Délibération de la formation restreinte n°SAN-2022-025 du 29 décembre 2022 concernant la société x

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-113C du 17 mai 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à la vérification de la conformité des traitements de données à caractère personnel mis en œuvre dans le cadre de l’utilisation des systèmes d’exploitation […] et […] aux dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 janvier 2022 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 27 juillet 2022 ;

Vu les observations écrites versées par la société […] le 19 septembre 2022 ;

Vu la réponse du rapporteur à ces observations notifiée à la société […] le 19 octobre 2022 ;

Vu les nouvelles observations écrites versées par la société […] le 21 novembre 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte du 12 décembre 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte :

– Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Le groupe […] (la société […] et ses filiales, collectivement le  » groupe […] « ) conçoit, fabrique et commercialise des dispositifs de communication et de média mobiles, des ordinateurs personnels et vend une gamme de logiciels, services et périphériques, solutions réseau, contenus numériques et applications tierces en relation avec ces produits.

2. Les produits du groupe […], qui incluent notamment […] (téléphone mobile multifonctions), sont fournis chacun avec un système d’exploitation spécifique pré-installé conçu au sein du groupe […] ([…]).

3. Le groupe […] vend et délivre ses contenus numériques et ses applications à travers ses magasins d’applications en ligne qui sont […].

4. La société […] détient, en règle générale, directement ou indirectement au travers d’entités intermédiaires, des participations dans toutes les filiales du groupe. Il s’agit notamment des sociétés […] (ci-après la société  » […] « ), […], […] et […] (ci-après la société  » […] « ).

5. La société […] est située à […] et emploie environ […] salariés. Elle se présente comme étant l’entité responsable des ventes et de la distribution des produits du groupe […] en Europe. Elle se considère également comme responsable de traitement des données à caractère personnel en lien avec l’activité des plateformes de publicité du groupe […] dans l’Espace économique européen.

6. Pour l’année 2021, la société […] a réalisé un chiffre d’affaires d’environ […] dollars, soit environ […] euros […] (selon le taux de change actuel).

7. La société […] est située […] et emploie environ […] salariés. Elle ne vend ni ne distribue de produits en France. Son rôle est de soutenir les ventes et le marketing des produits commercialisés par la société […] auprès des partenaires de distribution sur le marché français, en vertu d’un  » contrat de service d’aide à la vente et de marketing  » en vigueur depuis le 1er octobre 2018.

8. La société […] est située […]. Son rôle est de vendre et de distribuer en France des produits du groupe […].

9. La société […], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([…]), dont le siège social est situé […].

10. La société […], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([…]), dont le siège social est situé […].

11. Le 10 mars 2021, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie par l’association […] d’une plainte à l’encontre d’[…]. La plainte concerne les traitements mis en œuvre par le groupe […] au travers de ses systèmes d’exploitation […] et […]. Il est notamment indiqué dans cette plainte que le paramètre de confidentialité  » Publicités personnalisées  » présent dans les réglages des appareils commercialisés par le groupe […] et fonctionnant avec les systèmes d’exploitation […] et […] est activé par défaut, ce qui ne permet pas aux utilisateurs de consentir valablement aux traitements de ciblage publicitaire.

12. Deux missions de contrôle en ligne sur des appareils équipés du système d’exploitation […] et […] ont été effectuées les 8 et 16 juin 2021.

13. Les procès-verbaux n° 2021-113/1 et 2021-113/2, dressés par la délégation le jour des contrôles, ont été notifiés aux sociétés […] et […] le 24 juin 2021. À cette occasion, des demandes de complément d’information leur ont été adressées. La société […] y a répondu par courriels des 5 et 12 juillet 2021. En revanche, par courriels des 30 juin et 8 juillet 2021, la société […] a indiqué ne pas être en mesure de répondre aux demandes de la délégation, ne jouant pas un  » un rôle déterminant dans les traitements faisant l’objet du contrôle « .

14. Un contrôle sur pièces a également été effectué auprès des sociétés […], […] et […] le 13 juillet 2021. Ces sociétés ont communiqué leur réponse à la CNIL, par courriels du 25 août 2021. Par courriels du 31 août 2021, les sociétés […] et […] ont complété ces réponses en transmettant, chacune pour ce qui la concerne, le registre des traitements mis en œuvre. À cette occasion, une demande de complément d’information a été adressée à la société […], qui y a répondu par courriel du 5 octobre 2021.

15. Un contrôle sur place, dans les locaux de la société […], a enfin été effectué le 13 octobre 2021 afin qu’elle apporte des précisions sur ses relations avec la société […], sur l’activité des salariés occupant la fonction de […].

16. Le procès-verbal n° 2021-113/3, dressé par la délégation le jour du contrôle, a été notifié aux sociétés […] et […], respectivement les 19 octobre et 14 décembre 2021. À cette occasion, une demande de complément d’information a été adressée à la société […], qui y a répondu par courriel du 25 octobre 2021.

17. Une demande de complément d’information a été adressée à la société […] par courrier du 15 novembre 2021, qui y a répondu par courriels des 17 novembre et 3 décembre 2021.

18. Par courriel du 7 décembre 2021, la CNIL a adressé une nouvelle demande de complément à la société […], qui y a répondu par courriel du 22 décembre 2021.

19. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 10 janvier 2022, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

20. Par courriel du 18 février 2022, la société […] a sollicité une audition afin d’exposer au rapporteur le contexte dans lequel s’inscrit la plainte déposée par l’association […] et de lui faire part d’informations relatives au cadre dans lequel s’effectuent les opérations techniques réalisées sur les terminaux mobiles exécutant le système d’exploitation […].

21. Le rapporteur ayant répondu favorablement à cette demande, l’audition de la société a eu lieu le 16 mars 2022 dans les locaux de la CNIL.

22. Le procès-verbal n° CTX-2021-106 dressé à l’issue de cette audition a été notifié par courriel à la société […] le 17 mars 2022. La communication de documents complémentaires a de nouveau été sollicitée par la CNIL.

23. Les 30 mars, 12 avril et 3 juin 2022, la société […] a communiqué les documents sollicités à la CNIL.

24. Le rapporteur a, le 27 juillet 2022, fait notifier à la société un rapport proposant à la formation restreinte de prononcer une amende administrative d’un montant de six millions d’euros au regard du manquement à l’article 82 de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés « ) qu’il estimait constitué en l’espèce. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

25. Le 29 juillet 2022, la société a sollicité un délai complémentaire pour présenter ses observations en réponse.

26. Le 4 août 2022, le président de la formation restreinte a rejeté cette demande.

27. Le 19 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.

28. Le 19 octobre 2022, le rapporteur a adressé sa réponse aux observations de la société.

29. Le 24 octobre 2022, la société a sollicité un délai complémentaire pour présenter ses deuxièmes observations en réponse.

30. Le 26 octobre 2022, la président de la formation restreinte a rejeté cette demande.

31. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.

32. Le 22 novembre 2022, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 8 décembre 2022.

33. Le 23 novembre 2022, la société a sollicité le report de la séance de la formation restreinte.

34. Le 24 novembre 2022, la président de la formation restreinte a fait droit à cette demande en fixant la date de la séance au12 décembre 2022.

35. Le rapporteur et la société […] ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

36. Aux termes de l’article 82 de la loi Informatique et Libertés, qui constitue la transposition en droit interne de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques,  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] « .

37. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et engager une procédure de sanction concernant les opérations d’écriture et / ou de lecture d’informations mis en œuvre par la société […], à savoir sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive  » ePrivacy « .

38. Il relève qu’il ressort des éléments communiqués par la société que ce traitement s’inscrit dans le cadre du service mis en œuvre par la société […], appelé […] à des fins de personnalisation des annonces sur […]. Celui-ci permet aux développeurs de promouvoir leur application auprès des utilisateurs sur […] à partir des seuls critères suivants : le  » type d’appareil  » ([…]), le  » type de clientèle  » (nouveaux, anciens utilisateurs ou tous les utilisateurs existants), le  » profil démographique  » (sexe et tranche d’âge), la  » localisation  » (ville, région ou pays) et la  » planification de campagne  » (date de début et de fin d’une campagne publicitaire).

39. Si le paramètre relatif à la réception de la publicité ciblée dans l'[…] est activé dans les réglages de […], l’utilisateur verra s’afficher en priorité en haut des résultats de sa recherche les applications promues via le service  » […] « . À l’inverse, si ce paramètre n’est pas activé, les utilisateurs recevront tout de même une annonce, qui ne sera alors pas personnalisée mais contextuelle, dépendant de la recherche effectuée.

40. Pour ce faire, le rapporteur relève que la société a mis en place une  » architecture technique  » qui fonctionne en plusieurs temps.

41. La première étape est relative à la collecte de données : lors de la création du compte utilisateur […] (couramment appelé  » […] « ), un identifiant technique nommé  » […]  » (ci-après  » […] « ) est attribué à chaque compte utilisateur. Le […] est créé sur les serveurs de la société. Il est notamment utilisé pour accéder à […] et aux contenus, informations et services associés au compte utilisateur […].

42. Lors de sa navigation sur […], la trace de l’activité de l’utilisateur (c’est-à-dire le fait que l’utilisateur effectue une recherche, télécharge ou achète des applications dans […]), ainsi que les informations qu’il a renseignées dans son compte […] (c’est-à-dire l’année de naissance, le genre et la localisation de l’utilisateur), sont collectées et associées à cet identifiant […] sur les serveurs  » […] » (ci-après  » […] « ).

43. Si le paramètre relatif à la réception de la publicité ciblée dans […] est activé, ces données sont utilisées pour déterminer les segments auxquels un utilisateur sera affecté et, par conséquent, les publicités qu’il recevra. Un  » segment  » est un groupe d’au moins […] utilisateurs partageant des caractéristiques similaires et dont le paramètre relatif à la réception de la publicité ciblée dans […] est activé dans les réglages de […].

44. La deuxième étape est relative à la création d’identifiants spécifiques à la personnalisation des annonces visant à promouvoir les applications mobiles sur […] : afin d’éviter que la distribution et la mesure des contenus publicitaires impliquent l’utilisation de l’identifiant […], l’appareil de l’utilisateur va générer localement sur le terminal de l’utilisateur deux autres identifiants :

• d’une part, le  » […]  » (ci-après le  » […] « ) qui est synchronisé via […] afin de s’assurer que tous les appareils d’un même utilisateur ont le même […] ;

• d’autre part […] qui est spécifique à chaque appareil et ne nécessite pas de synchronisation via […].

45. Enfin, la troisième étape est relative à l’affichage d’annonces personnalisées sur le terminal de l’utilisateur : lorsque l’utilisateur effectue une recherche d’application dans […], son appareil adresse une requête publicitaire aux serveurs  » […]  » contenant le mot recherché, le […], […] et les identifiants relatifs aux segments le concernant, afin qu’ils déterminent la publicité ciblée à diffuser en priorité (l’ensemble de ces éléments étant disponibles en local sur le terminal, le procédé permet d’éviter que les serveurs  » […]  » puissent identifier le compte […] associé à chaque requête). […] peut également servir à comptabiliser le nombre d’ » impressions publicitaires  » réalisées sur un appareil, c’est-à-dire le nombre d’affichages d’une publicité donnée.

46. Au regard de ces éléments, le rapporteur soutient, d’une part, que la société procède à des opérations de lecture et / ou d’écriture sur les terminaux des utilisateurs afin d’authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […] dans le but de personnaliser des annonces destinées à promouvoir les applications mobiles sur […] et, d’autre part, que la société procède à une opération de lecture du […] et de […] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs […]) dans les terminaux des utilisateurs lors des requêtes envoyées aux serveurs  » […] « .

47. En défense, la société soutient que le traitement à des fins de personnalisation des annonces sur […] qu’elle met en œuvre est effectué soit sur ses serveurs et ne fait pas partie du périmètre des investigations de la CNIL, soit sur le terminal des utilisateurs uniquement à des fins de  » d’authentification de manière sécurisée de l’utilisateur  » ou de  » protection de la vie privée  » et constituent donc des opérations relevant des exemptions au recueil du consentement prévues par l’article 82 de la loi Informatique et Libertés.

48. Pour examiner la question de l’existence matérielle d’opérations de lecture ou d’écriture, la formation restreinte estime qu’il faut distinguer entre le […] et le […], […].

a. Sur les opérations de lecture et / ou d’écriture liées au […]

49. En défense, la société reconnaît d’abord que  » des informations sont stockées sur un seul appareil […] pour authentifier de manière sécurisée son utilisateur en relation avec le […] d’un compte […] sur les serveurs […]  » mais précise que ces  » informations ne sont pas […] utilisées à des fins publicitaires « . La société indique ensuite que  » les recherches effectuées dans l’[…] par les utilisateurs sont nécessairement suivies d’opérations permettant à […] de renvoyer les résultats de la recherche sur l’appareil utilisé. Toutefois, les opérations dans ce contexte ne sont pas effectuées pour créer des segments à des fins publicitaires, mais simplement pour fournir le service demandé, c’est-à-dire l’[…] « . La société précise enfin que  » toutes les informations utilisées par […] pour créer les segments décrits dans ses observations n°1 à des fins de personnalisation des publicités sont stockées et conservées sur les serveurs d’[…] « .

50. La formation restreinte relève d’abord qu’il ressort de ces éléments que la société ne conteste pas procéder à des opérations d’écriture d’informations sur les terminaux des utilisateurs afin d’authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […].

51. Ensuite, la formation restreinte relève que si la société soutient qu’aucune information n’est stockée et /ou lue sur le terminal des utilisateurs afin d’affecter des segments à ces derniers, il n’en demeure pas moins qu’elle est en mesure d’identifier l’ensemble des requêtes relatives à des recherches dans […] vers les serveurs […] comme provenant d’un unique terminal associé à un compte précis.

52. La formation restreinte note également en ce sens qu’interrogée sur ledit mécanisme, lors de l’audition du 16 mars 2022, la société a indiqué que  » Lorsque l’utilisateur effectue une recherche dans l'[…] et télécharge des applications ou effectue des transactions au travers de cette plate-forme, son activité est enregistrée par le serveur de […] plate-forme et est associée à son « […] » ([…]), qui est l’identifiant technique relatif au compte utilisateur […] de l’usager (un […] correspond à un […]) « . De plus, lors de cette audition, le […] a été présenté comme  » essentiel pour authentifier en toute sécurité un terminal et un compte […] « . La formation restreinte relève également que le rapporteur a décrit le traitement en cause, en indiquant notamment que  » le […] est l’identifiant technique relatif au compte utilisateur de chaque usager et permet le maintien de la connexion lors de la navigation de l’utilisateur sur différents services […]  » et que ce point n’a pas été contesté par la société. Il ressort de ces éléments que des  » informations « , qui sont ensuite rattachées au […], sont lues sur le terminal de l’utilisateur afin d’associer ses téléchargements et le résultat de ses recherches à son compte […].

53. En conséquence, la formation restreinte considère que la société procède à des opérations de lecture et / ou d’écriture d’informations sur les terminaux des utilisateurs pour authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […].

b. Sur les opérations de lecture du […] et de l’i[…]d dans le terminal de l’utilisateur

54. En défense, la société reconnaît que  » des mesures techniques, telles que des opérations de  » stockage  » et  » d’accès  » au terminal […] ont pour objet de procéder à un remplacement du […] par le […], ce afin d’éviter d’établir un lien entre l’identité de l’utilisateur (le […]) et les segments pertinents applicables à cet utilisateur « , conformément à l’obligation de protection des données dès la conception prévue par l’article 25 du RGPD. S’agissant de l’identifiant […], elle précise néanmoins que cette opération de remplacement a lieu uniquement pour protéger  » la vie privée de ses utilisateurs « . S’agissant de l’identifiant […], elle indique que celui-ci  » ne permet aucun suivi et qu’il est utilisé uniquement comme identifiant de renforcement de la confidentialité, dans le contexte de mesures statistiques « .

55. La formation restreinte rappelle à nouveau que la seule action tendant à accéder à des informations déjà stockées dans un équipement terminal de l’utilisateur situé en France entraîne l’application de l’article 82 de la loi Informatique et Libertés.

56. La formation restreinte considère dès lors que si le remplacement d’informations rattachées au […] par des identifiants tiers ([…] et […], lesquels sont générés directement par le téléphone de l’utilisateur) a pour intérêt d’éviter la diffusion du […] vers les serveurs  » […]  » dédiés à la publicité d’[…] (et donc de rompre le lien entre l’identifiant et l’identité de la personne concernée), il n’en demeure pas moins que ces deux nouveaux identifiants, (ainsi que la liste des segments associés à la personne préalablement écrite dans le terminal par les serveurs […]) sont par la suite lus dans le terminal de l’utilisateur lors de la construction des requêtes envoyées aux serveurs  » […] « . Ils sont en effet utilisés lors des étapes relatives à la sélection et à la distribution des annonces destinées à promouvoir les applications ciblées sur […] ainsi que pour le décompte du nombre d’affichage d’une annonce sur un appareil (mesure des  » impressions publicitaires « ), ce qui implique donc bien un accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur.

57. En conséquence, la formation restreinte considère que la société procède à une opération de lecture du […] et de […] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs […]) dans le terminal de l’utilisateur lors des requêtes envoyées aux serveurs  » […] « .

c. Sur les traitements subséquents et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

58. En défense, la société fait valoir le caractère indissociable des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de […] et de l’utilisation subséquente des données collectées par ces identifiants pour les finalités poursuivies par le responsable de traitement. Ainsi, la société considère que  » le rapporteur ne répond pas à l’analyse […] selon laquelle la CNIL ne serait pas compétente en application du RGPD « . Elle affirme que les opérations visant à affecter des segments à un utilisateur donné ont lieu sur les serveurs […] du groupe […] et non sur le terminal de l’utilisateur,  » à condition qu’un appareil […] se soit authentifié auprès du serveur « . Elle en déduit que  » ce traitement ne peut donc être qu’un  » traitement ultérieur  » effectué après toute opération de  » lecture  » ou de  » stockage  » effectué pour l’authentification « . Dès lors, la société estime que, dans la mesure où la CNIL a engagé une procédure de sanction à son encontre s’agissant uniquement des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de […], elle n’est pas fondée à mobiliser, dans sa démonstration, des éléments liés aux traitements subséquents à ces opérations, en l’occurrence les activités réalisées ultérieurement sur les serveurs […] qui ne  » consistent pas à stocker, ou à accéder, à des informations sur l’appareil de l’utilisateur « . Elle estime que ces traitements ne relèvent pas de l’article 82 de la loi Informatique et Libertés mais du RGPD et que, dans la mesure où son établissement principal est situé en Irlande, la compétence pour engager une telle procédure reviendrait à l’autorité de protection des données irlandaise, autorité cheffe de file en vertu de l’article 56 du RGPD, compétente pour mettre en œuvre le mécanisme de coopération entre autorités de contrôle, dit mécanisme de  » guichet unique « , prévu au chapitre VII de ce règlement.

59. La formation restreinte rappelle tout d’abord, qu’il convient de distinguer, d’une part, les opérations de lecture et d’écriture sur un terminal, qui sont régies par les dispositions de l’article 82 de la loi Informatique et Libertés et pour lesquelles le législateur français a confié à la CNIL une mission de contrôle et notamment le pouvoir de sanctionner toute méconnaissance de cet article et, d’autre part, l’utilisation qui est faite ultérieurement des données produites ou collectées via ces opérations, qui est régie par le RGPD et peut donc, le cas échéant, être soumise au dispositif de  » guichet unique « .

60. Elle rappelle ensuite que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423).

61. La formation restreinte relève enfin que si les écrits du rapporteur contiennent des références aux conséquences de l’écriture et / ou de la lecture d’informations sur les terminaux des utilisateurs afin d’authentifier les informations rattachées au […] d’un compte utilisateur ainsi que celles du […] et de […] pour les internautes, il ne contiennent aucune analyse sur la conformité au RGPD des traitements de données à caractère personnel subséquents effectués à partir des données collectées par le biais de ces traceurs. Seules les opérations de lecture et / ou d’écriture des identifiants […], […] et […] et leurs finalités seront analysées pour déterminer si l’article 82 de la loi Informatique et Libertés est applicable.

62. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive  » ePrivacy « , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

[… passage central omis : décision trop longue pour une cellule …]

100. Ensuite, s’agissant de l’argument selon lequel les étapes relatives au remplacement d’informations rattachées au […] par le […] et […] sont mises en œuvre afin de respecter les principes de protection de la vie privée et qu’en leur absence, la société pourrait relier les informations relatives aux annonces diffusées à l’identité de l’utilisateur, ce qui porterait atteinte à sa vie privée, la formation restreinte souligne que, en effet, l’architecture technique sous tendant le service  » […]  » permet en soi de rendre les traitements ultérieurs liés à la personnalisation des annonces moins intrusifs pour les personnes concernées. Elle considère en revanche que, dès lors que l’article 82 de la loi Informatique et Libertés trouve à s’appliquer, il est nécessaire d’en respecter les conditions, notamment celles liées au recueil du consentement préalable à toute opération de lecture ayant lieu sur l’équipement terminal de l’utilisateur, hors opérations liées au fonctionnement des communications électroniques ou strictement nécessaires à la fourniture d’un service demandé par l’utilisateur. Autrement dit, la formation restreinte considère que le fait de mettre en œuvre d’autres mesures afin de protéger la vie privée dès la conception ne permet pas de s’affranchir de la règle fixée par l’article 82 de la loi Informatique et libertés.

101. Dès lors, elle considère que ces opérations nécessitent que l’utilisateur ait donné son consentement préalable, dans les conditions prévues par les dispositions de l’article 82 de la loi du 6 janvier 1978 modifiée, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.

102. En second lieu, la formation restreinte relève que le consentement des personnes doit être univoque et qu’il ressort de la décision  » Planet 49  » du 1er octobre 2019 de la CJUE que l’utilisation de cases pré-cochées ne peut être considérée comme un acte positif clair visant à donner son consentement (CJUE, 1er oct. 2019, C-673/17). Au surplus, dans le cadre des lignes directrices du 17 septembre 2020, la Commission a pris soin de préciser qu’un  » consentement doit se manifester par le biais d’une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exprimer « .

103. En l’espèce, la formation restreinte relève qu’il ressort des constatations effectuées dans la rubrique intitulée  » Publicité […] « , que les paramètres de ciblage de la publicité sont pré-cochés par défaut. Elle considère qu’en étant autorisés  » par défaut « , les traitements de ciblage de la publicité ne sauraient être considérés comme ayant été acceptés par un acte positif des utilisateurs.

104. La formation restreinte rappelle en outre que cette étape du recueil du consentement intervient tardivement dans la phase de prise en main du téléphone par l’utilisateur et qu’elle est facultative car non intégrée au parcours d’initialisation du téléphone. En outre, cette étape n’est accessible qu’après que l’utilisateur a cliqué sur l’icône  » Réglages  » de […], s’est rendu dans le menu  » Confidentialité « , puis a cliqué sur la rubrique intitulée  » Publicité […] « . Elle estime qu’il est difficile pour l’utilisateur de parvenir à accepter ou refuser valablement ces opérations, dans la mesure où l’utilisateur qui a terminé le parcours d’initialisation de son téléphone (a fortiori lorsque le parcours comprend un nombre important d’étapes comme en l’espèce) peut légitimement penser ne plus avoir besoin de procéder à d’autres configurations avant de consulter […].

105. Enfin, la formation restreinte estime que la société met en place des traitements de données d’une […] leur considérable compte tenu de la place prépondérante qu’occupe le système d’exploitation […] sur le marché français des systèmes d’exploitation mobiles et de la proportion de recours aux ordiphones par les utilisateurs de téléphone en France. Elle relève également que ce ciblage s’appuie sur les centres d’intérêt et les habitudes de vie des personnes et qu’ainsi, l’utilisation par la société des données de navigation et de profil provenant de […] pour réaliser le ciblage de la publicité est significative. Dès lors, la formation restreinte considère, au regard de […]leur des traitements déployés et de la nécessité impérieuse pour les utilisateurs de garder la maîtrise de leurs données, que ceux-ci doivent être mis en situation d’y consentir valablement.

106. En conséquence, la formation restreinte considère que la société […] accède à des informations déjà stockées ou lues sur le terminal des utilisateurs à des fins de personnalisation des annonces dans […] sans recueillir préalablement leur consentement, en méconnaissance des dispositions de l’article 82 de la loi Informatique et Libertés.

D. Sur la nouvelle fenêtre destinée à recueillir le consentement sous la nouvelle version […] du système d’exploitation

107. La formation restreinte relève que le nouveau dispositif destiné à recueillir le consentement sous la nouvelle version […] du système d’exploitation est rédigée en langue française. Elle prend note que la société s’engage à compléter la mention  » […] ne suit pas vos activités  » d’ici mars 2023. Enfin, elle relève qu’aucun identifiant n’est plus utilisé pour des finalités de personnalisation des annonces sur […] avant que cette fenêtre ne soit présentée à l’utilisateur.

108. En conséquence, la formation restreinte estime que cette nouvelle fenêtre constitue un mécanisme permettant de recueillir préalablement un consentement valable à la lecture des informations et identifiants précités sur le terminal de l’utilisateur, en application de l’article 82 de la loi du 6 janvier 1978 modifiée.

109. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 82 de la loi Informatique et Libertés est constitué pour le passé sur la version […] du système d’exploitation dès lors qu’il incombait à la société de recueillir le consentement des utilisateurs préalablement aux opérations d’écriture et / ou de lecture d’informations sur leur équipement terminal à des fins de personnalisation des annonces destinées à promouvoir les applications mobiles sur […].

110. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 82 de la loi Informatique et Libertés, ce qui ne remet toutefois pas en cause l’existence du manquement pour les faits passés.

III. Sur les mesures correctrices et leur publicité

111. Aux termes du III de l’article 20 de la loi Informatique et Libertés :

 » Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.  »

112. Aux termes de l’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés :

 » 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;

f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;

i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;

j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et

toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.  »

A. Sur le prononcé d’une amende administrative

113. En défense, la société estime, à titre principal, qu’aucune violation de l’article 82 de la loi Informatique et Libertés ne peut lui être reprochée et, dès lors qu’aucune amende ne peut être prononcée à son encontre. Elle rappelle à ce titre que le traitement à des fins de personnalisation des annonces sur […] qu’elle met en œuvre est effectué soit sur ses serveurs et ne fait pas partie du périmètre des investigations de la CNIL, soit sur le terminal des utilisateurs uniquement à des fins de  » protection de la vie privée  » et relève donc du champ des exemptions prévues à l’article 82 de la loi Informatique et Libertés. La société estime, à titre subsidiaire, que le montant de l’amende proposé par le rapporteur est disproportionné et que plusieurs critères prévus par l’article 83(2) du RGPD sont inopérants en l’espèce, en particulier ceux se référant à la nature, la gravité, la portée du traitement et le niveau de dommage subi par les personnes. Elle fait ensuite valoir que la fenêtre destinée à recueillir le consentement dans la nouvelle version […] du système d’exploitation a toujours été disponible en langue française pour les utilisateurs ayant sélectionné cette langue, contrairement à ce qu’a soutenu le rapporteur. Elle soutient en outre que le chiffre d’affaires mondial n’est pas un critère pertinent à prendre en compte pour décider du montant de l’amende en lui-même et qu’il a uniquement pour fonction d’empêcher que le montant retenu par la formation restreinte ne dépasse pas le plafond prévu par le RGPD. Elle ajoute que le montant proposé par le rapporteur correspond à […]. Elle note enfin que l’amende proposée par le rapporteur est sans commune mesure avec les amendes qu’elle a déjà prononcées.

114. Au regard des éléments développés ci-dessus, la formation restreinte considère que les faits précités, constitutifs d’un manquement à l’article 82 de la loi Informatique et Libertés, justifient que soit prononcée une amende administrative à l’encontre de la société […], personne morale responsable du traitement. Elle rappelle que les changements apportés par la société à la fenêtre destinée à recueillir le consentement dans la nouvelle version […] du système d’exploitation depuis septembre 2021 sont sans incidence sur le prononcé d’une amende dans la mesure où celle-ci vise à sanctionner les faits constatés au cours des contrôles au sujet de la version […] du système d’exploitation de […].

115. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de cette amende s’apprécie au regard des critères précisés par l’article 83 du RGPD.

116. Dans le cas d’espèce, la formation restreinte considère que le manquement en cause justifie le prononcé d’une amende administrative à l’encontre de la société pour les motifs suivants.

117. Tout d’abord, la formation restreinte relève la gravité du manquement, dans la mesure où les paramètres de personnalisation des annonces étant pré-cochés par défaut, la société a effectué des opérations de lecture et /ou d’écriture d’informations ou d’identifiants sur les terminaux des utilisateurs situés en France à des fins de personnalisation des annonces sans recueillir préalablement leur consentement et les a privés de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité.

118. La formation restreinte considère que la gravité du manquement est accentuée par le fait que cette étape du recueil du consentement est intervenue tardivement dans la phase de prise en main du téléphone par l’utilisateur et qu’elle était facultative car non intégrée au parcours d’initialisation du téléphone.

119. La formation restreinte observe que la gravité du manquement doit également être appréciée au regard de la portée des opérations de lecture et d’écriture en cause et du nombre de personnes concernées.

120. S’agissant de la portée des opérations de lecture et d’écriture, la formation restreinte relève que […] constitue le seul canal de distribution officiel des applications mobiles sur les appareils […] pour les développeurs, dès lors que la société n’autorise pas le téléchargement d’applications en dehors de son magasin […]. Les personnes utilisant la version […] du système d’exploitation de […] sont donc dépendantes des choix effectués par la société […] relatifs à la protection de leur vie privée.

121. S’agissant du nombre de personnes concernées par les opérations de lecture et /ou d’écriture des informations et identifiants précités sur leur terminal mobile, il ressort des informations fournies par la société que […] millions de terminaux mobiles équipés du système d’exploitation se sont connectés à […] français en utilisant une adresse IP enregistrée en France entre le 5 juillet 2020 et le 5 juillet 2021 (pour des téléchargements gratuits ou payants, des re-téléchargements ou des mises à jour). Si ce nombre ne signifie pas que […] millions d’utilisateurs n’ont pas consenti aux opérations de lecture et /ou d’écriture des informations et identifiants précités sur leur terminal mobile, il reflète la place importante occupée par la société sur le marché des systèmes d’exploitation de téléphones mobiles.

122. Ensuite, la formation restreinte considère que la société […], qui a réalisé pour l’année 2021 un chiffre d’affaires mondial d’environ […] dollars, soit environ […] euros (selon le taux de change actuel), a tiré du manquement commis un avantage financier certain. En effet, comme indiqué précédemment, les opérations de lecture et/ou d’écriture permettent à la société de présenter aux utilisateurs, lorsqu’ils effectuent une recherche sur […], des annonces personnalisées faisant la promotion d’applications. La formation restreinte note que si l’activité principale de la société réside dans la vente et la distribution des produits du groupe […] en Europe, la personnalisation des annonces permet justement d’augmenter ses revenus. Or, en ne recueillant pas le consentement des utilisateurs aux opérations de lecture et /ou d’écriture des informations et identifiants précités, la société augmente le nombre d’utilisateurs auprès desquels la personnalisation des annonces sera effectuée.

123. La formation restreinte relève néanmoins, à titre de circonstance atténuante, que les étapes relatives au remplacement d’informations rattachées au […] par le […] et […]d sont mises en œuvre afin de respecter les principes de protection de la vie privée et qu’en leur absence, la société pourrait relier les informations relatives aux publicités diffusées à l’identité de l’utilisateur, ce qui porterait davantage atteinte à sa vie privée.

124. Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 2 % du chiffre d’affaires, qu’il est justifié de prononcer une amende administrative à hauteur de 8 millions d’euros.

B. Sur la publicité de la décision

125. En défense, la société soutient qu’une telle mesure ne serait ni nécessaire ni proportionnée au regard du manquement allégué qu’elle réfute et de sa mise en conformité au titre de la nouvelle fenêtre de recueil du consentement disponible sous la version […] du système d’exploitation.

126. La formation restreinte considère que compte tenu de ce qui a été exposé précédemment, il est justifié de prononcer une sanction complémentaire de publicité. Il est également tenu compte de la place prépondérante occupée par le système d’exploitation […] sur le marché français des systèmes d’exploitation mobiles et de la proportion de recours aux ordiphones par les utilisateurs de téléphones en France, de la gravité du manquement et de l’intérêt que représente la présente décision pour l’information du public, dans la détermination de la durée de sa publication.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

• prononcer à l’encontre de la société […] une amende administrative d’un montant de […] d’euros pour manquement à l’article 82 de la loi Informatique et Libertés ;

• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

Le président

Alexandre LINDEN

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.