La CNIL sanctionne la combinaison de données personnelles sans consentement valable

La loi n° 78-17 du 6 janvier 1978 s’applique lorsque le responsable du traitement est établi en France ou recourt à des moyens de traitement situés sur le territoire national, conformément à l’article 5. La participation effective d’un établissement français aux activités publicitaires suffit, indépendamment de la localisation des opérations techniques. Les cookies et outils similaires constituent des moyens de traitement dès lors qu’ils permettent la lecture ou l’écriture d’informations sur le terminal, opérations qualifiées de traitement par l’article 2 et encadrées par l’article 32-II.

La formation restreinte retient également que les adresses IP, identifiants de cookies et données issues du croisement des services peuvent constituer des données à caractère personnel lorsqu’ils permettent une identification directe ou indirecte.

La combinaison de ces données devait satisfaire l’article 7. Le consentement devait être libre, spécifique et informé ; une acceptation générale, une simple utilisation du service ou l’absence d’opposition des utilisateurs passifs ne suffisent pas. La nécessité contractuelle n’était pas établie, notamment pour les utilisateurs non authentifiés, et la combinaison n’était pas nécessaire à l’exécution du service. Enfin, l’intérêt légitime ne prévalait pas face à une combinaison potentiellement illimitée, sans durée de conservation déterminée et assortie de mécanismes de contrôle insuffisants.

La persistance des manquements après mise en demeure a justifié une sanction pécuniaire de 150 000 euros sur le fondement de l’article 45, ainsi que la publicité de la décision.

⬇️Télécharger la décision version officielle

La CNIL a considéré que la société disposait d’un établissement en France ou utilisait des moyens de traitement situés en France. Les cookies, adresses IP et identifiants ont été qualifiés de données personnelles. La combinaison de données issues de plusieurs services, cookies et sites partenaires ne reposait ni sur un consentement valable, ni sur un contrat, ni sur un intérêt légitime suffisamment équilibré. Une sanction pécuniaire et une mesure de publicité ont été prononcées.

Une société a annoncé la fusion de nombreuses règles de confidentialité en un document unique, permettant notamment de combiner les données collectées via plusieurs services, cookies et sites partenaires.

Après des échanges avec les autorités européennes de protection des données, la CNIL a contrôlé les traitements et mis la société en demeure de se conformer à la loi française. La société a contesté l’applicabilité de cette loi, la compétence de la CNIL et plusieurs manquements.

La formation restreinte a retenu l’existence d’un établissement en France ou, à défaut, l’utilisation de moyens de traitement situés en France. Elle a considéré que les cookies, adresses IP et identifiants associés pouvaient relever des données personnelles. Elle a ensuite estimé que la combinaison des données ne reposait ni sur un consentement valable, ni sur un contrat, ni sur un intérêt légitime suffisamment équilibré. Une sanction pécuniaire et une mesure de publicité ont été prononcées.

• Établissement participant effectivement aux traitements en France
• Utilisation de moyens de traitement localisés sur le territoire français
• Possibilité d’identifier directement ou indirectement les utilisateurs
• Consentement libre, spécifique et informé
• Nécessité démontrée de la combinaison pour exécuter un contrat
• Équilibre entre intérêt légitime et droits fondamentaux
• Contrôle effectif des utilisateurs sur leurs données

• Règles de confidentialité autorisant la combinaison des données
• Cookies déposés et lus sur les terminaux des utilisateurs
• Adresses IP et identifiants uniques permettant la réidentification
• Activités françaises d’intermédiation et de promotion publicitaire
• Outils de contrôle ne permettant pas de s’opposer à la combinaison

La société supporte une sanction de 150 000 euros et la publication de la décision en raison de traitements persistants sans base légale suffisante. Les utilisateurs bénéficient de la reconnaissance d’un contrôle insuffisant sur la combinaison de leurs données, tandis que la CNIL peut imposer une publicité corrective.

• Exclusion des fondements juridiques invoqués par la société
• Sanction pécuniaire de 150 000 euros
• Publication obligatoire d’un communiqué pendant quarante-huit heures
• Renforcement nécessaire de l’information et du consentement
• Limitation des croisements entre données de services différents

À faire

• Identifier les établissements et moyens utilisés en France
• Cartographier les cookies et données collectées
• Distinguer les utilisateurs authentifiés et non authentifiés
• Recueillir un consentement spécifique et informé
• Documenter la nécessité contractuelle ou l’intérêt légitime

À éviter

• Combiner les données sur la base d’une clause générale
• Assimiler l’utilisation d’un service à un consentement
• Traiter les utilisateurs passifs sans information préalable
• Conserver les données sans durée déterminée
• Présenter des outils de contrôle insuffisants

L’application territoriale de la loi informatique et libertés

La loi n° 78-17 du 6 janvier 1978 s’applique en présence d’un établissement français participant effectivement aux traitements ou lorsque des moyens de traitement sont utilisés en France, selon l’article 5. La localisation technique des opérations à l’étranger ne fait pas obstacle à cette application. Les cookies et outils similaires constituent des moyens de traitement lorsqu’ils permettent de lire ou d’écrire des informations sur le terminal de l’utilisateur.

La qualification des cookies comme moyens de traitement

L’article 2 qualifie de traitement notamment la collecte, l’enregistrement et la consultation. La lecture ou l’écriture d’informations par cookie relève donc de cette qualification. L’article 32-II confirme que l’accès à des informations stockées dans un terminal ou leur inscription constitue une action soumise aux obligations du responsable de traitement. Le contrôle exercé sur ces dispositifs suffit, même si le terminal appartient à l’utilisateur.

Les fondements juridiques de la combinaison des données

L’article 7 exige un consentement ou un autre fondement légal. Une acceptation générale, l’utilisation d’un service ou l’absence d’opposition ne caractérisent pas un consentement libre, spécifique et informé. La nécessité contractuelle n’était pas démontrée et l’intérêt légitime ne compensait pas une combinaison potentiellement illimitée, sans durée de conservation déterminée ni contrôle effectif des utilisateurs.

Article 2 de la loi n° 78-17 du 6 janvier 1978, Article 5 de la loi n° 78-17 du 6 janvier 1978, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 7 de la loi n° 78-17 du 6 janvier 1978, Article 13-I de la loi n° 78-17 du 6 janvier 1978, Article 32-II de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978