La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-113C du 17 mai 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à la vérification de la conformité des traitements de données à caractère personnel mis en œuvre dans le cadre de l’utilisation des systèmes d’exploitation […] et […] aux dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 janvier 2022 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 27 juillet 2022 ;

Vu les observations écrites versées par la société […] le 19 septembre 2022 ;

Vu la réponse du rapporteur à ces observations notifiée à la société […] le 19 octobre 2022 ;

Vu les nouvelles observations écrites versées par la société […] le 21 novembre 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte du 12 décembre 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte :

– Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Le groupe […] (la société […] et ses filiales, collectivement le  » groupe […] « ) conçoit, fabrique et commercialise des dispositifs de communication et de média mobiles, des ordinateurs personnels et vend une gamme de logiciels, services et périphériques, solutions réseau, contenus numériques et applications tierces en relation avec ces produits.

2. Les produits du groupe […], qui incluent notamment […] (téléphone mobile multifonctions), sont fournis chacun avec un système d’exploitation spécifique pré-installé conçu au sein du groupe […] ([…]).

3. Le groupe […] vend et délivre ses contenus numériques et ses applications à travers ses magasins d’applications en ligne qui sont […].

4. La société […] détient, en règle générale, directement ou indirectement au travers d’entités intermédiaires, des participations dans toutes les filiales du groupe. Il s’agit notamment des sociétés […] (ci-après la société  » […] « ), […], […] et […] (ci-après la société  » […] « ).

5. La société […] est située à […] et emploie environ […] salariés. Elle se présente comme étant l’entité responsable des ventes et de la distribution des produits du groupe […] en Europe. Elle se considère également comme responsable de traitement des données à caractère personnel en lien avec l’activité des plateformes de publicité du groupe […] dans l’Espace économique européen.

6. Pour l’année 2021, la société […] a réalisé un chiffre d’affaires d’environ […] dollars, soit environ […] euros […] (selon le taux de change actuel).

7. La société […] est située […] et emploie environ […] salariés. Elle ne vend ni ne distribue de produits en France. Son rôle est de soutenir les ventes et le marketing des produits commercialisés par la société […] auprès des partenaires de distribution sur le marché français, en vertu d’un  » contrat de service d’aide à la vente et de marketing  » en vigueur depuis le 1er octobre 2018.

8. La société […] est située […]. Son rôle est de vendre et de distribuer en France des produits du groupe […].

9. La société […], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([…]), dont le siège social est situé […].

10. La société […], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([…]), dont le siège social est situé […].

11. Le 10 mars 2021, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie par l’association […] d’une plainte à l’encontre d’[…]. La plainte concerne les traitements mis en œuvre par le groupe […] au travers de ses systèmes d’exploitation […] et […]. Il est notamment indiqué dans cette plainte que le paramètre de confidentialité  » Publicités personnalisées  » présent dans les réglages des appareils commercialisés par le groupe […] et fonctionnant avec les systèmes d’exploitation […] et […] est activé par défaut, ce qui ne permet pas aux utilisateurs de consentir valablement aux traitements de ciblage publicitaire.

12. Deux missions de contrôle en ligne sur des appareils équipés du système d’exploitation […] et […] ont été effectuées les 8 et 16 juin 2021.

13. Les procès-verbaux n° 2021-113/1 et 2021-113/2, dressés par la délégation le jour des contrôles, ont été notifiés aux sociétés […] et […] le 24 juin 2021. À cette occasion, des demandes de complément d’information leur ont été adressées. La société […] y a répondu par courriels des 5 et 12 juillet 2021. En revanche, par courriels des 30 juin et 8 juillet 2021, la société […] a indiqué ne pas être en mesure de répondre aux demandes de la délégation, ne jouant pas un  » un rôle déterminant dans les traitements faisant l’objet du contrôle « .

14. Un contrôle sur pièces a également été effectué auprès des sociétés […], […] et […] le 13 juillet 2021. Ces sociétés ont communiqué leur réponse à la CNIL, par courriels du 25 août 2021. Par courriels du 31 août 2021, les sociétés […] et […] ont complété ces réponses en transmettant, chacune pour ce qui la concerne, le registre des traitements mis en œuvre. À cette occasion, une demande de complément d’information a été adressée à la société […], qui y a répondu par courriel du 5 octobre 2021.

15. Un contrôle sur place, dans les locaux de la société […], a enfin été effectué le 13 octobre 2021 afin qu’elle apporte des précisions sur ses relations avec la société […], sur l’activité des salariés occupant la fonction de […].

16. Le procès-verbal n° 2021-113/3, dressé par la délégation le jour du contrôle, a été notifié aux sociétés […] et […], respectivement les 19 octobre et 14 décembre 2021. À cette occasion, une demande de complément d’information a été adressée à la société […], qui y a répondu par courriel du 25 octobre 2021.

17. Une demande de complément d’information a été adressée à la société […] par courrier du 15 novembre 2021, qui y a répondu par courriels des 17 novembre et 3 décembre 2021.

18. Par courriel du 7 décembre 2021, la CNIL a adressé une nouvelle demande de complément à la société […], qui y a répondu par courriel du 22 décembre 2021.

19. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 10 janvier 2022, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

20. Par courriel du 18 février 2022, la société […] a sollicité une audition afin d’exposer au rapporteur le contexte dans lequel s’inscrit la plainte déposée par l’association […] et de lui faire part d’informations relatives au cadre dans lequel s’effectuent les opérations techniques réalisées sur les terminaux mobiles exécutant le système d’exploitation […].

21. Le rapporteur ayant répondu favorablement à cette demande, l’audition de la société a eu lieu le 16 mars 2022 dans les locaux de la CNIL.

22. Le procès-verbal n° CTX-2021-106 dressé à l’issue de cette audition a été notifié par courriel à la société […] le 17 mars 2022. La communication de documents complémentaires a de nouveau été sollicitée par la CNIL.

23. Les 30 mars, 12 avril et 3 juin 2022, la société […] a communiqué les documents sollicités à la CNIL.

24. Le rapporteur a, le 27 juillet 2022, fait notifier à la société un rapport proposant à la formation restreinte de prononcer une amende administrative d’un montant de six millions d’euros au regard du manquement à l’article 82 de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés « ) qu’il estimait constitué en l’espèce. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

25. Le 29 juillet 2022, la société a sollicité un délai complémentaire pour présenter ses observations en réponse.

26. Le 4 août 2022, le président de la formation restreinte a rejeté cette demande.

27. Le 19 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.

28. Le 19 octobre 2022, le rapporteur a adressé sa réponse aux observations de la société.

29. Le 24 octobre 2022, la société a sollicité un délai complémentaire pour présenter ses deuxièmes observations en réponse.

30. Le 26 octobre 2022, la président de la formation restreinte a rejeté cette demande.

31. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.

32. Le 22 novembre 2022, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 8 décembre 2022.

33. Le 23 novembre 2022, la société a sollicité le report de la séance de la formation restreinte.

34. Le 24 novembre 2022, la président de la formation restreinte a fait droit à cette demande en fixant la date de la séance au12 décembre 2022.

35. Le rapporteur et la société […] ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

36. Aux termes de l’article 82 de la loi Informatique et Libertés, qui constitue la transposition en droit interne de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques,  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] « .

37. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et engager une procédure de sanction concernant les opérations d’écriture et / ou de lecture d’informations mis en œuvre par la société […], à savoir sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive  » ePrivacy « .

38. Il relève qu’il ressort des éléments communiqués par la société que ce traitement s’inscrit dans le cadre du service mis en œuvre par la société […], appelé […] à des fins de personnalisation des annonces sur […]. Celui-ci permet aux développeurs de promouvoir leur application auprès des utilisateurs sur […] à partir des seuls critères suivants : le  » type d’appareil  » ([…]), le  » type de clientèle  » (nouveaux, anciens utilisateurs ou tous les utilisateurs existants), le  » profil démographique  » (sexe et tranche d’âge), la  » localisation  » (ville, région ou pays) et la  » planification de campagne  » (date de début et de fin d’une campagne publicitaire).

39. Si le paramètre relatif à la réception de la publicité ciblée dans l'[…] est activé dans les réglages de […], l’utilisateur verra s’afficher en priorité en haut des résultats de sa recherche les applications promues via le service  » […] « . À l’inverse, si ce paramètre n’est pas activé, les utilisateurs recevront tout de même une annonce, qui ne sera alors pas personnalisée mais contextuelle, dépendant de la recherche effectuée.

40. Pour ce faire, le rapporteur relève que la société a mis en place une  » architecture technique  » qui fonctionne en plusieurs temps.

41. La première étape est relative à la collecte de données : lors de la création du compte utilisateur […] (couramment appelé  » […] « ), un identifiant technique nommé  » […]  » (ci-après  » […] « ) est attribué à chaque compte utilisateur. Le […] est créé sur les serveurs de la société. Il est notamment utilisé pour accéder à […] et aux contenus, informations et services associés au compte utilisateur […].

42. Lors de sa navigation sur […], la trace de l’activité de l’utilisateur (c’est-à-dire le fait que l’utilisateur effectue une recherche, télécharge ou achète des applications dans […]), ainsi que les informations qu’il a renseignées dans son compte […] (c’est-à-dire l’année de naissance, le genre et la localisation de l’utilisateur), sont collectées et associées à cet identifiant […] sur les serveurs  » […] » (ci-après  » […] « ).

43. Si le paramètre relatif à la réception de la publicité ciblée dans […] est activé, ces données sont utilisées pour déterminer les segments auxquels un utilisateur sera affecté et, par conséquent, les publicités qu’il recevra. Un  » segment  » est un groupe d’au moins […] utilisateurs partageant des caractéristiques similaires et dont le paramètre relatif à la réception de la publicité ciblée dans […] est activé dans les réglages de […].

44. La deuxième étape est relative à la création d’identifiants spécifiques à la personnalisation des annonces visant à promouvoir les applications mobiles sur […] : afin d’éviter que la distribution et la mesure des contenus publicitaires impliquent l’utilisation de l’identifiant […], l’appareil de l’utilisateur va générer localement sur le terminal de l’utilisateur deux autres identifiants :

• d’une part, le  » […]  » (ci-après le  » […] « ) qui est synchronisé via […] afin de s’assurer que tous les appareils d’un même utilisateur ont le même […] ;

• d’autre part […] qui est spécifique à chaque appareil et ne nécessite pas de synchronisation via […].

45. Enfin, la troisième étape est relative à l’affichage d’annonces personnalisées sur le terminal de l’utilisateur : lorsque l’utilisateur effectue une recherche d’application dans […], son appareil adresse une requête publicitaire aux serveurs  » […]  » contenant le mot recherché, le […], […] et les identifiants relatifs aux segments le concernant, afin qu’ils déterminent la publicité ciblée à diffuser en priorité (l’ensemble de ces éléments étant disponibles en local sur le terminal, le procédé permet d’éviter que les serveurs  » […]  » puissent identifier le compte […] associé à chaque requête). […] peut également servir à comptabiliser le nombre d’ » impressions publicitaires  » réalisées sur un appareil, c’est-à-dire le nombre d’affichages d’une publicité donnée.

46. Au regard de ces éléments, le rapporteur soutient, d’une part, que la société procède à des opérations de lecture et / ou d’écriture sur les terminaux des utilisateurs afin d’authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […] dans le but de personnaliser des annonces destinées à promouvoir les applications mobiles sur […] et, d’autre part, que la société procède à une opération de lecture du […] et de […] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs […]) dans les terminaux des utilisateurs lors des requêtes envoyées aux serveurs  » […] « .

47. En défense, la société soutient que le traitement à des fins de personnalisation des annonces sur […] qu’elle met en œuvre est effectué soit sur ses serveurs et ne fait pas partie du périmètre des investigations de la CNIL, soit sur le terminal des utilisateurs uniquement à des fins de  » d’authentification de manière sécurisée de l’utilisateur  » ou de  » protection de la vie privée  » et constituent donc des opérations relevant des exemptions au recueil du consentement prévues par l’article 82 de la loi Informatique et Libertés.

48. Pour examiner la question de l’existence matérielle d’opérations de lecture ou d’écriture, la formation restreinte estime qu’il faut distinguer entre le […] et le […], […].

a. Sur les opérations de lecture et / ou d’écriture liées au […]

49. En défense, la société reconnaît d’abord que  » des informations sont stockées sur un seul appareil […] pour authentifier de manière sécurisée son utilisateur en relation avec le […] d’un compte […] sur les serveurs […]  » mais précise que ces  » informations ne sont pas […] utilisées à des fins publicitaires « . La société indique ensuite que  » les recherches effectuées dans l’[…] par les utilisateurs sont nécessairement suivies d’opérations permettant à […] de renvoyer les résultats de la recherche sur l’appareil utilisé. Toutefois, les opérations dans ce contexte ne sont pas effectuées pour créer des segments à des fins publicitaires, mais simplement pour fournir le service demandé, c’est-à-dire l’[…] « . La société précise enfin que  » toutes les informations utilisées par […] pour créer les segments décrits dans ses observations n°1 à des fins de personnalisation des publicités sont stockées et conservées sur les serveurs d’[…] « .

50. La formation restreinte relève d’abord qu’il ressort de ces éléments que la société ne conteste pas procéder à des opérations d’écriture d’informations sur les terminaux des utilisateurs afin d’authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […].

51. Ensuite, la formation restreinte relève que si la société soutient qu’aucune information n’est stockée et /ou lue sur le terminal des utilisateurs afin d’affecter des segments à ces derniers, il n’en demeure pas moins qu’elle est en mesure d’identifier l’ensemble des requêtes relatives à des recherches dans […] vers les serveurs […] comme provenant d’un unique terminal associé à un compte précis.

52. La formation restreinte note également en ce sens qu’interrogée sur ledit mécanisme, lors de l’audition du 16 mars 2022, la société a indiqué que  » Lorsque l’utilisateur effectue une recherche dans l'[…] et télécharge des applications ou effectue des transactions au travers de cette plate-forme, son activité est enregistrée par le serveur de […] plate-forme et est associée à son « […] » ([…]), qui est l’identifiant technique relatif au compte utilisateur […] de l’usager (un […] correspond à un […]) « . De plus, lors de cette audition, le […] a été présenté comme  » essentiel pour authentifier en toute sécurité un terminal et un compte […] « . La formation restreinte relève également que le rapporteur a décrit le traitement en cause, en indiquant notamment que  » le […] est l’identifiant technique relatif au compte utilisateur de chaque usager et permet le maintien de la connexion lors de la navigation de l’utilisateur sur différents services […]  » et que ce point n’a pas été contesté par la société. Il ressort de ces éléments que des  » informations « , qui sont ensuite rattachées au […], sont lues sur le terminal de l’utilisateur afin d’associer ses téléchargements et le résultat de ses recherches à son compte […].

53. En conséquence, la formation restreinte considère que la société procède à des opérations de lecture et / ou d’écriture d’informations sur les terminaux des utilisateurs pour authentifier le […] d’un compte utilisateur enregistré comme actif sur les serveurs […].

b. Sur les opérations de lecture du […] et de l’i[…]d dans le terminal de l’utilisateur

54. En défense, la société reconnaît que  » des mesures techniques, telles que des opérations de  » stockage  » et  » d’accès  » au terminal […] ont pour objet de procéder à un remplacement du […] par le […], ce afin d’éviter d’établir un lien entre l’identité de l’utilisateur (le […]) et les segments pertinents applicables à cet utilisateur « , conformément à l’obligation de protection des données dès la conception prévue par l’article 25 du RGPD. S’agissant de l’identifiant […], elle précise néanmoins que cette opération de remplacement a lieu uniquement pour protéger  » la vie privée de ses utilisateurs « . S’agissant de l’identifiant […], elle indique que celui-ci  » ne permet aucun suivi et qu’il est utilisé uniquement comme identifiant de renforcement de la confidentialité, dans le contexte de mesures statistiques « .

55. La formation restreinte rappelle à nouveau que la seule action tendant à accéder à des informations déjà stockées dans un équipement terminal de l’utilisateur situé en France entraîne l’application de l’article 82 de la loi Informatique et Libertés.

56. La formation restreinte considère dès lors que si le remplacement d’informations rattachées au […] par des identifiants tiers ([…] et […], lesquels sont générés directement par le téléphone de l’utilisateur) a pour intérêt d’éviter la diffusion du […] vers les serveurs  » […]  » dédiés à la publicité d’[…] (et donc de rompre le lien entre l’identifiant et l’identité de la personne concernée), il n’en demeure pas moins que ces deux nouveaux identifiants, (ainsi que la liste des segments associés à la personne préalablement écrite dans le terminal par les serveurs […]) sont par la suite lus dans le terminal de l’utilisateur lors de la construction des requêtes envoyées aux serveurs  » […] « . Ils sont en effet utilisés lors des étapes relatives à la sélection et à la distribution des annonces destinées à promouvoir les applications ciblées sur […] ainsi que pour le décompte du nombre d’affichage d’une annonce sur un appareil (mesure des  » impressions publicitaires « ), ce qui implique donc bien un accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur.

57. En conséquence, la formation restreinte considère que la société procède à une opération de lecture du […] et de […] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs […]) dans le terminal de l’utilisateur lors des requêtes envoyées aux serveurs  » […] « .

c. Sur les traitements subséquents et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

58. En défense, la société fait valoir le caractère indissociable des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de […] et de l’utilisation subséquente des données collectées par ces identifiants pour les finalités poursuivies par le responsable de traitement. Ainsi, la société considère que  » le rapporteur ne répond pas à l’analyse […] selon laquelle la CNIL ne serait pas compétente en application du RGPD « . Elle affirme que les opérations visant à affecter des segments à un utilisateur donné ont lieu sur les serveurs […] du groupe […] et non sur le terminal de l’utilisateur,  » à condition qu’un appareil […] se soit authentifié auprès du serveur « . Elle en déduit que  » ce traitement ne peut donc être qu’un  » traitement ultérieur  » effectué après toute opération de  » lecture  » ou de  » stockage  » effectué pour l’authentification « . Dès lors, la société estime que, dans la mesure où la CNIL a engagé une procédure de sanction à son encontre s’agissant uniquement des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de […], elle n’est pas fondée à mobiliser, dans sa démonstration, des éléments liés aux traitements subséquents à ces opérations, en l’occurrence les activités réalisées ultérieurement sur les serveurs […] qui ne  » consistent pas à stocker, ou à accéder, à des informations sur l’appareil de l’utilisateur « . Elle estime que ces traitements ne relèvent pas de l’article 82 de la loi Informatique et Libertés mais du RGPD et que, dans la mesure où son établissement principal est situé en Irlande, la compétence pour engager une telle procédure reviendrait à l’autorité de protection des données irlandaise, autorité cheffe de file en vertu de l’article 56 du RGPD, compétente pour mettre en œuvre le mécanisme de coopération entre autorités de contrôle, dit mécanisme de  » guichet unique « , prévu au chapitre VII de ce règlement.

59. La formation restreinte rappelle tout d’abord, qu’il convient de distinguer, d’une part, les opérations de lecture et d’écriture sur un terminal, qui sont régies par les dispositions de l’article 82 de la loi Informatique et Libertés et pour lesquelles le législateur français a confié à la CNIL une mission de contrôle et notamment le pouvoir de sanctionner toute méconnaissance de cet article et, d’autre part, l’utilisation qui est faite ultérieurement des données produites ou collectées via ces opérations, qui est régie par le RGPD et peut donc, le cas échéant, être soumise au dispositif de  » guichet unique « .

60. Elle rappelle ensuite que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423).

61. La formation restreinte relève enfin que si les écrits du rapporteur contiennent des références aux conséquences de l’écriture et / ou de la lecture d’informations sur les terminaux des utilisateurs afin d’authentifier les informations rattachées au […] d’un compte utilisateur ainsi que celles du […] et de […] pour les internautes, il ne contiennent aucune analyse sur la conformité au RGPD des traitements de données à caractère personnel subséquents effectués à partir des données collectées par le biais de ces traceurs. Seules les opérations de lecture et / ou d’écriture des identifiants […], […] et […] et leurs finalités seront analysées pour déterminer si l’article 82 de la loi Informatique et Libertés est applicable.

62. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive  » ePrivacy « , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

[… passage central omis : décision trop longue pour une cellule …]

100. Ensuite, s’agissant de l’argument selon lequel les étapes relatives au remplacement d’informations rattachées au […] par le […] et […] sont mises en œuvre afin de respecter les principes de protection de la vie privée et qu’en leur absence, la société pourrait relier les informations relatives aux annonces diffusées à l’identité de l’utilisateur, ce qui porterait atteinte à sa vie privée, la formation restreinte souligne que, en effet, l’architecture technique sous tendant le service  » […]  » permet en soi de rendre les traitements ultérieurs liés à la personnalisation des annonces moins intrusifs pour les personnes concernées. Elle considère en revanche que, dès lors que l’article 82 de la loi Informatique et Libertés trouve à s’appliquer, il est nécessaire d’en respecter les conditions, notamment celles liées au recueil du consentement préalable à toute opération de lecture ayant lieu sur l’équipement terminal de l’utilisateur, hors opérations liées au fonctionnement des communications électroniques ou strictement nécessaires à la fourniture d’un service demandé par l’utilisateur. Autrement dit, la formation restreinte considère que le fait de mettre en œuvre d’autres mesures afin de protéger la vie privée dès la conception ne permet pas de s’affranchir de la règle fixée par l’article 82 de la loi Informatique et libertés.

101. Dès lors, elle considère que ces opérations nécessitent que l’utilisateur ait donné son consentement préalable, dans les conditions prévues par les dispositions de l’article 82 de la loi du 6 janvier 1978 modifiée, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.

102. En second lieu, la formation restreinte relève que le consentement des personnes doit être univoque et qu’il ressort de la décision  » Planet 49  » du 1er octobre 2019 de la CJUE que l’utilisation de cases pré-cochées ne peut être considérée comme un acte positif clair visant à donner son consentement (CJUE, 1er oct. 2019, C-673/17). Au surplus, dans le cadre des lignes directrices du 17 septembre 2020, la Commission a pris soin de préciser qu’un  » consentement doit se manifester par le biais d’une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exprimer « .

103. En l’espèce, la formation restreinte relève qu’il ressort des constatations effectuées dans la rubrique intitulée  » Publicité […] « , que les paramètres de ciblage de la publicité sont pré-cochés par défaut. Elle considère qu’en étant autorisés  » par défaut « , les traitements de ciblage de la publicité ne sauraient être considérés comme ayant été acceptés par un acte positif des utilisateurs.

104. La formation restreinte rappelle en outre que cette étape du recueil du consentement intervient tardivement dans la phase de prise en main du téléphone par l’utilisateur et qu’elle est facultative car non intégrée au parcours d’initialisation du téléphone. En outre, cette étape n’est accessible qu’après que l’utilisateur a cliqué sur l’icône  » Réglages  » de […], s’est rendu dans le menu  » Confidentialité « , puis a cliqué sur la rubrique intitulée  » Publicité [