La Présidente

X

Paris, le

PAR PORTEUR

Références à rappeler dans toute correspondance :

N/Réf. : CTX 2018-042

Monsieur le Président,

Je fais suite à la décision n° 2018-043 que j’ai prise le 8 octobre 2018 mettant en demeure la société x, ainsi qu’aux échanges qui ont suivi.

Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-118C.

En effet, je considère que les modèles de fenêtre contextuelle communiqués permettent de recueillir un consentement informé, spécifique et univoque des personnes à des fins de publicité géolocalisée, conformément au règlement général sur la protection des données (RGPD).

Vous avez en outre démontré que les durées de conservation des données que vous collectez sont désormais conformes au RGPD.

Vous avez enfin justifié de mesures de sécurité mises en œuvre pour protéger lesdites données concernant, d’une part, les mots de passe utilisés pour accéder à vos bases de données et, d’autre part, l’utilisation de données anonymisées pour vos bases de développement.

J’attire néanmoins votre attention sur l’impossibilité pour l’utilisateur, au moment du recueil de son consentement, de choisir spécifiquement les responsables de traitement qui pourront être destinataires de ses données personnelles. Une interface laissant ce choix à l’utilisateur et lui offrant une plus grande maîtrise de ses données est préconisée par notre Commission.

Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet https://www.legifrance.gouv.fr/ et sur celui de la CNIL.

Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.

De même, le présent courrier de clôture, dont le périmètre correspond à celui de la mise en demeure initiale, ne préjuge pas de la conformité des conditions de recueil du consentement pour les autres finalités ( stockage et accès aux données , personnalisation , sélection de contenu, affichage et analyse , sélection de publicité, affichage et analyse , mesure d’audience ) dont il vous revient de vous assurer.

Je vous indique que le règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.

Les services de la Commission se tiennent à votre disposition pour tout renseignement complémentaire.

Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.

Isabelle FALQUE-PIERROTIN