La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et M. Maurice RONAI, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi

n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2018-199C du 20 septembre 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement relatif à l’utilisation du système d’exploitation Android pour mobile multifonction incluant la création d’un compte […] ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 octobre 2018 ;

Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, du 22 octobre 2018 ;

Vu les observations écrites versées par la société X le 22 novembre 2018 ;

Vu les observations en réponse du commissaire rapporteur du 7 décembre 2018 ;

Vu les observations en réponse versées par la société X le 4 janvier 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 15 janvier 2019 :

M. François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société X. :

[…]

Mme Eve JULLIEN, commissaire du Gouvernement, n’ayant pas formulé d’observation ;

La société ayant eu la parole en dernier ;

Après en avoir délibéré, a adopté la décision suivante :

Faits et procédure

Fondée en 1998, la société X la société ) est une société à responsabilité limitée de droit américain dont le siège social est situé à XX

Filiale à 100% de la société Y depuis 2015, la société a réalisé un chiffre d’affaires de X en 2017. Elle possède plus de X. En France, elle dispose d’un établissement, la société X

Depuis qu’elle existe, la société a développé une pluralité de services à destination des entreprises et des particuliers (ex : […]). La société exerce en outre une activité de régie publicitaire.

En 2016, ce système d’exploitation comptait X utilisateurs en France.

Les 25 et 28 mai 2018, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été saisie de deux plaintes collectives déposées en application de l’article 80 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (Règlement général sur la protection des données, ci-après RGPD ou le Règlement ) respectivement par l’association None Of Your Business (ci-après NOYB ) et l’association La Quadrature du Net (ci-après LQDN ). De manière cumulée, ces plaintes regroupent les réclamations de 9974 personnes.

Dans sa plainte, l’association NOYB indique notamment que les utilisateurs de x sont tenus d’accepter la politique de confidentialité et les conditions générales d’utilisation des services x et qu’à défaut d’une telle acceptation, ils ne pourraient utiliser leur terminal.

L’association LQDN estime quant à elle, qu’indépendamment du terminal utilisé, x ne dispose pas de bases juridiques valables pour mettre en œuvre les traitements de données à caractère personnel à des fins d’analyse comportementale et de ciblage publicitaire.

Le 1er juin 2018, la CNIL a soumis les plaintes précitées à ses homologues européens via le système européen d’échange d’information en vue de la désignation d’une éventuelle autorité chef de file conformément aux dispositions de l’article 56 du RGPD.

En application de la décision n° 2018-199C du 20 septembre 2018 de la Présidente de la Commission, un contrôle en ligne a été effectué le 21 septembre suivant afin de vérifier la conformité de tout traitement relatif à l’utilisation du […], à la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 ) et au RGPD.

Le procès-verbal de contrôle en ligne n° 2018-199/1 a été notifié aux sociétés X Y les 24 et 25 septembre 2018.

Les deux sociétés ont également eu communication des plaintes susmentionnées par courriers de la CNIL le 28 septembre 2018.

Aux fins d’instruction de ces éléments, la Présidente de la CNIL a désigné, le 2 octobre 2018, M. François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 47 de la loi du 6 janvier 1978.

A l’issue de son instruction, le rapporteur a fait notifier aux sociétés X Y, le 22 octobre 2018, un rapport détaillant des manquements relatifs aux articles 6, 12 et 13 du RGPD qu’il estimait constitués en l’espèce.

Ce rapport proposait à la formation restreinte de la CNIL de prononcer à l’encontre de la société X. une sanction pécuniaire de 50 millions d’euros, rendue publique. Il était également proposé son insertion dans une publication, journal ou support que la formation restreinte désignerait.

Etait également jointe au rapport une convocation à la séance de la formation restreinte du 10 janvier 2019. L’organisme disposait d’un délai d’un mois pour communiquer ses observations écrites.

Par lettre du 7 novembre 2018, la société a demandé une audition au rapporteur, à laquelle il n’a pas été fait droit par courrier du 13 novembre 2018. A la même date, la société a également formulé une demande de huis-clos et de report de séance, à laquelle il n’a pas été fait droit, par courrier du 15 novembre 2018.

Le 22 novembre 2018, la société a produit des observations écrites sur le rapport. Ces observations ont fait l’objet d’une réponse du rapporteur le 7 décembre 2018.

Par lettre du 11 décembre 2018, la société, qui disposait de quinze jours à compter de la réception de la réponse du rapporteur, a sollicité de la part du Président de la formation restreinte le report de la séance ainsi qu’une extension du délai pour produire ses nouvelles observations. La demande a été acceptée par le Président de la formation restreinte le 13 décembre 2018, qui a décidé, d’une part, de repousser de deux semaines – jusqu’au 7 janvier – le délai de production de ces observations et, d’autre part, de reporter la séance au 15 janvier 2019.

Le 4 janvier 2019, la société a produit de nouvelles observations en réponse à celles du rapporteur.

L’ensemble des observations a été réitéré oralement par la société et le rapporteur lors de la séance de la formation restreinte du 15 janvier 2019.

II.Motifs de la décision

1.Sur la compétence de la CNIL

L’article 55 paragraphe 1 du RGPD dispose : Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’État membre dont elle relève .

L’article 56 paragraphe 1 du RGPD dispose : Sans préjudice de l’article 55, l’autorité de contrôle de l’établissement principal ou de l’établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu’autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l’article 60 .

La société soutient tout d’abord que la CNIL n’est pas compétente pour mener cette procédure et qu’elle aurait dû transmettre les plaintes reçues à l’autorité de protection des données irlandaise (Data Protection Commission, ci-après DPC ) à laquelle il appartiendrait, en tant qu’autorité chef de file de […], de traiter ces plaintes portant sur des traitements transfrontaliers, et ce conformément à la procédure de coopération établie à l’article 60 du RGPD. La société considère en effet que la société X doit être considérée comme son établissement principal au sein de l’Union européenne pour certains des traitements transfrontaliers qu’elle met en œuvre, et notamment ceux objets des plaintes reçues par la CNIL. Par conséquent, l’autorité de protection des données devrait selon elle être regardée comme son autorité de contrôle chef de file et être chargée, à ce titre, de traiter les plaintes reçues par la CNIL.

Pour attester du fait que la société X constitue son établissement principal au sein de l’Union, elle précise que cette société est le siège social de X pour ses opérations européennes depuis 2003 et qu’elle est l’entité en charge de plusieurs fonctions organisationnelles nécessaires à la réalisation de ces opérations pour la zone Europe, Moyen-Orient et Afrique (secrétariat général, fiscalité, comptabilité, audit interne, etc.). Elle indique également que la conclusion de l’intégralité des contrats de vente de publicités avec les clients basés dans l’Union européenne relève de cette société. Cette société emploie plus de x salariés et dispose, entre autres, d’une équipe dédiée en charge de la gestion des demandes faites au sein de l’Union européenne en lien avec la confidentialité et d’un responsable chargé de la protection de la vie privée. Elle précise enfin qu’une réorganisation tant opérationnelle qu’organisationnelle est en cours en vue de faire de la x le responsable de traitement pour certains traitements de données à caractère personnel concernant les ressortissants européens.

Elle considère également que la définition d’établissement principal doit être distinguée de celle de responsable de traitement et que si le législateur européen avait voulu que la notion d’établissement principal soit interprétée comme le lieu où les décisions concernant les traitements sont prises, il l’aurait expressément indiqué.

Elle considère ensuite que, compte tenu de la nature transfrontalière des traitements de personnalisation de la publicité, du nombre significatif d’utilisateurs d’x en Europe et des questions soulevées en lien avec ces traitements, les mécanismes de coopération et de cohérence tels que prévus aux articles 60, 64 et 65 du RGPD auraient dû s’appliquer. Elle précise notamment que le Comité européen de la protection des données (ci-après CEPD ) aurait dû être saisi en cas de doute sur la détermination de l’autorité chef de file.

Enfin, la société estime que les discussions informelles qui ont pu avoir lieu entre les autres autorités européennes de contrôle sur cette procédure sont sans effet juridique dès lors qu’elles ont eu lieu sans sa présence.

Sur la qualité d’établissement principal de la société X

L’article 4 (16) du RGPD définit la notion d’établissement principal de la manière suivante : a) en ce qui concerne un responsable du traitement établi dans plusieurs États membres, le lieu de son administration centrale dans l’Union, à moins que les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel soient prises dans un autre établissement du responsable du traitement dans l’Union et que ce dernier établissement a le pouvoir de faire appliquer ces décisions, auquel cas l’établissement ayant pris de telles décisions est considéré comme l’établissement principal .

Le considérant 36 du RGPD précise quant à lui : L’établissement principal d’un responsable du traitement dans l’Union devrait être déterminé en fonction de critères objectifs et devrait supposer l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement dans le cadre d’un dispositif stable .

La formation restreinte considère qu’il résulte de ces dispositions que, pour pouvoir être qualifié d’établissement principal, l’établissement concerné doit disposer d’un pouvoir de décision vis-à-vis des traitements de données à caractère personnel en cause. La qualité d’établissement principal suppose en effet l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement .

Dès lors, l’existence d’un établissement principal s’apprécie in concreto, au regard de critères objectifs, et l’établissement principal ne saurait correspondre automatiquement au siège social du responsable de traitement en Europe.

La formation restreinte relève que cette analyse est également celle retenue par l’ensemble des autorités européennes de contrôle, comme en attestent les lignes directrices du CEPD du 5 avril 2017 concernant la désignation d’une autorité de contrôle chef de file d’un responsable de traitement ou d’un sous-traitant (WP244). Ces dernières indiquent que : l’administration centrale est le lieu où sont prises les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel, et ce lieu a le pouvoir de faire appliquer ces décisions .

La formation restreinte relève en outre que ces mêmes lignes directrices indiquent que : Le règlement général n’autorise pas l’élection de juridiction (forum shopping)(…). Les conclusions ne peuvent reposer exclusivement sur des déclarations de l’organisation considérée .

Il convient ainsi d’apprécier les pouvoirs décisionnels dont dispose la société X pour déterminer si elle peut être qualifiée d’établissement principal.

A cet égard, la formation restreinte relève que la société x dispose certes de nombreux moyens financiers et humains qui permettent la fourniture effective de services par x en Europe, notamment par le biais de la vente de prestations publicitaires.

Toutefois, si ces éléments attestent de cette participation, la formation restreinte considère qu’ils ne permettent pas d’emporter la qualification de la société x en tant qu’établissement principal. Les éléments fournis ne démontrent pas par eux-mêmes que la société x aurait disposé, à la date d’engagement des poursuites, d’un quelconque pouvoir décisionnel quant aux finalités et aux moyens des traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte, à l’occasion de la configuration de son téléphone mobile sous x. Ces éléments révèlent seulement l’implication de cette entité dans le cadre de différentes activités de la société (activités financières et comptables, vente d’espaces publicitaires, passation de contrats etc.).

La formation restreinte relève par ailleurs que la société x n’est pas mentionnée dans les Règles de confidentialité de la société en date du 25 mai 2018 comme étant l’entité où sont prises les décisions principales quant aux finalités et aux moyens des traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte, à l’occasion de la configuration de son téléphone mobile sous x.

Elle souligne également que la société x n’a pas désigné de délégué à la protection des données qui serait en charge des traitements de données à caractère personnel qu’elle pourrait mettre en œuvre dans l’Union européenne. Elle relève en outre que le système d’exploitation x est développé uniquement par la société x.

Enfin, la formation restreinte relève que la société a elle-même indiqué, par courrier en date du 3 décembre 2018 adressé à la DPC, que le transfert de responsabilité de x. vers la société x sur certains traitements de données à caractère personnel concernant les ressortissants européens serait finalisé le 31 janvier 2019. Elle a ultérieurement précisé procéder à la mise à jour de ses règles de confidentialité qui entreront en application le 22 janvier 2019.

Au vu de l’ensemble de ces éléments, la formation restreinte considère que la société x ne peut être considérée comme l’ établissement principal de la société x. en Europe au sens de l’article 4 (16) du RGPD, dès lors qu’il n’est pas établi qu’elle dispose d’un pouvoir décisionnel quant aux traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte à l’occasion de la configuration de son téléphone mobile sous x.

En l’absence d’établissement principal permettant l’identification d’une autorité chef de file, la CNIL était compétente pour engager cette procédure et pour exercer l’ensemble de ses pouvoirs au titre de l’article 58 du RGPD.

b) Sur l’application des procédures de coopération et de cohérence

En premier lieu, la société soutient que la CNIL aurait dû saisir le CEPD en raison de l’incertitude quant à l’identification de l’autorité de contrôle devant agir en qualité d’autorité chef de file.

La formation restreinte considère tout d’abord que l’absence d’établissement principal d’un responsable de traitement au sein de l’Union européenne n’engendre pas par elle-même d’incertitude sur l’identification d’une autorité de contrôle pouvant agir en qualité d’autorité chef de file. Il résulte seulement de cette absence d’établissement principal que l’identification d’une autorité chef de file n’a pas lieu d’être, et que le mécanisme de guichet unique n’a pas vocation à s’appliquer.

La formation restreinte relève ensuite que la CNIL a immédiatement communiqué les réclamations reçues à l’ensemble des autorités de contrôle, via le système européen d’échange d’information, en vue de l’identification d’une éventuelle autorité chef de file, conformément aux dispositions de l’article 56 du RGPD.

La formation restreinte note que, dans le cadre de cette procédure, aucune autorité de contrôle, ni le Président du Comité, n’ont jugé nécessaire de saisir le CEPD en raison d’incertitudes sur l’identification de l’autorité chef de file ou la compétence de la CNIL.

Elle observe en outre que l’analyse concluant à l’absence d’établissement principal de la société x. en Europe pour les traitements visés par les plaintes, et l’absence d’autorité chef de file qui en résulte, était partagée par la DPC.

Elle relève ainsi que la DPC a publiquement affirmé le 27 août 2018 – dans un article de presse de l’Irish Times – qu’elle n’était pas l’autorité chef de file pour les traitements qui pouvaient être mis en œuvre par la société : la Commission de protection des données n’est pas le « principal régulateur » de x (ni, en termes de protection des données, son « autorité de contrôle chef de file ») […] x, société américaine, est le responsable de traitement et x ne peut absolument pas se prévaloir du mécanisme de guichet unique. […]. La position actuelle est que x est soumis au contrôle de toutes les autorités de contrôle européennes […] .

Il ne résulte dès lors pas de l’instruction qu’il aurait existé des doutes ou des points de vue divergents au sein des autorités de contrôle de nature à imposer une saisine du CEPD, conformément à l’article 65 du RGPD. Par ailleurs, compte tenu des lignes directrices déjà adoptées au niveau européen pour guider les autorités nationales dans l’identification de l’éventuelle autorité chef de file, il n’existait pas de question nouvelle justifiant la saisine du CEPD par la CNIL en application de l’article 64.

Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que la CNIL n’était pas tenue de saisir le CEPD en vue de l’identification d’une autorité chef de file.

En second lieu, si la société soutient que la CNIL aurait dû coopérer sur l’instruction des plaintes et les suites qu’il convenait de leur apporter, la formation restreinte rappelle, ainsi qu’il a été dit précédemment, que la CNIL a communiqué, dès leur réception, les réclamations à l’ensemble des autorités de contrôle de l’Union européenne, via le système européen d’échange d’information, en vue de l’identification d’une éventuelle autorité chef de file.

La formation restreinte relève ainsi qu’une procédure de coopération a bien été engagée avec les autorités de contrôle, et ce conformément aux dispositions de l’article 56 du RGPD, dans un premier temps sur la seule question de l’identification des compétences respectives de ces autorités.

La formation restreinte observe que cette étape de diffusion d’information et de détermination d’une éventuelle autorité chef de file constitue un préalable à l’application éventuelle du mécanisme du guichet unique prévu à l’article 60 du RGPD.

La formation relève ensuite que cette démarche et les échanges qui en ont résulté n’ayant pas conduit à identifier un établissement principal ni, par suite, une autorité chef de file, aucune autre obligation de coopération ne s’imposait ultérieurement à la CNIL, notamment au titre de l’article 60 du RGPD.

La formation restreinte rappelle enfin que, dans un souci de cohérence, conformément aux orientations rappelées à l’article 63 du RGPD, la CNIL a informé et consulté ses homologues européens à plusieurs reprises sur les investigations qu’elle a menées, et tenu le plus grand compte des lignes directrices adoptées par le CEPD en vue d’assurer une application uniforme du règlement.

Compte tenu de ces éléments, la formation restreinte considère que les procédures de coopération et de cohérence n’ont pas été méconnues.

Au demeurant, la formation restreinte relève que sauf dispositions expresses, ce qui n’est pas le cas en l’espèce concernant la détermination de l’autorité chef de file, les autorités de contrôle ne sont pas tenues d’informer les responsables de traitement lors de la mise en œuvre d’actions de coopération ni de les mettre à même de participer aux échanges entre autorités.

2.Sur la procédure

En premier lieu, la société soutient que la recevabilité des plaintes déposées par les associations None Of Your Business et La Quadrature du Net n’est pas établie.

La formation restreinte considère la question de la recevabilité des plaintes précitées n’a en tout état de cause pas d’influence sur la légalité de la présente procédure, la saisine de la formation n’étant pas nécessairement subordonnée à la réception d’une plainte et pouvant résulter d’une auto-saisine de la Commission sur la base des constats opérés par les services de cette dernière. Elle rappelle que la CNIL a pour mission de contrôler l’application du règlement et de veiller au respect de celui-ci et qu’elle dispose, pour ce faire, du pouvoir d’effectuer des enquêtes, conformément à l’article 57 1. a) et h) du RGPD.

Au demeurant, la formation restreinte note que l’article 80 du RGPD prévoit la possibilité pour une personne de mandater une association à but non lucratif, qui a été valablement constitué[e] conformément au droit d’un État membre, dont les objectifs statutaires sont d’intérêt public et est acti[ve] dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel pour introduire une réclamation en leur nom.

S’agissant de LQDN, la formation restreinte relève qu’il s’agit d’une association française créée le 3 janvier 2013. Il ressort de ses statuts que cette association a notamment pour objet de mener des actions pour assurer la défense des droits et libertés fondamentaux dans l’espace numérique […] .

S’agissant de NOYB, elle relève qu’il s’agit d’une association à but non lucratif valablement constituée sur le territoire autrichien depuis 12 juin 2017. Il ressort de ses statuts que son objet est notamment de représenter les droits et les intérêts des utilisateurs dans le domaine numérique (notamment les droits des consommateurs, les droits fondamentaux de la vie privée, la protection des données, la liberté d’expression, la liberté d’information et le droit fondamental à un recours effectif).

La formation relève également que ces deux associations ont reçu de la part des personnes les ayant saisies un mandat de représentation au titre de l’article 80 du RGPD.

En second lieu, la société fait valoir que la procédure engagée à son encontre a méconnu son droit à un procès équitable tel que prévu notamment à l’article 6 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales.

Sur ce point, elle soutient d’une part, que le rapport proposant une sanction ainsi que les réponses apportées par le rapporteur à ses observations lui ont été adressées uniquement en français et d’autre part, que le refus d’extension du délai qui lui été opposé pour produire ses premières observations a limité le temps dont elle disposait pour préparer sa défense. Elle estime également que le report de séance ainsi que le délai supplémentaire qui lui a finalement été accordé pour produire ses secondes observations n’étaient toujours pas suffisants.

La formation restreinte relève tout d’abord que la notification d’un rapport de sanction en langue française répond à l’obligation légale fixée à l’article 111-1 du code des relations entre le public et l’administration qui prévoit que L’usage de la langue française est prescrit dans les échanges entre le public et l’administration, conformément aux dispositions de la loi n° 94-665 du 4 aout 1994 relative à l’emploi de la langue française .

En outre, aucune disposition légale ou supra nationale n’impose à la CNIL de traduire les documents qu’elle produit.

Au demeurant, la société dispose d’un établissement sur le territoire français, la société x. Cette société compte plusieurs centaines de salariés et s’est vue notifier l’ensemble des documents en lien avec la procédure. Elle relève également que les principales pièces à l’appui de la procédure ( Règles de confidentialité , Conditions d’utilisation , etc.) étaient les propres documents de la société, disponibles par ailleurs en anglais sur d’autres supports.

Au regard de ces éléments, la formation restreinte considère que la société disposait en tout état de cause de ressources matérielles et humaines suffisantes lui permettant d’assurer une traduction des documents en anglais dans un délai suffisant pour en prendre connaissance et formuler ses observations dans le délai qui lui était fixé.

La formation restreinte rappelle ensuite que l’article 75 du décret n° 2005-1309 du 20 octobre 2005 modifié prévoit que le responsable de traitement dispose d’un délai d’un mois pour formuler des observations en réponse au rapport qui lui a été adressé, puis d’un nouveau délai de quinze jours faisant suite au délai imparti au rapporteur pour apporter sa réponse.

La formation restreinte souligne qu’il a été fait droit aux demandes formulées par la société le 11 décembre 2018 visant à obtenir une extension de délai pour produire ses observations en réponse aux éléments apportés par le rapporteur et un report de séance. Ce report lui a permis de bénéficier d’un délai supplémentaire de quinze jours pour produire ses secondes observations par rapport au délai initialement prévu et préparer ainsi sa défense en vue de la séance de la formation restreinte. Elle a par ailleurs été en mesure de présenter ses observations orales le jour de la séance de la formation restreinte en complément de ses productions écrites.

La formation restreinte rappelle enfin que les constatations de fait opérées dans le cadre de la présente procédure portaient essentiellement sur des documents institutionnels rédigés par la société elle-même.

Au regard de ces éléments, la formation restreinte estime que les droits de la défense de la société x ont été garantis.

3.Sur le périmètre des investigations

En défense, la société soutient tout d’abord que le rapporteur a confondu le système d’exploitation x alors qu’il s’agit de services distincts qui mettent en œuvre des activités de traitements différentes.

Elle indique notamment que lors de la configuration de son appareil mobile sous x, les utilisateurs ont clairement le choix de créer ou non un compte x et que les Règles de confidentialité leur expliquent la manière dont les services x peuvent être utilisés avec ou sans compte x (ex : visionnage de vidéos x sans création de compte etc.).

Elle fait ensuite valoir que le périmètre du contrôle choisi par la CNIL – à savoir la création d’un compte x lors de la configuration d’un nouvel appareil utilisant le système d’exploitation x – est limité en ce qu’il représente un cas de figure qui ne concerne que 7% des utilisateurs.

Enfin, elle indique que les constatations ont été effectuées sur une ancienne version du système d’exploitation x.

Tout d’abord, la formation restreinte indique qu’elle ne remet pas en cause l’existence de services distincts, liés respectivement au système d’exploitation x et au compte x, mettant en œuvre des activités de traitements différentes.

[… passage central omis : décision trop longue pour une cellule …]

Les lignes directrices du CEPD sur le consentement susvisées précisent que : Afin de se conformer au caractère spécifique du consentement, le responsable du traitement doit garantir : […] (ii) le caractère détaillé des demandes de consentement […] Cela signifie qu’un responsable du traitement qui sollicite le consentement pour diverses finalités spécifiques devrait prévoir un consentement distinct pour chaque finalité afin que les utilisateurs puissent donner un consentement spécifique à des finalités spécifiques .

En l’espèce, la formation restreinte relève que lorsque l’utilisateur crée un compte, il a la possibilité de modifier certains des paramètres associés au compte. Pour accéder à ces paramètres, l’utilisateur doit cliquer sur le bouton plus d’options , présent avant le bouton Créer un compte . La formation restreinte relève par ailleurs que les paramètres de personnalisation du compte, qui contiennent le choix en matière d’affichage des annonces personnalisées, sont pré-cochés par défaut, ce qui traduit, sauf action contraire, l’accord de l’utilisateur au traitement de ses données pour les finalités mentionnées (ex. historique des recherches x, affichage des annonces personnalisées etc.). L’utilisateur a la possibilité de décocher ces paramètres s’il ne souhaite pas que ces traitements soient mis en œuvre.

La formation restreinte observe que, au moment de la création du compte, si l’utilisateur ne clique pas sur le bouton plus d’options afin de paramétrer son compte, il doit cocher les cases j’accepte les conditions d’utilisation de x et j’accepte que mes informations soient utilisées telles que décrit ci-dessus et détaillées dans les règles de confidentialité . Par la suite, il doit appuyer sur le bouton Créer un compte . Une fenêtre surgissante apparaît, intitulée Simple confirmation qui contient le texte suivant Ce compte x est configuré pour inclure des fonctionnalités de personnalisation (telles que les recommandations et les annonces personnalisées ), qui sont basées sur les informations enregistrées dans votre compte. Pour modifier vos paramètres de personnalisation et les informations enregistrées dans votre compte, sélectionnez Plus d’options .

S’il ne clique pas sur Plus d’options , l’utilisateur doit alors sélectionner le bouton Confirmer pour finaliser la création du compte.

Au vu de ce qui précède, la formation restreinte relève que si l’utilisateur a la possibilité de modifier la configuration des paramètres de son compte préalablement à sa création, une action positive de sa part est nécessaire pour accéder aux possibilités de paramétrage du compte. Ainsi, l’utilisateur peut tout à fait créer son compte, et accepter les traitements qui y sont liés, notamment les traitements de personnalisation de la publicité, sans cliquer sur Plus d’options . Par conséquent, le consentement de l’utilisateur n’est, dans ce cas de figure, pas valablement recueilli dans la mesure où il n’est pas donné par le biais d’un acte positif par lequel la personne consent spécifiquement et distinctement au traitement de ses données à des fins de personnalisation de la publicité par rapport aux autres finalités de traitement.

La formation restreinte considère en outre que les actions par lesquelles l’utilisateur procède à la création de son compte – en cochant les cases j’accepte les conditions d’utilisation de x et j’accepte que mes informations soient utilisées telles que décrit ci-dessus et détaillées dans les règles de confidentialité , puis en sélectionnant Créer un compte