fi) et d’identifier ceux-ci ;

– les informations concernant ces réseaux sans fil peuvent être utilisées par les utilisateurs ayant activé les services de géolocalisation disponibles sur certains produits (ex : […]) afin de faciliter la fourniture d’informations locales pertinentes pour l’utilisateur.

Par un courrier du 9 février 2010, la CNIL a interrogé la société de manière plus précise sur la nature des données collectées via le dispositif permettant aux véhicules de se connecter aux réseaux sans fil (Wi-Fi) et d’identifier ceux-ci.

A cette question, la société a répondu, le 25 février 2010, que cette collecte ne concernait que les identifiants des réseaux Wi-Fi (identifiants SSID) ainsi que les adresses MAC des routeurs Wi-Fi, collectés dans le cadre de ses services de géolocalisation.

Le 27 avril 2010, la société X a publié sur son blog un communiqué destiné à répondre aux interrogations relayées par la presse internationale concernant les informations enregistrées par ses […], indiquant que les réseaux [Wi-Fi] envoient des informations aux autres ordinateurs du réseau, appelées données de contenu de communications, mais X ne collecte ni ne conserve de telles données. Ce même jour, la société Y a confirmé à la CNIL par courriel que la collecte, par ses véhicules, de données Wi-Fi destinées à ses services de localisation ne concerne aucunement les données de contenu des communications.

Toutefois, 14 mai 2010, la société a publié un communiqué de presse reconnaissant la collecte de données de contenu. Cette collecte, qualifiée d’involontaire, serait la conséquence d’une erreur de programmation du code source du logiciel de collecte (c’est-à-dire de l’ensemble des lignes de programmation qui assurent le fonctionnement de ce logiciel), commise en 2006. L’installation de ce logiciel dans les […] aurait permis d’enregistrer des fragments de données de contenu de communication à compter de la mise en circulation des véhicules en 2007.

Suite à ces révélations, au vu de la gravité des faits révélés et de l’urgence à agir, la Commission a procédé à un nouveau contrôle sur place dès le 19 mai 2010 auprès de la société Y, représentant la société X Ce contrôle visait à constater la nature des données effectivement collectées par les […] sur le territoire français ainsi que les mesures prises par la société à la suite de ces révélations.

Outre la clef Wi-Fi installée dans le coffre et les dispositifs de collecte figurant sur le toit, le véhicule examiné lors de ce contrôle contenait bien un disque dur de collecte enregistrant les données captées, contrairement au véhicule examiné lors du contrôle du 18 janvier 2010. La société a par ailleurs indiqué que ces véhicules ne procèderaient désormais plus à la collecte de données relatives aux données Wi-Fi, et qu’elle attendait l’accord des autorités de protection des données nationales pour procéder à l’effacement des données, et en particulier de la CNIL en ce qui concerne les données collectées en France.

Au terme du contrôle, la délégation a demandé que soient communiquées à la CNIL des informations techniques concernant la collecte des données Wi-Fi ainsi que des copies sur support informatique, en particulier une copie intégrale des données de contenu issues des bornes Wi-Fi pour la France, et ce, dans un délai de 3 jours ouvrés.

Les demandes d’informations visées par le procès-verbal étaient les suivantes :

– Quels sont les critères qui ont permis d’isoler les données collectées relatives aux contenus issus des bornes Wi-Fi ( payload data ) ?

– Des données de contenu issues de bornes Wi-Fi sécurisées ont-elles été collectées ? Si oui, quelles sont les conditions de leur traitement ?

Les demandes de copies informatiques étaient les suivantes :

– Le dernier disque dur envoyé aux Etats-Unis issu d’une opération de collecte effectuée par un véhicule […] en France ;

– Le code du programme informatique utilisé au sein des véhicules jusqu’à la date du 14 mai 2010, en identifiant la partie du code ayant conduit à collecter les données relatives au contenu issues des bornes Wi-Fi ( payload data ) ;

– Les données relatives au contenu issues des bornes Wi-Fi pour la France, isolées par X;

– Le nouveau code dorénavant utilisé par la société dans le cadre de la collecte effectuée par les véhicules […] (délai de transmission : dès validation du code) ;

– L’audit réalisé à la demande de X, tel qu’annoncé dans son communiqué de presse en date du 14 mai 2010.

Par un courriel du 21 mai 2010, la société Y a informé la Commission que les demandes précitées avaient été transmises à la société X Elle a indiqué par ailleurs qu’il serait très probablement impossible de respecter les délais souhaités s’agissant des copies informatiques demandées, en raison de la localisation de ces éléments aux Etats-Unis et des demandes similaires émanant de diverses autorités européennes de protection des données.

Au terme du contrôle, les services de contrôle ont également demandé à ce que la CNIL soit informée de la reprise éventuelle des opérations de collecte par les véhicules […] en France, afin qu’elle assiste à cette reprise et prenne copie des données alors enregistrées.

4. La mise en demeure adressée à la société X par la CNIL le 26 mai 2010 et les réponses de la société

Constatant l’absence de communication des copies informatiques visées par le procès-verbal de contrôle du 19 mai 2010 dans le délai imparti, le bureau de la Commission a adressé une mise en demeure à la société le 26 mai 2010 sur le fondement de l’urgence (délibération n°2010-216 du 26 mai 2010). Cette délibération a été notifiée à la société X par courrier recommandé daté du 27 mai 2010, avec accusé de réception le 07 juin 2010. Elle a également été notifiée le 28 mai 2010 en mains propres à la société Y, représentant la société X en France.

Cette mise en demeure a été adoptée sur le fondement de l’urgence, eu égard à la gravité des faits, au nombre important de personnes concernées ainsi qu’à la nature des données traitées. Le bureau de la Commission a notamment relevé, à cet égard, que les données collectées par la société, telles qu’issues de bornes Wi-Fi, étaient susceptibles de contenir des informations sur les sites internet consultés par les personnes concernées, sur le contenu des messages échangés ainsi que sur les identifiants et les mots de passe permettant de se connecter à certains sites, et ce depuis plusieurs années, et que cette collecte était de nature à constituer une atteinte grave aux droits et libertés protégés par l’article 1er de la loi du 6 janvier 1978 modifiée, en particulier à la vie privée, au secret des correspondances et à la liberté d’expression.

Cette délibération du bureau de la Commission mettait ainsi la société en demeure, sous un délai de sept jours à compter de sa notification, de :

– Procéder aux formalités prévues au Chapitre IV de la loi du 6 janvier 1978 précitée pour le traitement […] ;

– Cesser toute collecte de données à l’insu des personnes concernées, dans le cadre du traitement […], s’agissant en particulier des identifiants de réseaux Wi-Fi (SSID), des adresses MAC de routeurs Wi-Fi et des données de connexion issues de bornes Wi-Fi ;

– Veiller à ne plus collecter de données à caractère personnel de manière déloyale ou illicite dans le cadre du traitement […] ;

– Communiquer à la Commission les informations et copies demandées lors du contrôle sur place effectué le 19 mai 2010, telles qu’elles figurent au procès-verbal, en particulier fournir à la CNIL une copie sur support informatique de l’ensemble des données recueillies en France, par le biais des bornes Wi-Fi, dans le cadre du traitement […] ;

– Justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.

Afin, notamment, d’obtenir communication des copies informatiques visées par la mise en demeure, en particulier des données enregistrées lors de l’accès aux réseaux Wi-Fi sur le territoire français et du code source ayant permis la collecte, la Commission a procédé à un nouveau contrôle sur place le 4 juin 2010 auprès de la société Y, après un accord téléphonique préalable conclu avec celle-ci.

Au terme du contrôle, la société a remis à la délégation la copie d’un disque dur comprenant l’ensemble des informations collectées par un véhicule […] dans la zone aux alentours de la ville de MILLAU sur les mois d’avril et de mai 2010.

Elle a également communiqué un second disque, comprenant une copie des données de connexion enregistrées sur le territoire français, une copie d’un rapport d’audit du code source réalisé à la demande de la société X par le cabinet Z, ainsi qu’une copie de la partie du code source ayant conduit à collecter les données relatives au contenu issues de bornes Wi-Fi. La société n’a pas remis l’ensemble du code source utilisé par les […], considérant que la demande formulée en ce sens par la CNIL visait uniquement le programme informatique ayant servi à la collecte des données Wi-Fi (le programme dénommé ¨[…]¨) et non l’ensemble des logiciels utilisés par les véhicules […].

Dans un courrier du 4 juin 2010, la société a répondu comme suit à la mise en demeure adoptée par le bureau de la Commission :

Sur l’accomplissement des formalités préalables auprès de la CNIL : la société maintient dans ses observations que les traitements de données opérés dans le cadre du service […] n’ont, selon elle, pas à être déclarés à la CNIL. Toutefois, malgré ses doutes, la société a fait part de modifications apportées à la déclaration effectuée auprès de la CNIL concernant le service […]. Ces modifications consistent en premier lieu à ajouter à la rubrique données collectées les informations sur le positionnement du véhicule, les données provenant de l’accéléromètre, du faisceau laser du véhicule, les identifiants SSID, ainsi que les adresses MAC des routeurs Wi-Fi. En second lieu, la fourniture de services de géolocalisation et la création de cartes géographiques ont été rajoutées à la rubrique finalités déclarées. Ces deux ajouts ont été effectués par la société en vue de se conformer à la mise en demeure et sous toutes réserves.

Sur la collecte de données à l’insu des personnes concernées dans le cadre du traitement […] : la société confirme avoir cessé toute collecte de données Wi-Fi au moyen de […]. La cessation de cette collecte concerne en particulier des identifiants de réseaux Wi-Fi (SSID), des adresses MAC de routeurs Wi-Fi et des données de connexion issues de bornes Wi-Fi.

Sur la collecte déloyale ou illicite de données : la société indique avoir cessé toute collecte de données Wi-Fi au moyen de […] ; elle conteste par ailleurs la qualification du caractère déloyal ou illicite qui s’attacherait à cette collecte, dès lors que celle-ci aurait été non-intentionnelle.

Sur les demandes d’informations et de copies informatiques : la société rappelle en particulier avoir remis à la Commission une copie du rapport Z lors du contrôle du 4 juin. Elle indique que la copie du dernier disque dur envoyé aux Etats-Unis issu d’une opération de collecte effectuée par un véhicule […] en France ainsi que la copie des données relatives au contenu issu des bornes Wi-Fi pour la France, isolée par X ont été communiquées à la Commission lors du contrôle du 4 juin 2010.

La société ajoute avoir remis, lors du contrôle du 4 juin, le code source du programme informatique utilisé au sein des véhicules […] ayant permis la collecte du payload, c’est-à-dire la collecte des données de contenu, en rappelant qu’elle considérait la demande de la Commission comme visant uniquement le logiciel ayant permis la collecte de données Wi-Fi, dénommé […], et non l’ensemble des logiciels mis en œuvre au sein des véhicules.

Par courriel en date du 12 juillet 2010, la société a en outre communiqué à la CNIL une nouvelle version du logiciel […], la version fournie lors du contrôle du 4 juin 2010 n’étant, selon ses dires, pas la bonne.

Sur le code source du logiciel qui sera mis en œuvre lors de la reprise des opérations de collecte : la société indique avoir cessé de collecter des données relatives aux réseaux Wi-Fi au moyen de […] et qu’elle remettra à la CNIL une copie du ou des nouveaux logiciels mis en œuvre, n’incluant pas de fonctionnalités de collecte de données Wi-Fi, dès que ces éléments seront disponibles.

5. Analyse des pièces remises par la société lors du contrôle du 4 juin 2010

Au terme du contrôle effectué le 4 juin 2010, la société a remis à la CNIL des copies informatiques, en particulier des données enregistrées par X lors de l’accès aux réseaux Wi-Fi sur le territoire français ainsi que du code source ayant permis la collecte. Elle a également remis le rapport d’audit de ce code source, dit rapport Z.

– Le code source du logiciel de collecte de données Wi-Fi

Par sa mise en demeure du 26 mai 2010, la CNIL a enjoint à la société de fournir divers éléments visés par le procès-verbal de contrôle du 19 mai 2010, dont le code du programme informatique utilisé au sein des […] jusqu’à la date du 14 mai 2010 par X, en identifiant la partie du code ayant conduit à collecter les données relatives au contenu issues des bornes Wi-Fi (« payload data »).

Pour répondre à cette injonction, la société a remis à la Commission, lors du contrôle précité du 4 juin 2010, le code source du programme informatique utilisé au sein des véhicules […] ayant permis la collecte des données de contenu, en rappelant qu’elle considérait la demande de la Commission comme visant uniquement le logiciel ayant permis la collecte de données Wi-Fi, dénommé […]. Par courriel en date du 12 juillet 2010, la société a en outre communiqué à la CNIL une nouvelle version de ce logiciel […], la précédente version n’étant, selon ses dires, pas la bonne.

Or l’analyse du code source remis lors du contrôle a permis de constater que la société n’a fourni à la Commission que le code source relatif au calcul de la position GPS de la […] en mouvement ; l’analyse des nouveaux éléments de code source fournis par courriel le 14 juillet 2010 a révélé que ces derniers éléments se limitaient par ailleurs au code du lancement de l’outil de collecte des données Wi-Fi. Ces nouveaux éléments ne permettaient donc pas davantage que le code source fourni lors du contrôle de déterminer le fonctionnement du logiciel de collecte de données de contenu issues de bornes Wi-Fi.

En revanche, le rapport Z, dont les rédacteurs ont eu, quant à eux, accès à l’ensemble du code source, analysait précisément le fonctionnement du logiciel développé et mis en œuvre par la société.

Il ressort ainsi de ce rapport que le logiciel déployé dans les véhicules de collecte de données, dénommé […], a été développé par la société en 2006 dans le cadre du projet […]. Ce logiciel comprend un programme de détection et de captation de données de contenu sans fil, dénommé Kismet, lequel permet de capter et d’enregistrer l’ensemble des données Wi-Fi à sa portée (données de contenu chiffrées, données de contenu non chiffrées, données de contrôle et données de gestion). Le logiciel […] ajoute des données GPS aux données Wi-Fi captées et enregistrées par Kismet, afin de les localiser de manière précise.

Il s’avère en outre que […] a été développé de manière à collecter et à conserver par défaut les données de contenu non chiffrées, les données de contrôle et les données de gestion. Les paramètres par défaut de […] peuvent être modifiés lors de l’utilisation, de manière à limiter les catégories de données conservées. La société n’a pas procédé à un tel paramétrage du logiciel lors de son déploiement au sein des […], si bien que celui-ci intègre, dès sa mise en œuvre, la possibilité d’enregistrement de données de contenu.

La société n’a par ailleurs communiqué à la CNIL aucun élément, même partiel, du code source du nouveau logiciel de collecte visé par la mise en demeure du 26 mai 2010.

– Sur les données de contenu captées par les […]

Lors du contrôle du 4 juin 2010, la société X a remis à la délégation de la Commission une copie des données de contenu enregistrées en France. Le procès-verbal précise qu’il s’agit de données de contenu Wi-Fi ( payload ) isolées des autres données, et collectées pour l’ensemble de la France par tous les […].

Il ressort tout d’abord de l’analyse de ces données, effectuée par les services de la Commission, que les […] ont effectivement collecté des données de contenu à partir de réseaux Wi-Fi non sécurisés, sur une large part du territoire français. Plus de 50 % du territoire a ainsi été couvert, dont l’ensemble des zones urbaines et en particulier les agglomérations de Paris, Lille, Lyon, Bordeaux, Marseille, Toulouse, Caen, Rennes, Strasbourg, Clermont-Ferrand et Nice.

Les données communiquées à la CNIL représentent un volume de 16,8 Go. Dans cet ensemble de données de contenu, le volume exploitable s’élève approximativement à 1400 Mo, soit 8 % du volume total des données analysées.

Parmi celles-ci, en opérant des recherches sur la base de mots-clés, la Commission a pu isoler 656 Mo de données relatives à la navigation sur internet, révélant la présence de 112 mots de passe d’accès à des sites internet (http) ainsi que de nombreuses données de connexion à des sites de rencontre et à des sites pornographiques.

En procédant par simple requête par mot-clé, la Commission a également isolé 6 Mo de données d’accès à des boîtes de courrier électronique, comprenant 72 mots de passe de messagerie. Parmi les données d’envoi de mail (smtp), la CNIL a pu identifier 124 adresses de courrier électronique, concernant aussi bien des expéditeurs que des destinataires. De manière générale, la Commission a pu identifier 774 adresses de courrier électronique distinctes sur l’ensemble des données communiquées.

Quant à l’analyse des données de contenu, elle a permis de déterminer avec une grande précision la nature des sites consultés, les mots de passe permettant d’y accéder et l’emplacement géographique de l’utilisateur. Elle a également permis de parvenir à un certain nombre de rapprochements, par exemple :

[… passage central omis : décision trop longue pour une cellule …]

Il découle donc de ce qui précède que la mise en œuvre du service […] repose, à tout le moins partiellement, sur le recours à des moyens de traitement déployés sur le territoire français, c’est-à-dire tant les véhicules […] que les terminaux des utilisateurs, utilisés à des fins de géolocalisation.

C’est pourquoi la formation restreinte considère, contrairement à ce que soutient la société, que celle-ci met en œuvre des moyens de traitement situés sur le territoire national, et que la loi française est applicable aux traitements réalisés dans le cadre de la mise en œuvre du service […] en France.

La formation restreinte estime, enfin, que la société ne saurait indiquer que la CNIL n’aurait jamais considéré le défaut de déclaration du service […] comme un manquement avant le prononcé de la mise en demeure du 26 mai 2010, alors que deux courriers émanant du président de la CNIL, en date des 14 mai 2009 et 20 avril 2010, versés aux débats, rappelaient l’applicabilité de la loi à ce service et invitaient la société à déclarer […].

Dans ces conditions, elle constate que la société n’a pas satisfait à l’obligation de déclaration de ce traitement au jour de l’audience. Elle constate donc que la société n’a pas satisfait à la demande faite en ce sens dans la mise en demeure.

6. Sur le manquement au respect de la vie privée et des libertés individuelles

L’article 1er de la loi du 6 janvier 1978 modifiée dispose que « l’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société un manquement au respect de la vie privée et des libertés individuelles, lié à la collecte, l’enregistrement et la conservation par la société X de données issues de bornes Wi-Fi, susceptibles de contenir des informations sur les sites internet consultés par les personnes concernées, sur le contenu de messages échangés ainsi que les identifiants et mots de passe permettant de se connecter à certains sites.

Le bureau de la Commission a par conséquent enjoint à la société de cesser toute collecte de données à l’insu des personnes concernées dans le cadre du traitement […], s’agissant en particulier des identifiants de réseaux Wi-Fi (SSID), des adresses MAC de routeurs Wi-Fi et des données de connexion issues de bornes Wi-Fi.

Dans sa réponse à la mise en demeure, la société a confirmé avoir arrêté toute collecte de données Wi-Fi au moyen de voitures […], comme cela a été publiquement annoncé dans son blog officiel du 14 mai 2010. Elle soutient dès lors que ce manquement avait cessé au jour de l’audience, avant même le prononcé de la mise en demeure.

La formation restreinte estime, sur ce point, que l’engagement pris par une société par voie de communiqué ne saurait interdire à la CNIL de veiller au respect de la loi, y compris de manière contraignante, par l’adoption d’une mise en demeure. Celle-ci se justifiait d’autant plus que les faits reprochés à la société avaient un retentissement international à cette époque, et que la société avait attesté de leur gravité dans ses propres déclarations.

Sur le fond, la formation restreinte ne saurait davantage retenir l’argument selon lequel les personnes concernées n’auraient subi aucune atteinte à leurs droits et libertés en l’absence de toute réutilisation de ces données, et que ce manquement ne serait dès lors pas avéré.

Bien au contraire, elle estime que cette violation est qualifiée dès lors qu’une quantité considérable de données a été captée à l’insu des personnes sur une grande partie du territoire national, et que ces données sont, par essence, de nature extrêmement personnelle (identifiants, mots de passe, données de connexion permettant d’identifier les sites consultés, échanges de courriels). Elle relève en particulier que les données collectées révèlent, pour certaines d’entre elles, l’orientation sexuelle des personnes ou leur état de santé, c’est-à-dire des données sensibles au sens de la loi informatique et libertés.

La formation restreinte considère par conséquent que la collecte litigieuse a été opérée en contradiction avec l’article 1er de la loi du 6 janvier 1978 modifiée, et que des atteintes à la vie privée, au secret des correspondances et à la liberté d’expression ont été commises.

Cependant, elle estime que l’engagement pris par la société de cesser la collecte, l’enregistrement et la conservation de données issues de bornes Wi-Fi est effectivement de nature à avoir fait cesser cette violation.

En outre, bien que l’intégralité du code source du logiciel mis en cause, qui seul permettrait formellement à la CNIL de s’assurer de la cessation du manquement reproché, n’ait pas été fourni à la Commission, la formation restreinte constate que les services de la Commission ont pu établir que la cessation de cette collecte était effective lors des missions de contrôle diligentées auprès de la société.

Elle estime, de ce fait, que ce chef de manquement ne saurait être retenu pour fonder une sanction à l’encontre de la société.

7. Sur le manquement à l’obligation d’effectuer une collecte licite et loyale des données

Aux termes du 1° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, « les données à caractère personnel doivent être collectées et traitées de manière loyale et licite ».

Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société un manquement à l’obligation d’effectuer une collecte loyale et licite des données, lié à la collecte des identifiants des réseaux Wi-Fi (SSID), des adresses MAC des routeurs Wi-Fi ainsi que des données de connexion issues de bornes Wi-Fi, […] effectuée à l’insu des personnes concernées . Le bureau de la Commission a par conséquent enjoint à la société de veiller à ne plus collecter de données à caractère personnel de manière déloyale ou illicite dans le cadre du traitement […].

Dans sa réponse à la mise en demeure, la société indique que bien qu’il ne soit pas établi que X ait collecté des données personnelles de manière déloyale ou illégale dans le cadre du service […] ou de la collecte de données Wi-Fi, [elle confirme] que X a arrêté de collecter toutes données Wi-Fi au moyen de […] et souhaite continuer à collaborer avec les autorités dans ce dossier . La société rappelle en outre avoir pris l’engagement de cesser toute collecte de données Wi-Fi par le biais de ses […].

Le rapporteur devant la formation restreinte maintient que la collecte des données Wi-Fi réalisées par les […], dont des données de contenu, a été opérée de manière déloyale, puisqu’à l’insu des utilisateurs concernés, ceux-ci n’ayant a fortiori pas été informés de leurs droits.

Si la société a indiqué ne plus procéder à la collecte de ces données par le biais des […] à la suite de la mise en demeure, le rapporteur a relevé qu’elle n’a pas pour autant renoncé à utiliser les données ainsi collectées aux fins de fournir ses services de géolocalisation. Attesterait de ce fait la modification de la déclaration effectuée auprès de la CNIL, relative au service […], qui comprend l’ajout aux données collectées des identifiants des réseaux Wi-Fi ainsi que des adresses MAC des routeurs Wi-Fi.

Le rapporteur a ainsi considéré que la société n’apportait pas d’éléments propres à établir l’absence du caractère déloyal et illicite de la collecte de données Wi-Fi dans le cadre du service […], et laissait à tout le moins persister un doute quant à ses intentions s’agissant des adresses MAC et identifiants Wi-Fi déjà collectées.

Pour sa défense, la société maintient qu’elle n’a procédé à aucune collecte illicite et déloyale en ce qui concerne la collecte de données de contenu par les véhicules […]. Elle admet certes une erreur sur ce point, mais soutient n’avoir jamais eu l’intention de collecter les données enregistrées par ces véhicules.

Elle conteste par ailleurs avoir manqué à ses obligations légales en matière d’information des personnes quant à la collecte des adresses MAC et des identifiants SSID. Elle soutient en effet qu’un effort disproportionné lui serait nécessaire pour fournir les informations requises par la loi à chacune des personnes concernées (à supposer que celles-ci soient connues), ce qui l’exonérerait de ses obligations en application de l’article 32-III de la loi informatique et libertés. Cet article prévoit en effet que ces dispositions (relatives à l’information des personnes) ne s’appliquent pas (…) lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.

La formation restreinte retient, sur ce point, que la société a effectivement pris l’engagement de cesser toute collecte de données issues de bornes Wi-Fi, sécurisées ou non sécurisées (adresses MAC, identifiants SSID et contenu de communications) au moyen des véhicules […], et que cet engagement a été pris antérieurement à la mise en demeure.

Toutefois, elle relève que les écritures de la société indiquent qu’elle continuera effectivement à utiliser les adresses MAC et les identifiants SSID des utilisateurs des réseaux Wi-Fi ainsi collectés pour fournir ses services de géolocalisation, dont il est établi qu’elles ont été collectées à l’insu de leurs titulaires.

En outre, elle comprend des explications fournies par la société, lors des contrôles et à l’audience, que l’alimentation de la base […] en données Wi-Fi se fera non plus par le biais des […], mais par celui des terminaux mobiles des utilisateurs de ses services de géolocalisation ( smartphones , ordinateurs portables, etc.). Or elle constate que la société n’informe pas davantage les titulaires de réseaux Wi-Fi dont elle collecte désormais les données par ce biais.

Dans les deux hypothèses, un tel défaut d’information ne saurait être accepté par principe, dès lors que ces données doivent être considérées comme des données à caractère personnel au sens de la loi.

La formation restreinte admet, à cet égard, que l’information individuelle des titulaires des adresses MAC et des identifiants Wi-Fi est effectivement impossible à mettre en œuvre dans de telles circonstances, dès lors qu’aucun lien direct n’existe entre la société et ces personnes, y compris au moment où la société collecte leurs données via les terminaux des utilisateurs de ses services de géolocalisation.

Pour autant, elle estime que la société ne saurait s’exonérer d’une information générale sur la collecte de ces données et sur les droits des personnes à cet égard. A titre de comparaison, elle relève que la société a mis en œuvre de nombreuses mesures d’information générale portant sur la collecte de photographies par les […], que ce soit dans la presse locale ou par la mise en ligne d’information sur le site Internet de la société en .fr, à l’effet de permettre aux personnes de s’opposer à la diffusion des données les concernant, en ligne sur ce même site.

La formation restreinte estime, dès lors, que le caractère déloyal de la collecte des données concernées perdure, au moins en partie, et constitue de ce fait un manquement persistant aux termes de la mise en demeure du 26 mai 2010.

8. Sur l’insuffisance des réponses apportées aux demandes de la Commission

L’article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que « les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche ».

Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société d’avoir fourni des réponses insuffisantes aux demandes de la CNIL, en particulier dans le cadre des contrôles effectués en décembre 2009 et janvier 2010.

La mise en demeure relevait ainsi que le véhicule présenté à la délégation lors du contrôle du 18 janvier 2010 ne comportait pas de disque dur, empêchant tout examen de ce dernier.

Il était également reproché à la société de n’avoir pas fourni à la Commission une copie de l’ensemble des données relatives au contenu issu des bornes Wi-Fi pour la France dans le délai imparti lors du contrôle sur place effectué le 19 mai 2010.

Le bureau de la Commission a par conséquent enjoint à la société de communiquer à la Commission les informations et copies demandées lors du contrôle sur place effectué le 19 mai 2010, telles qu’elles figurent au procès-verbal, en particulier fournir à la CNIL une copie sur support informatique de l’ensemble des données recueillies en France, par le biais des bornes WI-FI, dans le cadre du traitement […]. Elle a par ailleurs demandé à la société de justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté dans le délai imparti.

La société a répondu à la mise en demeure comme suit :

En premier lieu, elle dit avoir remis, lors du contrôle du 4 juin 2010, une copie du rapport d’audit réalisé à sa demande par le cabinet d’audit Z, une copie du dernier disque dur envoyé aux Etats-Unis issue d’une opération de collecte effectuée par un véhicule […] en France ainsi qu’une copie des données relatives au contenu issu des bornes Wi-Fi pour la France, isolée par X.

En second lieu, elle ajoute avoir remis le code source du programme informatique utilisé dans les véhicules […] ayant permis la collecte des données de contenu, en rappelant qu’elle considérait la demande comme visant uniquement le logiciel ayant permis la collecte de données Wi-Fi, et non l’ensemble des logiciels installés dans les véhicules.

En troisième lieu, s’agissant du code source du logiciel utilisé lors de la reprise des opérations de collecte, elle rappelle avoir cessé de collecter des données relatives aux réseaux Wi-Fi au moyen de véhicules […]. Elle indique qu’elle remettra à la CNIL une copie du ou des nouveaux logiciels mis en œuvre, n’incluant pas de fonctionnalités de collecte de données Wi-Fi dès que ces éléments seront disponibles.

Pour autant, le rapporteur estime que la société a répondu de manière insatisfaisante aux demandes de la CNIL.

Il reproche à celle-ci une particulière légèreté, sinon une réticence à informer la Commission, lors des contrôles diligentés par la CNIL le 11 décembre 2009 et le 18 janvier 2010, du fait qu’outre des photographies et des données GPS, les véhicules […] enregistraient également des adresses MAC et des identifiants SSID.

Il relève également que la société a dévoilé l’enregistrement des données de contenu non par un courrier spécifique, mais par la voie d’un communiqué de presse, publié le 14 mai 2010, alors que la CNIL l’avait interrogée par trois fois entre décembre 2009 et février 2010 sur la collecte opérée.

Sur le fond, le rapporteur reproche encore à la société sa réticence à communiquer à la Commission le code source mis en œuvre au sein des véhicules. Selon lui, la société se serait réfugiée derrière une interprétation restrictive des demandes de la Commission pour ne lui communiquer que le code source du logiciel […] ayant permis la collecte des données Wi-Fi, celui-ci ne répondant d’aucune manière à la demande exprimée dans la mise en demeure, qui visait spécifiquement la partie du code ayant conduit à collecter les données relatives au contenu issues des bornes Wi-Fi.

La communication tardive de nouveaux éléments de code source, par un courriel du 12 juillet 2010, ne ferait pas davantage droit à la demande visée par la mise en demeure, ces derniers éléments ne permettant pas de déterminer le fonctionnement du logiciel de collecte de données de contenu issues de bornes Wi-Fi, dès lors qu’il se limite au code du lancement de l’outil de collecte des données Wi-Fi.

Selon le rapporteur, la société s’est donc abstenue de répondre à la mise en demeure et se serait même contentée de procédés dilatoires, en fournissant comme seul élément d’analyse de son logiciel de collecte un rapport d’audit établi à sa demande.

La société s’est de nouveau défendue sur ce point, dans ses écritures et à l’audience.

Elle soutient que le véhicule contrôlé le 18 janvier 2010 ne comportait aucun disque dur en raison d’une incompréhension sur ce point des intentions des agents de la CNIL. Elle indique que la présence d’antennes Wi-Fi sur le toit du véhicule démontre bien que la société n’a, aucun moment, cherché à cacher à la CNIL que celui-ci collectait des adresses MAC et des identifiants SSID. Elle soutient que ces faits sont antérieurs à la mise en demeure et ne sauraient dès lors justifier l’adoption d’une sanction pécuniaire sur le fondement des textes en vigueur.

Par ailleurs, concernant le code source ayant permis la collecte de données Wi-Fi, la société conteste le fait que la loi permette à la CNIL de demander la communication de codes-sources sur le fondement de son article 44-III : si celui-ci prévoit que les agents de la CNIL peuvent accéder aux programmes informatiques et aux données dans le cadre de missions de contrôles, ainsi qu’en demander la transcription, il ne fait en revanche pas référence aux codes sources de logiciels. Ce ne serait qu’en raison de sa volonté de coopérer avec la CNIL que la société aurait, malgré tout, décidé de communiquer celui-ci. Par ailleurs, la société estime que la partie du code fournie aux agents de la CNIL leur permettait de procéder aux vérifications qu’ils souhaitaient.

Enfin, concernant le code source utilisé après la remise en circulation des […], la société soutient que malgré les incidents soulevés par le rapporteur, ceux-ci n’ont pas empêché les agents de la CNIL de constater que les antennes Wi-Fi avaient été retirées des véhicules, et que, par conséquent, ceux-ci ne collecteraient plus aucune donnée provenant de bornes Wi-Fi. La société n’aurait par ailleurs remis ses véhicules en circulation qu’après en avoir ôté les dispositifs d’enregistrement de données Wi-Fi.

La formation restreinte retient, sur ce point, les éléments suivants :

Si la collecte contestée de données Wi-Fi peut être imputée à tout le moins à une négligence caractérisée dans l’élaboration d’un programme aussi massif de collecte de données, d’autant plus critiquable que celui-ci émane d’un acteur dominant du marché, il ne ressort pas des faits de l’affaire que les réactions de la société face aux exigences formulées par la CNIL pendant l’instruction revêtent la même qualification. Dès lors, la formation restreinte ne retient pas la mauvaise foi à l’encontre de la société pour qualifier ses relations avec la CNIL dans cette affaire.

En revanche, il est établi par ailleurs que tant l’ancien que le nouveau codes sources du logiciel de collecte n’ont pas été communiqués à la CNIL, puisque seuls des éléments partiels du code source initial, et aucun élément du nouveau code source ne lui ont été fournis.

En ce qui concerne l’ancien code source :