Application du droit français aux traitements de données d’un réseau social et sanction CNIL

La décision retient l’application du droit français lorsque le responsable du traitement dispose en France d’un établissement exerçant une activité réelle et effective et que les traitements sont réalisés dans le cadre des activités de cet établissement, conformément à l’article 5 de la loi du 6 janvier 1978. La promotion d’espaces publicitaires auprès d’annonceurs français contribue à la rentabilité des traitements de personnalisation et suffit à établir ce rattachement.

Sur ce fondement, les articles 45 et 48 de la même loi confèrent à la CNIL le pouvoir de sanctionner les traitements mis en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable est établi dans un autre État membre. Les deux sociétés sont conjointement responsables au sens de l’article 3, dès lors qu’elles déterminent ensemble les finalités et les moyens d’une plateforme unique.

La formation restreinte caractérise plusieurs manquements aux articles 6, 7, 8 et 32 de la loi du 6 janvier 1978 : collecte déloyale de données de navigation, absence de base légale pour la combinaison publicitaire, défaut de consentement exprès aux données sensibles, opposition insuffisante aux cookies et durée de conservation disproportionnée. Le responsable doit démontrer la nécessité et la proportionnalité de la conservation des données.

La persistance des manquements après la mise en demeure justifie une sanction pécuniaire solidaire de 150 000 euros et la publicité de la décision, au regard de la gravité, du caractère massif des traitements et du nombre de personnes concernées.

⬇️Télécharger la décision version officielle

Après plusieurs contrôles, la CNIL a relevé des manquements relatifs à la combinaison de données à des fins publicitaires, à l’information des utilisateurs, aux données sensibles, aux cookies, à la conservation des adresses IP et aux transferts internationaux. Les sociétés ont contesté le droit français et la compétence de l’autorité. Plusieurs manquements persistants ayant été retenus, une sanction pécuniaire solidaire et la publication de la décision ont été prononcées.

Une société américaine exploite un réseau social mondial et une société irlandaise fournit ce service aux utilisateurs situés hors d’Amérique du Nord. Une société française du groupe assure la promotion et la commercialisation d’espaces publicitaires auprès d’annonceurs français, avec une équipe dédiée et des moyens humains propres.

Après plusieurs contrôles sur place, sur pièces et en ligne, l’autorité française a mis en demeure les sociétés responsables de mettre fin à différents manquements concernant la combinaison de données à des fins publicitaires, l’information des utilisateurs, les données sensibles, les cookies, la conservation des adresses IP et les transferts internationaux.

Les sociétés ont contesté l’application du droit français, la compétence de l’autorité et plusieurs griefs. Après expiration du délai de mise en conformité, la formation restreinte a retenu la responsabilité conjointe des deux sociétés et plusieurs manquements persistants, puis a prononcé une sanction pécuniaire solidaire et la publicité de la décision.

• Existence d’un établissement stable en France
• Activité réelle et effective exercée avec des moyens humains et techniques
• Participation de l’établissement français à la rentabilité des traitements
• Détermination conjointe des finalités et des moyens
• Persistance des manquements après la mise en demeure
• Gravité et caractère massif des traitements concernés

• Objet social et immatriculation de l’établissement français
• Effectif et équipe dédiée aux grands annonceurs
• Procès-verbaux des contrôles sur place et en ligne
• Documents communs régissant l’utilisation des données
• Clauses contractuelles décrivant les opérations techniques réalisées
• Politique d’utilisation des cookies et paramétrage proposé

Les sociétés responsables sont tenues solidairement au paiement de la sanction et exposées à la publicité de la décision. L’établissement français rattache les traitements au droit français et les dispositifs d’information, de consentement, d’opposition et de conservation doivent être réévalués.

• Maintien de la sanction pécuniaire solidaire
• Publication de la décision pendant la période prévue
• Application du droit français aux traitements concernés
• Renforcement de l’information et du consentement
• Mise en place d’une opposition effective aux cookies
• Réduction et justification des durées de conservation

À faire

• Identifier chaque établissement participant aux traitements
• Documenter les finalités et moyens déterminés conjointement
• Informer clairement les internautes non inscrits
• Recueillir un consentement exprès aux données sensibles
• Justifier chaque durée de conservation des adresses IP

À éviter

• Présenter un sous-traitant comme seul critère d’exclusion
• Combiner les données sans base légale démontrée
• Déposer des cookies avant une opposition effective
• Assimiler un profil renseigné spontanément à un consentement exprès
• Conserver toutes les adresses IP sans nécessité établie

Les critères d’application du droit français aux traitements

Le droit français s’applique si le responsable dispose d’un établissement stable en France et si le traitement est réalisé dans le cadre des activités de cet établissement. Une activité réelle et effective, même limitée, suffit. La société française, dotée de moyens humains et techniques, participait à la promotion d’espaces publicitaires liés à la personnalisation des publicités et contribuait ainsi à la rentabilité des traitements. Les conditions de l’article 5 de la loi du 6 janvier 1978 étaient donc réunies.

La responsabilité conjointe des responsables de traitement

L’article 3 de la loi du 6 janvier 1978 vise celui qui détermine les finalités et les moyens du traitement. La formation restreinte a retenu une plateforme unique, une politique commerciale commune, des documents contractuels identiques et l’intervention technique de la société américaine dans l’authentification et le fonctionnement du service. Les finalités, notamment la combinaison des données à des fins de personnalisation publicitaire, étaient déterminées conjointement.

Les manquements relatifs aux données et aux cookies

Les articles 6, 7, 8 et 32 de la loi du 6 janvier 1978 imposaient une collecte loyale, une base légale, un consentement exprès pour les données sensibles et une opposition effective aux cookies. L’information des internautes non inscrits était imprécise, le consentement aux données sensibles n’était pas spécifique, le paramétrage du navigateur ne permettait pas une opposition ciblée et la conservation intégrale des adresses IP n’était pas démontrée comme nécessaire.

Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 5 de la loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 7 de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 48 de la loi n° 78-17 du 6 janvier 1978