La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜÉ, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ( » RGPD « ) ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-267C du 20 octobre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 décembre 2021 ;

Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié à la société X le 7 juillet 2022 ;

Vu les observations écrites versées par la société X le 8 août 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 15 septembre 2022 :

– Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants de la société X :

– […]

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » X  » ou  » la société « ) est une société par actions simplifiée, immatriculée au registre du commerce et des sociétés de Lyon sous le numéro …, dont le siège social est situé […] La société exploite plusieurs sites web afin de proposer à ses clients des consultations de voyance par chat ou par téléphone, dont le site web […]. La société emploie six salariés.

2. En 2019, le chiffre d’affaires net de la société s’élevait à […] euros et son résultat net était de […] euros. En 2020, son chiffre d’affaires net s’élevait à […] euros avec un résultat net déficitaire de […] euros.

3. Le 1er octobre 2020, un article de presse, paru sur le site web du média Numerama, a révélé l’existence d’une violation de données à caractère personnel concernant les données conservées sur le serveur de X. Selon cet article, la base de données de la société ne faisant pas l’objet de mesures de sécurité particulières, celle-ci était librement accessible sur Internet jusqu’au 23 juillet 2020. De nombreuses données, dont des données d’identification et des données de contact, auraient ainsi été exposées.

4. Le 21 janvier 2021, une délégation de contrôle de la Commission nationale de l’informatique et des libertés (ci-après  » CNIL  » ou  » Commission « ) a procédé à un contrôle sur pièces en adressant un questionnaire à la société, auquel cette dernière a répondu par un courrier reçu le 25 mars 2021.

5. Un contrôle en ligne a également été effectué le 15 avril 2021 sur le site web […], édité par la société. Le procès-verbal n° 2020-267/1, dressé à l’issue du contrôle, a été notifié à l’organisme le 26 avril 2021. La société a fourni à la délégation des éléments complémentaires par courriels des 17 mai et 18 juin 2021.

6. Un contrôle sur place a été effectué le 15 juillet 2021. Le procès-verbal n° 2020-267/2, dressé à l’issue du contrôle, a été notifié à l’organisme le 21 juillet 2021. Par la suite, la société a fourni à la délégation des éléments complémentaires par courriels des 26 août, 20 septembre, 19 octobre et 3 novembre 2021.

7. La base de données de X comporte les adresses électroniques de […] clients et […] prospects, comme cela ressort des observations en réponse de la société.

8. Conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par X, résultant de ce que son établissement unique se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, la Belgique, le Luxembourg, l’Italie, l’Espagne, le Portugal, la Bulgarie, Berlin et l’Irlande se sont déclarées concernées par le traitement.

9. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 23 décembre 2021, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » loi Informatique et Libertés « ).

10. Le 7 juillet 2022, la rapporteure a fait notifier à la société X un rapport détaillant les manquements aux dispositions du RGPD et de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que la décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

11. Le 2 août 2022, X a sollicité un délai pour répondre au rapport de la rapporteure. Par courrier du 4 août 2022, le président de la formation restreinte a avisé la société de sa décision de ne pas faire droit à cette demande.

12. La société a répondu au rapport de sanction par des observations écrites en date du 8 août 2022.

13. Par courrier du 16 août 2022, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.

14. Le 22 août 2022, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 15 septembre 2022.

15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

16. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 4 mai 2023 aux huit autorités de contrôle européennes qui se sont déclarées concernées.

17. Au 1er juin 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.

A. Sur le manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées en application de l’article 5-1-c du RGPD

18. L’article 5, paragraphe 1, c) du RGPD dispose que les données à caractère personnel doivent être  » adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « .

19. En premier lieu, la rapporteure relève que la société enregistre systématiquement l’intégralité des appels téléphoniques passés entre les téléopérateurs et les prospects, ainsi qu’entre les voyants et les clients, à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires. La rapporteure considère que cela conduit à collecter des données non limitées à ce qui est nécessaire au regard des finalités poursuivies.

20. En défense, la société indique avoir cessé de proposer à ses clients des consultations de voyance par téléphone.

21. Afin de justifier les faits passés, elle indique que ces enregistrements lui permettaient de contrôler les propos tenus par les voyants lors des consultations, notamment pour apprécier leurs compétences. Selon elle, l’enregistrement d’un échantillon des consultations ne permettrait pas de répondre à ses besoins.

22. La formation restreinte prend note de l’arrêt des consultations de voyance par téléphone, ce qui implique l’arrêt des enregistrements des appels téléphoniques passés entre les téléopérateurs et les prospects et ceux passés entre les voyants et les clients.

23. Toutefois, la formation restreinte relève qu’au jour des contrôles, la société enregistrait systématiquement et intégralement ces appels téléphoniques à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires.

24. La formation restreinte note que la société ne donne pas de justification, pour le passé, concernant la nécessité d’enregistrer systématiquement l’intégralité des conversations téléphoniques, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, à des fins de contrôle qualité, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires.

25. Or, un responsable de traitement ne peut pas mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés.

26. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de contrôle de la qualité du service, la formation restreinte considère que la finalité visant à contrôler la qualité du service fourni par les téléopérateurs et les voyants peut être atteinte par un moyen moins intrusif.

27. À cet égard, elle relève que la mise en place d’un enregistrement ponctuel et aléatoire de seulement quelques conversations téléphoniques permet à la personne chargée du suivi du contrôle qualité de disposer des éléments nécessaires à l’évaluation de la qualité des services proposés par la société.

28. Dès lors que le contrôle de la qualité du service peut être réalisé par échantillonnage, la formation restreinte considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, est excessive au regard de la finalité poursuivie.

29. La formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui procédait à l’enregistrement des conversations téléphoniques reçus par les salariés du service clients d’une société à des fins de formation que  » la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. (…) Si le nombre d’enregistrements peut varier en fonction de chaque salarié et des circonstances, en particulier des besoins de formation de celui-ci, (…) la société ne démontre pas avoir mis en place, pour le passé et l’avenir, un enregistrement des conversations téléphoniques des salariés limité à ce qui est nécessaire au regard de la finalité poursuivie. Or, un responsable de traitement ne peut mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué « .

30. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de de preuve de la souscription du contrat, la formation restreinte relève qu’en l’espèce, les prospects communiquent leurs numéros de téléphone à la société via l’un des sites web qu’elle édite afin d’obtenir des renseignements sur les prestations de voyance proposées. À la suite de cette demande d’information, les téléconseillers de la société appellent les prospects afin de leur fournir ces informations et le cas échéant, fixer un rendez-vous avec un voyant.

31. La formation restreinte considère qu’un responsable du traitement qui souhaite enregistrer des conversations téléphoniques à des fins probatoires doit démontrer qu’il ne dispose pas d’autres moyens moins intrusifs pour prouver que le contrat conclu à distance a bien a été conclu avec la personne concernée.

32. La formation restreinte considère qu’en l’espèce, l’existence du contrat conclu à distance peut être prouvée par un autre moyen moins intrusif.

33. En effet, l’article L.221-16 du code de la consommation prévoit que, lorsque le professionnel contacte un consommateur par téléphone en vue de conclure un contrat portant sur la vente d’un bien ou sur la fourniture d’un service, ce dernier n’est engagé par cette offre qu’après l’avoir signée et acceptée sur un support durable.

34. La formation restreinte considère donc que, dès lors que la preuve de la souscription d’un contrat conclu à distance, à la suite d’un démarchage téléphonique, peut être apportée par la confirmation écrite de l’offre, l’enregistrement des conversations téléphoniques, passées entre les téléopérateurs et les prospects, à des fins de preuve de la formation du contrat, n’apparaît pas nécessaire.

35. Par ailleurs, la formation restreinte note qu’aucun contrat n’est conclu lors des appels téléphoniques passés entre les voyants et les clients, de sorte que l’enregistrement de ces conversations n’est pas justifié à des fins de preuve de la souscription d’un contrat.

36. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques dans la perspective de réquisitions judiciaires, la formation restreinte relève que s’il est nécessaire que les responsables du traitement fassent droit aux réquisitions judiciaires qu’ils reçoivent concernant les données qu’ils traitent pour leurs propres besoins, ils n’ont en revanche pas à organiser, à l’avance, la collecte de données à caractère personnel dans la perspective de répondre à une potentielle réquisition judiciaire.

37. Dès lors, la formation restreinte considère que l’enregistrement des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, afin de répondre à des réquisitions judiciaires, n’est pas justifié.

38. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué. Elle relève que la société a cessé de proposer à ses clients des consultations par téléphone, ce qui implique l’arrêt des enregistrements téléphoniques à tout le moins entre les voyants et les clients, mais cela ne saurait exonérer la société de sa responsabilité pour le passé.

39. En second lieu, la rapporteure relève que lors des appels téléphoniques entre les téléopérateurs et les clients, ces derniers sont invités à communiquer leurs coordonnées bancaires. Elle considère que l’enregistrement sonore de la partie de la conversation relative à la collecte des données bancaires des clients ne saurait être justifié à des fins de suivi de la démarche qualité ou à des fins probatoires.

40. En défense, la société justifie, pour le passé, la collecte des données bancaires de ses clients par la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude.

41. Elle indique également que la mise en place d’une mesure permettant d’interrompre un enregistrement lors de la communication des données bancaires suppose le développement d’outils complexes faisant peser sur elle un coût financier et humain particulièrement lourd.

42. La formation restreinte relève qu’au jour des contrôles, la société enregistrait les appels passés entre les téléopérateurs et les prospects à des fins de suivi de la démarche qualité ou à des fins probatoires (souscription du contrat et réquisitions judiciaires). Lors de ces appels téléphoniques, les téléopérateurs collectaient les données bancaires des prospects (numéro de carte bancaire, date d’expiration et cryptogramme) et leur indiquaient que cette collecte leur permettait de  » participer à la sécurisation de la ligne pour un euro symbolique seulement « .

43. La formation restreinte relève que la société n’a pas mis en place de mesure spécifique permettant d’interrompre l’enregistrement de la conversation téléphonique lors de la collecte des données bancaires des clients. Or, elle considère que l’enregistrement sonore des données bancaires des clients n’est pas utile pour la société dans le cadre du contrôle qualité, à des fins probatoires ou de sécurité.

44. À titre d’exemple, la formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui, lors de l’enregistrement de conversations téléphoniques à des fins de formation, enregistrait les coordonnées bancaires des clients qui passaient des commandes par téléphone que  » les coordonnées bancaires sont des données qui compte tenu de leur nature et des risques de fraude associés doivent faire l’objet d’une protection renforcée de la part des responsables de traitement. (…) leur utilisation par des tiers non autorisés, dans le cadre de paiement frauduleux, est susceptible d’entraîner un préjudice pour les personnes concernées. La formation restreinte constate que la société enregistrait et conservait des données dont elle n’avait aucun usage au regard de la finalité poursuivie par le traitement en cause, à savoir la formation des salariés. Elle considère donc, au vu de ces éléments qu’un manquement à l’article 5-1-c) du RGPD est constitué « .

45. Par ailleurs, la formation restreinte considère que l’enregistrement sonore des données bancaires n’est pas non plus pertinent au regard des finalités invoquées par la société lors de la procédure : la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude.

46. Par conséquence, elle considère, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué, dès lors que la société collecte des données excessives au regard des finalités poursuivies.

B. Sur le manquement relatif à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement en application de l’article 5-1-e du RGPD

47. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être  » conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) « .

48. La rapporteure relève, par une lecture combinée de la politique de durées de conservation et de la politique de confidentialité de la société, que la durée de conservation des données des clients, à des fins de gestion de la relation commerciale et de suivi de la clientèle, est fixée à trois ans à compter de la fin de la relation commerciale.

49. Elle observe que, lors de la procédure de contrôle, la société a pourtant indiqué que figurent dans sa base de données, en base active, des données à caractère personnel de […] clients n’ayant pas eu de consultation avec un voyant depuis plus de trois ans, dont au moins […] clients n’ont pas eu de consultation avec un voyant depuis plus de cinq ans.

50. Elle fait grief à la société de conserver les données de ses clients pour une durée excessive.

51. En défense, la société conteste la volumétrie visée par la rapporteure. Elle considère qu’elle comporte des doublons. Elle indique, à titre d’exemple, qu’une personne qui recourt à une consultation par chat pour dix minutes gratuites, puis une consultation par chat payante, et enfin une consultation par téléphone, est comptabilisée trois fois dans la base de données.

52. Par ailleurs, la société reproche à la rapporteure de se référer à la dernière consultation d’un client avec un voyant pour apprécier la durée de conservation des données, sans prendre en compte le fait qu’un client peut consommer son crédit sans limite de temps.

53. En outre, elle justifie la durée de conservation des données de ses clients pendant trois ans à compter de la fin de la relation commerciale par le fait qu’un client peut recontacter un voyant plusieurs années après la dernière consultation et qu’il est nécessaire pour le voyant de pouvoir reconnaître un client qui n’aurait pas recouru à ses services depuis longtemps.

54. Elle indique qu’après la notification du rapport, elle a mis en place un mécanisme de purge afin de ne conserver les données de ses clients qu’un an à compter de la fin de la relation contractuelle.

55. La formation restreinte relève que, lors du contrôle sur pièces, la société conservait en base active les données personnelles de […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients n’ayant pas eu de consultation depuis plus de cinq ans.

56. La formation restreinte note que, si cette volumétrie comporte des doublons, selon la société, cette dernière n’a pour autant pas communiqué à la CNIL le nombre de clients uniques dont les données étaient conservées depuis plus de trois et cinq ans, depuis leur dernier rendez-vous.

57. Elle note, par ailleurs, que la société justifie cette conservation des données, notamment par le fait que les clients ont la possibilité de consommer leur crédit sans limite de temps. Pour autant, la société n’a pas indiqué à la CNIL, lors de la procédure, que les […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients depuis plus de cinq ans, correspondent bien à des clients qui bénéficient encore d’un crédit.

58. Enfin, la formation restreinte relève que la société conservait, au jour des contrôles, les données de ses clients pendant trois ans à compter de la fin de la relation commerciale et, au jour de la séance de la formation restreinte, pendant un an à compter de la fin de la relation commerciale. La formation restreinte note que la société justifie cette durée de conservation par le besoin de réidentifier un client qui n’a pas recouru à ses services depuis longtemps afin de lui assurer un suivi personnalisé le jour où il souhaite bénéficier d’une nouvelle consultation.

59. La formation restreinte relève que la société n’a pas indiqué à la CNIL, lors de la procédure, que ces données sont conservées en archivage intermédiaire.

60. La formation restreinte considère qu’à l’issue de la relation commerciale, la conservation des données à caractère personnel des clients en base active, pour la finalité susvisée, n’est pas justifiée. En revanche, elle considère qu’à l’issue de cette durée, certaines données des clients peuvent être conservées pour cette finalité en archivage intermédiaire.

61. À titre illustratif, dans son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales du 23 septembre 2021, la CNIL indique que  » les données nécessaires à l’exécution des contrats sont conservées pendant la durée de la relation contractuelle. Au terme du contrat, elles doivent être conservées en archivage intermédiaire et pour un délai raisonnable, si le responsable du traitement en a l’obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou s’il souhaite se constituer une preuve en cas de contentieux, et dans la limite du délai de prescription applicable. Il conviendra de prévoir à cet effet une base de données d’archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver. (…)  »

62. Par conséquent, la formation restreinte considère que ces faits constituent un manquement aux dispositions de l’article 5, paragraphe 1, e) du RGPD.

C. Sur le manquement relatif à l’obligation de traiter les données de façon licite en application de l’article 6 du RGPD

63. Selon l’article 6 du RGPD,  » le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.  »

64. La rapporteure note que dans le cadre des consultations par chat, la société conserve les données bancaires de ses clients, au-delà du temps strictement nécessaire à la réalisation de la transaction, pour faciliter les paiements ultérieurs, et ce, sans recueillir leur consentement préalable, par exemple sur le formulaire de collecte de données.

65. En défense, la société considère que la conservation des données bancaires de ses clients a pour finalité l’achat de crédits et repose sur le contrat qui la lie à ses clients. Elle considère également que la conservation de ces données à des fins de lutte contre la fraude repose sur son intérêt légitime.

66. La formation restreinte rappelle que la base légale du traitement des données bancaires peut varier notamment en fonction de la finalité poursuivie.

67. En l’espèce, en premier lieu, s’agissant de la finalité relative à la lutte contre la fraude, la formation restreinte considère que la base légale de la conservation des données bancaires est, conformément à ce que soutient la société, l’intérêt légitime de celle-ci, ce qui n’est pas contesté par la rapporteure.

68. À cet égard, la Commission indique, dans sa délibération n° 2018-303 du 6 septembre 2018 portant adoption d’une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance, que  » la conservation des données relatives à la carte de paiement au-delà de la réalisation d’une transaction à des fins de lutte contre la fraude à la carte de paiement ne rentre pas dans le cadre du contrat. Elle considère en effet que ce traitement relève de l’intérêt légitime du responsable de traitement, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés des personnes en application de l’article 6-1-f du RGPD, en garantissant notamment le respect des principes de transparence et l’effectivité de l’exercice de leurs droits par les personnes concernées « .

69. S’agissant en second lieu de la finalité relative au re-créditage, la formation restreinte considère que les données bancaires des clients sont conservées pour offrir un service supplémentaire aux clients, en l’occurrence ne pas avoir à ressaisir leur numéro de carte lors de l’achat de crédit supplémentaire, ce qui va au-delà de l’exécution du contrat conclu.

70. Dès lors, elle considère que le traitement des données bancaires des clients à cette fin ne peut pas reposer sur le contrat conclu entre le client et la société et nécessite que soit recueilli le consentement préalable des clients.

71. La formation restreinte rappelle, à titre illustratif, que la Commission estime, dans sa délibération susvisée, qu’à des fins de paiement unique,  » le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d’une transaction dans le cadre de l’exécution du contrat conclu par la personne concernée conformément à l’article 6-1-b du RGPD (exécution contractuelle). Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n’ont donc pas vocation à être conservées au-delà du temps de transaction commerciale « .

72. Toujours à titre illustratif, dans la délibération susvisée, la Commission indique que  » la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs, et éventuellement pouvoir procéder à un achat en  » un clic  » sur le site du commerçant, va au-delà de l’exécution du contrat conclu. Elle retient que cette faculté constitue une option indépendante de l’acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu’un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique, éclairé et univoque des personnes, en application de l’article 6-1-a du RGPD « .

[… passage central omis : décision trop longue pour une cellule …]

175. L’article 82 de la loi Informatique et Libertés dispose que  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer […] « .

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle (…) Ces dispositions ne sont toutefois pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

176. Ces dispositions transposent en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite  » directive e-Privacy « ).

177. En premier lieu, la rapporteure note que la délégation a constaté, lors du contrôle en ligne du 15 avril 2021, l’absence de bandeau ou d’interface d’information et consentement aux cookies lors de l’accès au site web […] alors que certains cookies étaient déposés sur les terminaux des utilisateurs.

178. Elle relève que, lors du contrôle sur place du 15 juillet 2021, la délégation a constaté la présence d’un bandeau cookies lors de l’accès à ce site web.

179. Elle considère toutefois que l’information délivrée n’est pas satisfaisante et ne permet pas d’éclairer le consentement de la personne concernée puisqu’aucune information n’est fournie concernant la manière de refuser les traceurs, les conséquences qui s’attachent à un refus et l’existence du droit de retirer son consentement.

180. En défense, la société fait valoir que, depuis la notification du rapport, elle a édité un bandeau cookies conforme sur son site web.

181. La formation restreinte rappelle qu’il résulte des dispositions combinées des articles 82 de la loi Informatique et Libertés et 4 du RGPD que les traceurs nécessitant un recueil du consentement ne peuvent, sous réserve des exceptions prévues par ces dispositions, être utilisés en écriture ou en lecture qu’à condition que l’utilisateur ait manifesté à cette fin son consentement, de manière libre, spécifique, univoque et éclairée, par une action positive.

182. La formation restreinte considère que la validité du consentement est donc notamment liée à la qualité de l’information reçue.

183. À titre d’éclairage, la formation restreinte indique que dans les lignes directrices relatives à l’application de l’article 82 de la loi Informatique et Libertés aux opérations de lecture et écriture dans le terminal d’un utilisateur, la Commission précise, s’agissant du caractère éclairé du consentement, qu’  » a minima, la fourniture des informations suivantes aux utilisateurs, préalablement au recueil de leur consentement, est nécessaire pour assurer le caractère éclairé de ce dernier :

– l’identité du ou des responsables de traitement des opérations de lecture ou écriture ;

– la finalité des opérations de lecture ou écriture des données ;

– la manière d’accepter ou de refuser les traceurs ;

– les conséquences qui s’attachent à un refus ou une acceptation des traceurs ;

– l’existence du droit de retirer son consentement « .

184. La Commission précise, dans sa recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs du 17 septembre 2020, qu’  » en pratique, afin de concilier les exigences de clarté et de concision des informations avec la nécessité d’identifier l’ensemble des responsables du ou des traitements, les informations spécifiques sur ces entités (identité, lien vers leur politique de traitement des données à caractère personnel), régulièrement mises à jour, peuvent par exemple être fournies à un second niveau d’information. Elles peuvent ainsi être mises à disposition depuis le premier niveau via, par exemple, un lien hypertexte ou un bouton accessible depuis ce niveau « . L’information relative à l’identité du ou des responsables de traitement des opérations de lecture ou d’écriture peut donc être fournie à un second niveau d’information.

185. La formation restreinte relève également que la Commission indique, à titre d’illustration, dans les questions-réponses sur les lignes directrices modificatives et la recommandation  » cookies et autre traceurs  » de la CNIL du 4 novembre 2022 qu’  » afin que le consentement de l’utilisateur soit éclairé, l’ensemble des informations rappelées à l’article 2 des lignes directrices  » cookies et autres traceurs  » doit être disponible au moment de recueillir son choix. Il est recommandé, sur le premier niveau d’information, d’indiquer clairement les finalités des cookies, de permettre à l’utilisateur d’accéder à la liste des responsables du ou des traitements via, par exemple, un lien hypertexte ou un bouton accessible depuis le premier niveau d’information, de l’informer sur la possibilité de retirer le consentement à tout moment et, lorsque c’est pertinent, des conséquences découlant d’un refus des cookies « .

186. La formation restreinte note qu’au jour du contrôle en ligne, le site web […] ne comportait pas de bandeau d’information concernant les cookies déposés sur les terminaux des utilisateurs lors de leur accès au site web. Les utilisateurs n’étaient donc ni informés des opérations réalisées, ni en capacité d’y consentir préalablement, tel qu’exigé par l’article 82 de la loi Informatique et Libertés éclairé par l’article 4 du RGPD.

187. La formation restreinte relève que ce n’est que lors du contrôle sur place, le 15 juillet 2021, que la délégation a constaté, lors de l’accès à ce site web, la présence du bandeau cookies suivant:  » Nous utilisons des cookies et d’autres technologies de suivi pour améliorer votre expérience de navigation sur notre site, pour vous montrer un contenu personnalisé et des publicités ciblées, pour analyser le trafic de notre site et pour comprendre la provenance de nos visiteurs  » comportant les boutons  » J’accepte  » et  » Changer mes préférences « .

188. Elle relève également qu’après avoir cliqué sur le bouton  » Changer mes préférences « , l’utilisateur accède à l’information suivante :  » Vous pouvez modifier vos préférences et refuser l’enregistrement de certains types de cookies sur votre ordinateur lors de la navigation sur notre site. Vous pouvez également supprimer les cookies déjà stockés sur votre ordinateur, mais gardez à l’esprit que leur suppression peut vous empêcher d’utiliser des éléments de notre site web « .

189. La formation restreinte relève que, lors du contrôle sur place, le 15 juillet 2021, le premier niveau d’information fourni aux utilisateurs ne leur permettait pas d’être informés de la possibilité et la manière de refuser les traceurs, ainsi que des conséquences qui s’attachent à un refus, ni du droit de retirer son consentement.

190. La formation restreinte note qu’au jour de la séance de la formation restreinte, lors de l’accès au site web […], le bandeau cookies présent sur le site web comportait la mention suivante et les boutons  » J’accepte « ,  » Je refuse  » et  » Changer mes préférences  » :  » Nous utilisons des cookies et d’autres technologies de suivi pour améliorer votre expérience de navigation sur notre site, pour vous montrer un contenu personnalisé et des publicités ciblées, pour analyser le trafic de notre site et pour comprendre la provenance de nos visiteurs « .

191. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 82 de la loi Informatique et Libertés, dès lors qu’au moment du contrôle en ligne et jusqu’à la modification du bandeau cookies, lors de l’accès au site web […], les utilisateurs n’étaient pas informés de l’existence d’opérations permettant l’accès ou l’inscription d’informations dans leur terminal, conformément à l’article 82 de la loi Informatique et Libertés et l’article 4 du RGPD et donc en mesure d’y consentir de manière éclairée.

192. En deuxième lieu, la rapporteure relève que la délégation a constaté, lors du contrôle en ligne du 15 avril 2021, que trois cookies, soumis au recueil préalable du consentement des utilisateurs, sont déposés sur les terminaux des utilisateurs dès leur accès au site web […], avant toute action de sa part, sans que leur consentement soit préalablement recueilli.

193. En défense, la société fait valoir que, depuis la notification du rapport, aucun cookie non indispensable au fonctionnement du site n’est déposé sur le terminal de l’utilisateur.

194. La formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

195. S’agissant des traceurs de mesure d’audience exemptés du recueil du consentement, la formation restreinte relève, à titre illustratif, que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que  » ces mesures sont dans de nombreux cas indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. En conséquence, la Commission considère que les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse de contenus consultés, etc.) sont strictement nécessaires au fonctionnement et aux opérations d’administration courante d’un site web (…) Afin de se limiter à ce qui est strictement nécessaire à la fourniture du service, la Commission souligne que ces traceurs doivent avoir une finalité strictement limitée à la seule mesure de l’audience sur le site ou l’application pour le compte exclusif de l’éditeur « .

196. S’agissant des traceurs à multi-finalités, la formation restreinte relève, toujours à titre illustratif, que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que  » l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées, dans les conditions rappelées par les présentes lignes directrices. À titre d’exemple, dans le cas d’un service offert via une plate-forme nécessitant l’authentification des usagers ( » univers logué « ), l’éditeur du service pourra utiliser un cookie pour authentifier les utilisateurs sans demander leur consentement (car ce cookie est strictement nécessaire à la fourniture du service de communication en ligne). En revanche, il ne pourra utiliser ce même cookie pour des finalités publicitaires que si ces derniers ont effectivement consenti préalablement à cette finalité spécifique « .

197. La formation restreinte considère qu’afin de déterminer si l’inscription d’un cookie multi-finalités sur le terminal des utilisateurs nécessite le recueil préalable de leur consentement, il convient de déterminer si parmi les finalités, au moins l’une d’entre elles nécessite le recueil préalable du consentement.

198. En l’espèce, la formation restreinte note que la société procède au dépôt et à la lecture des cookies suivants sur les terminaux des utilisateurs, dès leur accès au site web […], avant toute action de leur part, sans recueil préalable de leur consentement : le cookies  » test_cookie « ,  » .ga  » et  » .gid « .

199. S’agissant du cookie  » test_cookie « , la formation restreinte relève qu’il poursuit une finalité publicitaire. Dès lors, il ne relève d’aucune des exceptions définies à l’article 82 de la loi Informatique et Libertés et ne peut être déposé sur le terminal de l’utilisateur sans recueil préalable de son consentement.

200. S’agissant des cookies  » .ga  » et  » .gid « , la formation restreinte note qu’ils poursuivent plusieurs finalités, à savoir une finalité relative au suivi et à l’analyse de site web […] et une finalité propre à Google concernant le maintien et la protection du service Analytics. Dès lors, ces cookies n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture du service. Par conséquent, ils ne relèvent d’aucune des exceptions définies à l’article 82 de la loi Informatique et Libertés et ne peuvent être déposés sur le terminal de l’utilisateur sans recueil préalable de son consentement.

201. La formation restreinte considère donc que le dépôt et la lecture de ces cookies sur le terminal de l’utilisateur nécessitent que l’utilisateur donne son consentement préalable, dans les conditions prévues par l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.

202. La formation restreinte rappelle qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires pour manquement à l’article 82 de la loi Informatique et Libertés concernant le dépôt de cookies dont le recueil préalable du consentement est obligatoire, sur les terminaux des utilisateurs, avant toute action de leur part, sans recueil préalable de leur consentement (notamment délibérations SAN-2022-023 du 19 décembre 2022, SAN-2022-025, SAN-2022-026 et SAN-2022-027 du 29 décembre 2022).

203. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 82 de la loi Informatique et Libertés pour les faits relevés au jour des contrôles, dès lors que des cookies soumis au recueil préalable du consentement étaient déposés sur le terminal des utilisateurs, avant toute action de leur part, sans leur consentement.

204. La formation restreinte relève qu’au cours de la procédure, la société X a indiqué s’être mise en conformité avec les exigences de l’article 82 de la loi Informatique et Libertés puisqu’elle ne dépose plus de cookie non indispensable au fonctionnement du site web […].

205. En troisième lieu, la rapporteure relève que, lors du contrôle sur place du 15 juillet 2021, la délégation de contrôle a constaté que le bandeau cookies présent sur le site web […] ne permettait pas de refuser les cookies aussi simplement que de les accepter.

206. En défense, la société fait valoir que son bandeau cookies comportera prochainement un bouton  » refuser « .

207. La formation restreinte estime que, pour garantir la liberté du consentement, il devrait en l’espèce être aussi facile de refuser les cookies que de les accepter.

208. À titre d’éclairage, la formation restreinte indique que dans les lignes directrices relatives à l’application de l’article 82 de la loi Informatique et Libertés aux opérations de lecture et écriture dans le terminal d’un utilisateur, la Commission précise que  » l’expression du refus de l’utilisateur ne doit donc nécessiter aucune démarche de sa part ou doit pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer son consentement « .

209. La formation restreinte relève que, tel qu’il ressort des constatations effectuées lors du contrôle sur place du 15 juillet 2021, lorsqu’un utilisateur se rendait sur le site web […], il pouvait accepter le dépôt de cookies, soumis au recueil préalable du consentement, en une seule action, en cliquant sur le bouton intitulé  » J’accepte  » figurant sur le bandeau cookies.

210. Elle relève qu’en revanche, pour refuser ces cookies, l’utilisateur devait effectuer pas moins de cinq actions : cliquer sur le bouton  » Changer mes préférences  » afin d’accéder à l’interface de gestion des cookies (premier clic), cliquer sur les onglets  » Cookies de fonctionnalité  » (deuxième clic),  » Cookies de suivi et de performance  » (troisième clic),  » Cookies de ciblage et de publicité  » (quatrième clic) afin d’effectuer un choix sur le dépôt de ces cookies, cliquer sur le bouton  » Sauvegarder mes préférences  » (cinquième clic).

211. La formation restreinte considère qu’il n’était donc pas aussi simple de refuser les cookies que de les accepter et que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton  » Tout accepter « . En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur  » Changer mes préférences  » et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton  » Tout refuser « , mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur Internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.

212. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires pour manquement à l’article 82 de la loi Informatique et Libertés dans des cas où il n’était pas aussi simple pour les utilisateurs de refuser les cookies que de les accepter. Elle a notamment retenu dans des délibérations SAN-2022-023 du 19 décembre 2022 et SAN-2022-027 du 29 décembre 2022 que  » le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton  » Accepter « . En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur  » Plus d’options  » et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton  » Tout refuser « , mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choi