Délibération de la formation restreinte no SAN-2021-012 du 26 juillet 2021 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜE, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu les saisines n°19009370, 19009429, 19009432, 19009439, 19009604, 19009666, 19017095 ;

Vu la décision n° 2019-098C du 13 mai 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y, devenue, à partir du 1er janvier 2017, la société XY ;

Vu la décision n° 2019-099C du 13 mai 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société XX ;

Vu la décision n° 2019-111C du 26 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 5 novembre 2020 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié, à la demande des sociétés, à la société ZZ, venant aux droits de la société X le 15 février 2021 ;

Vu les observations écrites versées par le conseil de la société X le 15 mars 2021 ;

Vu la réponse du rapporteur à ces observations notifiée au conseil de la société X le 9 avril 2021 ;

Vu les nouvelles observations écrites versées par le conseil de la société X, reçues le 5 mai 2021 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 20 mai 2021 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants de la société X :

[ …]

En qualité d’interprète :

[…]

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » la société X « ) est une société américaine spécialisée dans les […], dont le siège est situé au […] aux ETATS-UNIS. Le groupe X a fait l’objet au mois de juin 2018 d’une acquisition par le groupe […] allemand ZZ.

2. La société X demeure cependant une entité distincte, détenue à 100% par la société Z, et qui conserve la personnalité morale et la même dénomination sociale.

3. Au cours du mois de mai 2019, un article paru dans le journal  » […] » ainsi que deux documentaires diffusés sur la chaîne  » […] » ont révélé qu’entre 2016 et 2017, les sociétés Y (devenue la société XY) et la société XX avaient constitué, pour le compte de la société X, des fichiers contenant les données à caractère personnel de plus de 200 personnalités politiques françaises et européennes ou appartenant à la société civile dont des journalistes, des militants de la cause écologiste, des scientifiques et des agriculteurs, dans le cadre de la campagne pour le renouvellement de l’autorisation d’utilisation du […] par la Commission européenne.

4. Entre les mois de mai et septembre 2019, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie de sept plaintes (saisines n° 19009370, 19009429, 19009432, 19009439, 19009604, 19009666, 19017095) à l’encontre de la société dans lesquelles les plaignants indiquaient notamment qu’ils n’avaient pas été informés de l’existence de ce traitement de leurs données à caractère personnel.

5. En application des décisions n° 2019-098C et n° 2019-099C du 13 mai 2019 et n° 2019-111C du 26 juin 2019 de la présidente de la Commission, une délégation de la CNIL a mené les opérations de contrôle suivantes :

– un contrôle sur pièces, par l’envoi d’un courrier de demande de pièces le 15 mai 2019 à la société Y (devenue la société XY le 1er janvier 2017) ;

– une audition de la société Y le 21 janvier 2020 ;

– un contrôle sur pièces, par l’envoi d’un courrier de demande de pièces le 14 mai 2019, à la société XX ;

– un contrôle sur pièces, par l’envoi d’un questionnaire le 6 août 2019, à la société X.

6. Ces missions avaient pour objet de vérifier le respect par ces sociétés de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » la loi du 6 janvier 1978 « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD  » ou  » le Règlement « ). En particulier, il s’est agi de procéder à des investigations en lien avec le traitement effectué à la demande de la société X et dans le cadre d’une mission globale de représentation d’intérêts, par la société Y, consistant à collecter et organiser des données à caractère personnel en vue d’accomplir une mission de représentation d’intérêts concernant l’utilisation du […] en Europe et dans le monde.

7. Il ressort des investigations menées par la délégation de contrôle de la CNIL que, par un contrat cadre de prestation de services en date du 18 juillet 2013, complété par trois avenants et quatre cahiers des charges, la société X a confié à la société Y – devenue le 1er janvier 2017 la société XY – une mission de représentation d’intérêts concernant l’utilisation du […] en Europe et dans le monde, à compter de 2016 et jusqu’au 31 mai 2019.

8. En effet, parmi ses activités, la société développe et commercialise des produits phytosanitaires. Le plus connu d’entre eux est […] dont l’une des substances actives est le […]. En vue du renouvellement de l’autorisation du […] par la Commission européenne, intervenu finalement le 27 novembre 2017, la société X a mené une importante campagne de représentation d’intérêts, notamment à l’aide des sociétés Y et XX.

9. Dans le cadre de cette prestation, la société Y a procédé à l’identification et au recensement d’informations relatives à des personnalités impliquées dans le débat sur le renouvellement de l’autorisation d’utilisation du […] en Europe, qui s’est notamment concrétisé par l’élaboration et la tenue d’une liste des  » parties prenantes  » intervenant dans le cadre de cette campagne. Ce fichier, intitulé  » […] « , comportait une liste de 201 personnes résidant en France, dont des membres d’associations de protection de l’environnement, d’associations d’agriculteurs, d’associations dans le domaine de la santé, d’organisations professionnelles, des personnalités politiques, des membres d’administrations, des journalistes, des universitaires et des agriculteurs. Pour chacune de ces personnes, les informations suivantes étaient renseignées : organisme de rattachement et site web, poste occupé, adresse professionnelle, numéro de téléphone fixe professionnel, numéro de téléphone portable, adresse de messagerie électronique professionnelle et, le cas échéant, compte  » Twitter « .

10. En outre, une note allant de 1 à 5 était attribuée à chaque personne, afin d’évaluer son influence, sa crédibilité et son soutien à la société X sur six sujets, en l’occurrence l’agriculture, les pesticides, les organismes génétiquement modifiés, l’environnement, l’alimentation et la santé.

11. Le fichier comportait également une zone de commentaire libre dans laquelle pouvaient être indiqués les évènements auxquels ces personnes avaient assisté ou qu’elles avaient organisé, les personnes avec qui elles travaillaient, les contacts qu’elles avaient eus avec des représentants de la société X ou encore les articles qu’elles avaient publiés au sujet du […].

12. En outre, entre 2016 et 2017, la société Y a notamment chargé la société XX, pour le compte de la société X, d’identifier les personnes influentes dans le débat public en France, de produire des notes d’analyse relatives aux tendances électorales en France et de procéder à une veille des médias sur l’actualité législative et politique française en lien avec le débat sur le renouvellement de l’autorisation d’utilisation du […] en Europe. La société Y a mis fin à la mission de la société XX au mois d’avril 2017.

13. Afin d’instruire ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 5 novembre 2020, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

14. À l’issue de son instruction, la rapporteure a fait signifier par huissier de justice à la société X, le 15 février 2021, un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce. Était également jointe au rapport une convocation à la séance de la formation restreinte du 1er avril 2021, indiquant à la société qu’elle pouvait produire ses observations en réponse au plus tard le 16 mars 2021.

15. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société X une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

16. Le 15 mars 2021, la société a produit des observations en réponse. Le 23 mars 2021, la rapporteure a demandé au président de la formation restreinte, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après  » le décret du 29 mai 2019 « ), un délai supplémentaire pour répondre aux observations de la société, qui lui a été accordé le 25 mars 2021. Cette information a été portée à la connaissance de la société le jour même. Elle a également été informée de ce que la séance de la formation restreinte initialement prévue le 1er avril était reportée à une date ultérieure.

17. Le 23 mars 2021, la société a formulé une demande pour que la séance de la formation restreinte se tienne à huis clos, demande qui a été rejetée par le président de la formation restreinte, par courrier du 8 avril 2021.

18. La rapporteure a répondu aux observations de la société le 9 avril 2021. Le même jour, le secrétaire général de la CNIL a informé la société que la séance de formation restreinte se tiendrait le 20 mai 2021.

19. Le 5 mai 2021, la société a présenté de nouvelles observations en réponse à celles du rapporteur.

20. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le grief tiré de l’impartialité de la procédure

21. La société X reproche à la rapporteure d’avoir fait preuve de partialité dans son instruction dans la mesure où son rapport de sanction serait essentiellement fondé sur les déclarations de la société Y et où certains documents communiqués à la CNIL par les sociétés Y et XX lors des contrôles ne lui auraient pas été transmis. Elle souligne également que ni les services de la CNIL ni la rapporteure n’ont procédé à son audition alors que la société Y a été entendue par la délégation de contrôle de la CNIL. Elle souligne en outre que la société Y avait tout intérêt à imputer la responsabilité du traitement mis en œuvre à la société X.

22. La société reproche également à la rapporteure de n’avoir retenu à son encontre que des éléments à charge et d’avoir écarté des débats certains documents. Elle note en outre que certaines pièces annexées au rapport de la rapporteure ont partiellement été occultés, la privant ainsi du droit à préparer efficacement sa défense. En particulier, la société se plaint de ce que l’étude d’impact réalisée par la société Y ne lui a pas été communiquée. Elle note encore que le rapport d’audit réalisé par la société YY à la suite de la publication des articles de presse et de la diffusion des reportages, audit qui a été réalisé à la demande de la société zz et dont le rapport démontre l’absence du fichier litigieux au sein du système d’information de la société X, n’est pas discuté par la rapporteure.

23. En premier lieu, la formation restreinte note que le procès-verbal d’audition des représentants de la société Y, réalisée par la délégation de contrôle de la CNIL le 21 janvier 2020, fait partie des pièces annexées au rapport de sanction qui a été notifié à la société le 15 février 2021 de même que toutes les autres pièces sur lesquelles la rapporteure a fondé son analyse et sa proposition dans le cadre de la procédure. Ainsi, comme le prévoit l’article 40 du décret no 2019 536 du 29 mai 2019, la société a eu la possibilité de formuler des observations écrites en réponse au rapport de la rapporteure et donc de remettre en cause toute déclaration formulée par la société Y qu’elle estimait erronée ou mensongère. Au demeurant, la formation restreinte souligne que la société a également eu la possibilité de produire de nouvelles observations en réponse à celles de la rapporteure et, qu’enfin, elle a pu développer ses arguments au cours de la séance de la formation restreinte du 20 mai 2021, conformément à l’article 42 du décret précité. La société X a donc pu faire valoir ses observations à différents stades de la procédure, conformément aux dispositions applicables.

24. En deuxième lieu, la formation restreinte note que le choix de la rapporteure d’annexer à son rapport de sanction seulement les éléments utiles à la caractérisation des manquements qu’elle estimait devoir être reprochés à la société, et non l’ensemble des éléments recueillis dans le cadre des procédures de contrôle, n’entrave aucunement les droits de la défense de la société. En effet, d’une part, la rapporteure a pu librement considérer que certains documents n’étaient pas utiles à sa démonstration et, d’autre part, comme expliqué au point précédent, la procédure contradictoire organisée par la loi  » Informatique et Libertés  » et le décret pris pour son application ont permis à la société de produire tout document qu’elle estimait utile à sa défense.

25. S’agissant du fait que certains documents communiqués par la rapporteure comporte des occultations, la formation restreinte note que la rapporteure a indiqué que ces occultations portaient sur des informations protégées par le secret des affaires, sans lien avec la présente procédure, ou sur des données à caractère personnel. La formation restreinte note par ailleurs qu’à l’occasion de sa réponse aux observations de la société en date du 9 avril 2021, la rapporteure a finalement communiqué à la société plusieurs de ces documents dans leur version intégrale.

26. La formation restreinte rappelle au demeurant qu’elle n’a pas été rendue destinataire des versions non occultées de ces documents, de sorte qu’elle n’a connaissance d’aucun élément supplémentaire qui n’aurait pas été communiqué à la société dans le cadre de la procédure. En tout état de cause, la formation restreinte précise que les occultations en question n’ont nullement dénaturé sa compréhension du dossier et n’ont pas eu d’incidence sur sa prise de décision.

27. En troisième lieu, s’agissant de l’absence d’audition de la société, la formation restreinte relève tout d’abord qu’un contrôle sur pièces de la société X a été réalisé par une délégation de la CNIL, qui s’est traduit par l’envoi d’un questionnaire l’interrogeant sur la mise en œuvre du traitement en question, auquel la société a répondu. La formation restreinte observe ainsi que la société a bien été entendue en cours de la procédure, dans le respect des dispositions légales applicables, le contrôle sur pièces constituant l’une des quatre formes de contrôle prévues par l’article 19 de la loi Informatique et Libertés. Ensuite, elle rappelle que l’audition par le rapporteur de l’organisme contre lequel une procédure de sanction a été initiée n’est qu’une faculté qui est offerte au rapporteur par l’article 39 du décret précité et non une étape obligatoire de la procédure. La formation restreinte relève en outre que la société n’a pas non plus sollicité d’audition directement auprès de la rapporteure.

Au vu de ce qui précède, la formation restreinte considère que la procédure suivie dans la présente procédure n’est pas entachée d’irrégularité.

B. Sur la qualité de responsable de traitement de la société X

28. Aux termes de l’article 4 (7) du RGPD, le responsable de traitement est défini comme étant  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

29. La rapporteure considère qu’en l’espèce, la société X doit être regardée comme le responsable du traitement en question dans la mesure où elle est la personne pour le compte de laquelle le traitement est mis en œuvre, qui détermine pourquoi le traitement a lieu et comment son objectif doit être atteint. En effet, le fichier en cause avait pour objet de permettre à la société X d’identifier et de recenser les parties prenantes du secteur afin de mettre en place une stratégie de communication ciblée en faveur du renouvellement de l’autorisation du […] par la Commission européenne. Elle rappelle ainsi que c’est pour atteindre cet objectif qu’elle a décidé de confier à la société Y l’ensemble des activités liées aux relations publiques et à la réputation de l’entreprise et, plus particulièrement à compter de 2016, une mission de représentation d’intérêts concernant l’utilisation du […] en Europe et dans le monde et que c’est dans le cadre de cette mission que le fichier nommé  » […]  » a été établi.

30. En défense, la société estime que la responsabilité du traitement incombait exclusivement à la société Y et que la rapporteure confond les notions de bénéficiaire d’un service et celle de responsable de traitement. Elle souligne que c’est la société Y qui, en sa qualité d’entreprise spécialisée en matière de conseil et de relations publiques, a construit le fichier de manière autonome, selon une méthodologie qu’elle a elle-même définie, puis qui l’a proposé à la société X.

31. La société souligne que c’est en raison de l’expertise de la société Y qu’elle a fait appel à ses services et que la constitution de listes de noms est une pratique courante dans ce secteur d’activités. Elle rappelle qu’elle n’a jamais donné d’instructions à la société Y quant à la façon d’effectuer cette mission et qu’elle n’a fait que réagir aux propositions faites par cette dernière.

32. La société X explique en outre que, insatisfaite du résultat obtenu, elle n’a jamais utilisé le fichier en question. Or, elle note que si elle avait agi en tant que responsable de traitement, elle aurait demandé à la société Y de modifier le fichier à sa convenance afin d’obtenir un résultat correspondant davantage à ses attentes.

33. La société indique en outre que la société Y se présente sur son site internet comme le responsable de traitement des données traitées dans le cadre des missions qui lui sont confiées par ses clients. Elle rappelle également que c’est la société Y qui a répondu aux demandes d’exercice des droits des personnes concernées en lien avec le traitement en cause.

34. En premier lieu, la formation restreinte rappelle que le responsable de traitement est la personne qui détermine les finalités du traitement mis en œuvre, c’est-à-dire le résultat attendu ou recherché, et les moyens de ce traitement, c’est-à-dire la façon de parvenir à ce résultat.

35. Les notions de responsable de traitement et de sous-traitant sont éclairées par le Comité européen de la protection des données (ci-après  » le CEPD « ) dans ses lignes directrices 07/2020 adoptées le 2 septembre 2020 et soumises à consultation publique. Le CEPD y indique que  » Déterminer les finalités et les moyens revient à décider respectivement du  » pourquoi  » et du  » comment  » du traitement : s’agissant d’une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé pourquoi le traitement a lieu (c’est-à-dire  » dans quel but  » ou  » pour quel objectif « ) et comment cet objectif doit être atteint (c’est-à-dire quels moyens doivent être utilisés pour atteindre l’objectif). Une personne physique ou morale qui exerce une telle influence sur le traitement des données à caractère personnel participe ainsi à la détermination des finalités et des moyens de ce traitement conformément à la définition de l’article 4, paragraphe 7, du RGPD. Le responsable du traitement doit décider à la fois de la finalité et des moyens de traitement décrits ci-dessous. Par conséquent, le responsable du traitement ne peut pas déterminer uniquement la finalité. Il doit également prendre des décisions sur les moyens du traitement. Inversement, la partie agissant en tant que sous-traitant ne peut jamais déterminer la finalité du traitement  » (traduction libre).

36. En l’espèce, il n’est pas contesté que la société X poursuivait un objectif précis, en l’occurrence favoriser et obtenir le renouvellement de l’autorisation par la Commission européenne de l’utilisation du […]. C’est afin d’atteindre cet objectif que la société a décidé que le moyen d’y parvenir était de lancer une campagne de représentation d’intérêts pour les besoins de laquelle il était nécessaire d’établir la cartographie des parties prenantes dans le débat sur le renouvellement de l’autorisation de l’utilisation du […] dans l’Union européenne. C’est pour parvenir à ce résultat que la société X a fait appel à la société Y, société spécialisée dans les activités liées aux relations publiques.

37. La formation restreinte relève que par un contrat cadre de prestation de services en date du 18 juillet 2013 (pièce n° 14 annexée au rapport de sanction), la société X a, entre autres, confié à la société Y, en tant qu’agence de relations publiques et de conseil en communication stratégique, des missions liées à la réputation de l’entreprise. A compter de la signature le 5 août 2016 de l’avenant n°13 (pièce n° 17 annexée au rapport de sanction), la société Y a été plus particulièrement chargée d’établir la liste des  » parties prenantes  » ( » stakeholders « ) dans le cadre de la campagne pour le renouvellement de l’autorisation du […] en Europe.

38. La nécessité pour la société X de disposer d’une telle cartographie ressort explicitement de l’avenant n°13 lequel comporte une section  » Suivi des parties prenantes à la réglementation  » (traduction libre) où la société Y indique que son  » objectif est d’ajouter une strate supplémentaire à la cartographie des parties prenantes afin d’avoir une image plus claire de qui discute actuellement du […], ce qu’ils en disent et où ils le disent  » (traduction libre). Cette demande a été reprise dans l’avenant n° 7 en date du 15 octobre 2016 (pièce n° 16 annexée au rapport de sanction), lequel a été renouvelé à de nombreuses reprises jusqu’au 31 mai 2019. Il apparaît ainsi que la société Y était explicitement tenue d’établir la liste des parties prenantes dans le cadre de la campagne pour le renouvellement de l’autorisation du […] en Europe.

39. En deuxième lieu, la formation restreinte constate que, contrairement à ce que soutient la société X, il ressort de plusieurs échanges intervenus entre les deux sociétés par voie électronique que la société X a été étroitement associée à l’identification et au recensement des parties prenantes impliquées dans le débat sur le […], activité qui s’est notamment concrétisée par l’élaboration du fichier en question. Par ailleurs, les échanges très réguliers entre les deux sociétés font apparaître que la société X formulait des demandes très précises sur ce qu’elle considérait devoir être pris en compte par la société Y dans la réalisation de ses missions et d’autres messages sont relatifs à l’organisation de réunions impliquant des représentants des deux sociétés. Les pièces annexées au rapport de sanction attestent ainsi de l’implication de la société X dans le suivi des tâches réalisées par la société Y, et notamment l’organisation d’échanges quotidiens entre les équipes, de points hebdomadaires, mensuels et trimestriels permettant à la société X de suivre l’avancée des tâches confiées à Y et la livraison du travail réalisé ou en cours de réalisation.

40. La formation restreinte considère que ces échanges démontrent que la société Y rendait compte à la société X de la progression de la campagne liée au renouvellement du […] et des actions menées dans ce cadre, et surtout que cette dernière exerçait un pouvoir de direction sur les activités de la société Y, la privant ainsi de l’autonomie dont jouit normalement un responsable de traitement. Ces éléments démontrent que la société Y a agi en tant que sous-traitant de la société X, au sens de l’article 4(8) du RGPD.

41. La formation restreinte note enfin que la circonstance que la société X indique ne pas avoir finalement utilisé le fichier établi par Y, point qu’il n’a pas été possible de vérifier dans le cadre des contrôles de la CNIL, est sans incidence sur le fait que c’est bien elle qui, par les directives données à Y, a défini en amont les finalités et les moyens du traitement qui a été mis en œuvre en vue notamment d’établir ce fichier.

42. En troisième lieu, la formation restreinte considère qu’il ne saurait être déduit du seul fait que la société Y ait proposé à la société X une stratégie de suivi des parties prenantes que celle-ci puisse être qualifiée de responsable de traitement.

43. La formation restreinte souligne au contraire que c’est le fait pour la société X, société donneuse d’ordre, de décider d’accepter la proposition faite par la société Y, et de lui demander contractuellement de réaliser des opérations pour son compte en tant que prestataire, qui a permis au traitement d’exister. En effet, si la société X avait refusé cette proposition, la société Y n’aurait pas mis en œuvre ce traitement. Il résulte de la jurisprudence de la Cour de justice de l’Union européenne (CJUE) que le fait de recourir à un traitement de données personnelles qui a été conçu par un autre acteur et sur lequel le commanditaire ne peut qu’effectuer certains paramétrages (CJUE, 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16), voire aucun paramétrage (CJUE, 29 juillet 2019, Fashion ID GmbH & Co. KG, C-40/17) ne dispense pas celui qui a recours à ce traitement de sa qualité de responsable de traitement. La Cour précise également qu’ » une personne physique ou morale qui influe, à des fins qui lui sont propres, sur le traitement de données à caractère personnel et participe de ce fait à la détermination des finalités et des moyens de ce traitement, peut être considérée comme étant responsable du traitement, au sens de l’article 2, sous d), de la directive 95/46  » (CJUE, 10 juillet 2018, Tietosuojavaltuutettu/Jehovan todistajat, C-25/17).

44. En dernier lieu, la formation restreinte considère que le fait pour la société Y d’avoir répondu à des demandes de droits d’accès n’emporte pas pour autant la qualification de responsable de traitement. En effet, l’article 28-3-e du RGPD prévoit que le sous-traitant  » aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits « . Ainsi, au regard des spécificités du traitement, le sous-traitant peut répondre lui-même aux demandes des personnes si cette mesure permet un meilleur respect des droits des personnes. Il est d’ailleurs courant que ce soit le sous-traitant qui soit le plus à même de traiter les demandes d’exercice de droit.

La formation restreinte considère donc, compte tenu de ces éléments, que la société X doit être qualifiée de responsable de traitement.

C. Sur la compétence de la CNIL

45. L’article 55-1 du RGPD dispose que  » chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’Etat membre dont elle relève « .

[… passage central omis : décision trop longue pour une cellule …]

70. La formation restreinte rappelle sur ce point que dans sa décision du 1er mars 2021, Société Futura Internationale, no 437808, le Conseil d’Etat a confirmé que la CNIL pouvait sanctionner, sur le fondement du RGPD, un manquement continu commencé avant son entrée en application et continué après.

En conséquence, la formation restreinte considère que la loi  » Informatique et Libertés « , dans sa version antérieure à l’entrée en application du RGPD, puis le RGPD sont applicables aux faits de l’espèce.

E. Sur le manquement à l’obligation d’informer les personnes concernées en application de l’article 14 du RGPD

71. L’article 14 du RGPD prévoit que lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée par le traitement, le responsable de traitement fournit à cette dernière les éléments visés à ce même article  » dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées  » ou  » s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.  »

72. La rapporteure relève que les personnes dont les données à caractère personnel ont été collectées et traitées en l’espèce n’ont été informées de ce traitement qu’en 2019, lorsque la société Z, après avoir racheté la société X, a procédé à l’information des personnes par l’intermédiaire du cabinet YY. Elle estime qu’aucune des exceptions à l’obligation d’information des personnes prévues à l’article 14(5) du RGPD n’est mobilisable en l’espèce.

73. En défense, la société X considère que, dans la mesure où elle n’exerçait aucun contrôle sur les données en question, il ne lui revenait pas de procéder à l’information des personnes concernées. Elle estime que cette obligation incombait à la société Y, qui avait le contrôle sur les données contenues dans le fichier. Elle explique qu’en tout état de cause, l’information des personnes n’aurait présenté que peu d’intérêt dans la mesure où les données en question étaient publiques, que les personnes concernées pouvaient raisonnablement s’attendre à ce que leurs données fassent l’objet d’un tel traitement et qu’elle n’a finalement jamais utilisé ce fichier.

74. En premier lieu, il apparaît à la formation restreinte qu’un traitement de données à caractère personnel, consistant en la collecte d’informations visant à recenser les personnes influentes auprès desquelles une entreprise souhaite représenter ses intérêts peut, sous réserve de certaines conditions, être réalisé sur le fondement de l’intérêt légitime poursuivi par le responsable de traitement. En effet, un traitement tel que celui en cause peut être justifié par la poursuite de l’intérêt légitime du responsable de traitement sous réserve que les intérêts et droits fondamentaux des personnes concernées ne prévalent pas sur les intérêts du responsable de traitement. Cette mise en balance entre les différents intérêts en présence impose notamment de prendre en compte les attentes raisonnables des personnes concernées quant à la nature des données collectées et la façon dont elles sont traitées pour la constitution du traitement litigieux, comme le prévoit le considérant 47 du RGPD.

75. En l’espèce, la formation restreinte note que les personnes dont les données figuraient dans le fichier litigieux pouvaient raiso