AgentPublic/cnil huggingface dataset:
La formation restreinte considère, par conséquent, que les finalités des traitements en cause, et notamment les finalités de combinaison des données des utilisateurs, sont déterminées conjointement par les sociétés X et Y.
La formation restreinte relève, par ailleurs, que l’existence de cette politique commerciale commune est corroborée par le fait que le document intitulé politique d’utilisation des données est le même pour les utilisateurs nord-américains et européens. Elle rappelle également que jusqu’au 9 décembre 2016, la déclaration des droits et des responsabilités prévoyait la compétence exclusive des tribunaux américains en cas de litige avec les utilisateurs, sans distinction de nationalité, ce qui démontre l’implication de la société américaine dans la création et le développement du réseau social.
Enfin, la formation restreinte souligne que la société X dispose de l’expertise technique permettant de faire fonctionner le réseau social. Elle relève à cet égard que les clauses contractuelles types encadrant le transfert des données entre Y et X précisent que l’entité américaine procède à diverses opérations de traitement et notamment à la facilitation de l’authentification des utilisateurs et à l’amélioration de l’efficacité des services de X. La formation restreinte considère que ces opérations directement liées au fonctionnement du réseau social, réalisées quelle que soit la localisation des utilisateurs et des données collectées, confirment que la société X contribue à déterminer les moyens des traitements qui s’inscrivent dans le cadre d’une plateforme unique. 
La formation restreinte considère en conséquence que les sociétés X et Y doivent être conjointement qualifiées de responsables des traitements.
4.Sur l’invocabilité des dispositions de la législation européenne (directive 95/46/CE et directive 2009/140/CE)
Le considérant 9 de la directive 95/46/CE du 24 octobre 1995 énonce que : […] les États membres disposeront d'une marge de manœuvre qui, dans le contexte de la mise en œuvre de la directive, pourra être utilisée par les partenaires économiques et sociaux; qu'ils pourront donc préciser, dans leur législation nationale, les conditions générales de licéité du traitement des données ; que, ce faisant, les États membres s'efforceront d'améliorer la protection assurée actuellement par leur législation; que, dans les limites de cette marge de manœuvre et conformément au droit communautaire, des disparités pourront se produire dans la mise en œuvre de la directive et que cela pourra avoir des incidences sur la circulation des données tant à l'intérieur d'un État membre que dans la Communauté. 
La société Y fait référence aux dispositions de la directive 95/46/CE et à celles de la directive 2009/140/CE et soutient que certaines obligations fixées par la loi Informatique et Libertés modifiée seraient illicites en ce qu’elles excèderaient les termes
de la législation européenne. Elle soutient également que la Commission procèderait à une mauvaise interprétation de ces textes.
Elle fait notamment valoir que la loi Informatique et Libertés modifiée telle qu’appliquée par la Commission :
- introduit des exigences normatives additionnelles en matière d’information des utilisateurs et de cookies ;
- ajoute des conditions concernant les bases légales du traitement des données ;
- impose un mécanisme particulier pour recueillir le consentement exprès des utilisateurs au traitement de leurs données sensibles ;
- impose une durée maximale de conservation des données et plus précisément des adresses IP.
 
En premier lieu, la formation restreinte rappelle que l’harmonisation visée par les directives 95/46/CE et 2009/140/CE n’interdit pas aux Etats membres d’adopter des mesures nationales plus précises dès lors qu’elles visent à en réaliser les objectifs (CJUE, Breyer, 19 octobre 2016, C-582/14).
 
Elle souligne à ce titre que les Etats membres sont libres dans l’adoption des moyens qu’ils utilisent pour atteindre les objectifs fixés par les directives européennes (Arrêts CE 28 février 1992, S.A. Rothmans International France et S.A. Philip Morris France, n° 56776 et 56777) et ce, en vue d'en assurer l'effet utile (CJCE Royer du 8 avril 1976, aff 48/75, Rec. p. 49).
En deuxième lieu, la formation restreinte considère que les dispositions de la loi Informatique et Libertés modifiée qui sont visées par la société permettent de réaliser l’objectif poursuivi par les directives susvisées à savoir maintenir un équilibre entre la libre circulation des données à caractère personnel et la protection de la vie privée.
En ce sens, elle estime qu’en précisant notamment les informations qu’il convient de fournir aux utilisateurs, les conditions de licéité du traitement et de recueil du consentement, les dispositions de loi informatique et libertés modifiée n’excèdent en rien cet objectif ni ne modifient ou altèrent la portée des principes qui y sont énoncés.
En dernier lieu, la formation restreinte rappelle que les griefs pouvant se rapporter à une mauvaise transposition d’une législation européenne en droit national, relèvent d’une action en manquement qui relève de la seule compétence de la Cour de justice de l’Union européenne.
5.Sur le manquement à l’obligation d’informer les personnes
Le I de l’article 32 de la loi du 6 janvier 1978 modifiée, dans sa rédaction en vigueur au moment de la mise en demeure, dispose que :
La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 
2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 
3° Du caractère obligatoire ou facultatif des réponses ; 
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 
5° Des destinataires ou catégories de destinataires des données ; 
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter la mention des prescriptions figurant aux 1°, 2°, 3° et 6° .
L’article 91 du décret du 20 octobre 2005 modifié pris en application de la loi du 6 janvier 1978 modifiée, précise que :  Les informations figurant au 7° du I de l'article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l'article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :
1° Le ou les pays d'établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ;
2° La nature des données transférées ;
3° La finalité du transfert envisagé ;
4° La ou les catégories de destinataires des données ;
5° Le niveau de protection offert par le ou les pays tiers :
a) Si le ou les pays tiers figurent dans la liste prévue à l'article 108, il est fait mention de la décision de la Commission européenne autorisant ce transfert ;
b) Si le ou les pays tiers ne satisfont pas aux conditions prévues à l'article 68 de la même loi, il est fait mention de l'exception prévue à l'article 69 de cette loi qui permet ce transfert ou de la décision de la Commission nationale de l'informatique et des libertés autorisant ce transfert.
Les sociétés ont été mises en demeure de procéder à l’information des inscrits et en particulier :
- sur les traitements de données à caractère personnel mis en place, directement sur le formulaire d’inscription ainsi que sur les pages permettant aux inscrits de compléter leur profil ;
- sur la nature des données transférées hors de l’Union européenne, la finalité du transfert, les destinataires des données, et le niveau de protection offert par les pays destinataires.
En défense, la société Y fait principalement valoir qu’elle délivre à ses utilisateurs une information conforme aux exigences de l’article 10 de la directive 95/46/CE et aux avis du groupe de travail de l’article 29 (dit G29 ). Elle considère notamment que sa politique d’utilisation des données, accessible via un lien figurant sur le formulaire d’inscription, contient l’ensemble des informations requises par l’article 10 de la directive précitée et que les utilisateurs sont informés sur les transferts de données hors de l’Union européenne via ce même document et également par la déclaration des droits et des responsabilités.
Elle soutient par ailleurs qu’en l’absence d’interdiction, il est possible de recourir à une pluralité de supports d’information. Elle considère que ce procédé ne complexifie en rien l’accès, la qualité et la complétude de l’information qui doit être fournie aux utilisateurs.
Elle fait, à ce titre, référence à une approche par strate de l’information telle que recommandée par le G29 dans son avis 10/2004 du 25 novembre 2004. Elle indique que la politique d’utilisation des données permet aux utilisateurs d’avoir une compréhension globale des traitements mis en œuvre et qu’à partir de ce document, les utilisateurs peuvent directement accéder à d’autres documents détaillant certains aspects des traitements mis en œuvre.
En ce qui concerne les exigences de l’article 10 de la directive 95/46/CE, la formation restreinte rappelle, comme cela a été évoqué précédemment, qu’il convient d’examiner le respect par les sociétés, des obligations découlant uniquement de l’article 32-I de la loi du 6 janvier 1978 modifiée et non de celles résultant des dispositions de la directive 95/46/CE.
Elle souligne néanmoins que l’article 10 de la directive 95/46/CE prévoit une liste non exhaustive d’informations devant être fournies par le responsable de traitement :
Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci-dessous […]. En prévoyant la fourniture de l’information directement sur le formulaire de collecte, les dispositions de la loi Informatique et Libertés n’entrent pas contradiction avec cet article. Ces dispositions permettent en effet aux utilisateurs d’une part, d’appréhender pleinement les traitements qui seront mis en œuvre à l’égard de leurs données à caractère personnel et d’autre part, d’exercer leurs droits le cas échéant.
La formation restreinte relève à cet égard que les sociétés ne dispensent aucune information directement sur le formulaire d’inscription, ainsi que sur les pages permettant aux utilisateurs inscrits de compléter leurs profils.
S’agissant de la fourniture d’une information par strate aux utilisateurs, la formation restreinte relève que cette information par strate doit dissocier deux niveaux d’information : d’une part, les informations de premier niveau, qui sont les plus importantes pour les personnes ; d’autre part, les informations qui ne présentent vraisemblablement d’intérêt qu’en seconde intention. Parmi les informations essentielles de premier niveau figurent, outre l’identité du responsable de traitement, les finalités du traitement et toute information supplémentaire nécessaire afin de garantir un traitement loyal de l’information vis-à-vis des personnes concernées.
La formation restreinte considère que les droits dont disposent les utilisateurs ainsi que les informations se rapportant aux transferts des données hors de l’Union européenne doivent également être regardés comme essentiels et leur être fournis immédiatement.
 
A cet égard, elle relève que la politique d’utilisation des données, document considéré par les sociétés Y et X comme le principal support de diffusion de l’information, n’expose ni les droits dont disposent les utilisateurs ni les informations relatives aux transferts de données hors de l’Union européenne (nature des données transférées, finalité du transfert, destinataires des données).
La formation restreinte estime que cette absence d’information portée immédiatement à la connaissance des utilisateurs ne leur permet pas d’avoir la maitrise de leurs données et du traitement dont ils font l’objet. 
La formation restreinte considère en conséquence que le manquement au I de l’article 32 de la loi du 6 janvier 1978 modifiée est caractérisé.
6.Sur le manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre
L’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose que :
Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes : 
1° Le respect d'une obligation légale incombant au responsable du traitement ; 
2° La sauvegarde de la vie de la personne concernée ; 
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ; 
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ; 
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée .
 
Les sociétés ont été mises en demeure de ne pas procéder sans base légale à la combinaison des données des inscrits à des fins de ciblage publicitaire.
Il avait, en effet, été relevé que pour afficher de la publicité ciblée, les sociétés procédaient à la combinaison des données fournies par les inscrits lors de la création de leur compte sur le site, des données relatives à l’activité des inscrits sur le site (contenus partagés ou consultés par exemple), quel que soit le terminal utilisé par ces derniers, des données relatives aux appareils utilisés par les inscrits (système d’exploitation, coordonnées GPS, type de navigateur, numéro de téléphone mobile par exemple), des données provenant de sites tiers et applications intégrant notamment des boutons […] , des données provenant de partenaires tiers (partenaires avec qui la société a collaboré pour offrir un service ou annonceurs avec lesquels les inscrits ont interagi) et des données provenant des sociétés qui appartiennent ou qui sont exploitées par la société ([…] par exemple).
 
En défense, la société Y soutient qu’elle dispose de trois bases légales pour procéder à la combinaison de données.
En premier lieu, elle affirme qu’elle recueille le consentement éclairé, libre, spécifique et non équivoque des utilisateurs dans la mesure où ils acceptent la politique d’utilisation des données . Elle soutient à ce titre que le consentement spécifique ne nécessite pas que les utilisateurs consentent séparément à chacun des traitements mis en œuvre mais qu’ils reçoivent une information claire et compréhensible sur la manière dont les données sont traitées et qu’ils y consentent. Elle précise, par ailleurs, que le consentement des utilisateurs est libre dès lors qu’ils choisissent de leur plein gré de s’inscrire sur le réseau social et qu’ils peuvent fermer leur compte s’ils le souhaitent.
 
En deuxième lieu, la société invoque l’exécution d’un contrat en affirmant que la relation avec les utilisateurs est régie par la déclaration des droits et des responsabilités . Elle indique à ce titre que la combinaison des données à des fins de publicité est nécessaire à l’exécution contractuelle, et plus particulièrement à l’offre de services gratuits aux utilisateurs. Elle fait valoir que les utilisateurs du réseau social s’attendent à un contenu personnalisé et que l’absence de publicité ciblée entraînerait une expérience détériorée pour ces derniers.
Elle insiste également sur le fait que sans les revenus publicitaires, le service […] ne serait pas disponible et qu’en remettant en cause ce modèle économique, la Commission porte atteinte à sa liberté d’entreprendre. Elle soutient, par ailleurs, que la Commission cherche à réécrire le contrat entre les sociétés et leurs utilisateurs alors qu’elle ne dispose pas d’un tel pouvoir de révision.
 
En dernier lieu, elle fait valoir qu’elle poursuit un intérêt légitime en procédant à la combinaison des données, à savoir un intérêt économique et commercial, sans méconnaître pour autant les droits et libertés fondamentaux des utilisateurs dès lors que ces derniers peuvent s’opposer à l’utilisation de leurs données. Elle précise ainsi que les utilisateurs ont un degré important de contrôle sur les publicités qu’ils voient et sur la façon dont leurs données sont traitées. Elle soutient également que les intérêts de la société et des utilisateurs sont alignés et qu’il n’y a aucune incidence négative sur les utilisateurs puisque la combinaison de données permet de leur offrir une expérience personnalisée.
 
S’agissant du recueil du consentement, la formation restreinte rappelle que le respect de ce critère impose de vérifier que les utilisateurs ont donné un consentement éclairé, spécifique et libre.
En ce qui concerne le caractère éclairé, la formation restreinte relève tout d’abord qu’aucun des documents mis à la disposition des utilisateurs par les sociétés Y et X ne mentionne expressément la combinaison de données. Elle souligne ainsi que la politique d’utilisation des données indique uniquement qu’aux fins d’améliorer leur système de publicité, les sociétés se fondent sur les informations à [leur] disposition ou sur les informations obtenues (…) au sein comme en dehors de [leurs] services . A l’inverse, elle ne précise pas que ces données à caractère personnel font l’objet d’un croisement massif, ni à quel moment cette combinaison est opérée.
 
La formation restreinte souligne qu’outre le fait que la combinaison de données n’est pas mentionnée expressément, l’information sur l’affichage d’une publicité ciblée est diluée dans trois documents distincts intitulés la politique d’utilisation des données , la politique d’utilisation des cookies et la page propos de la publicité sur […] , de sorte qu’il est difficile pour un utilisateur d’avoir une compréhension des processus en cause.
La formation restreinte relève, par ailleurs, que les différents liens hypertextes auxquels la politique d’utilisation des données renvoie détaillent uniquement les modes de fonctionnement de la publicité et les possibilités de contrôle de son affichage. Elle souligne également l’utilisation de termes généraux dans ce document tels que la référence aux informations que vous avez partagées avec […], les Pages que vous aimez ou avec lesquelles vous interagissez , ce qui ne permet pas aux utilisateurs d’avoir une juste perception de la nature et du volume des données qui sont collectées puis combinées.
 
La formation restreinte estime également que le caractère particulièrement intrusif de la combinaison des données et les incidences de celles-ci sur la vie privée des utilisateurs doivent conduire à la considérer comme une information essentielle de premier niveau qui devrait, conformément à l’avis précité du G29 invoqué par Y, être fournie immédiatement aux utilisateurs, c’est-à-dire dans la politique d’utilisation des données .
 
Au vu de ces éléments, la formation restreinte considère que le consentement des utilisateurs n’est pas éclairé.
 
En ce qui concerne le caractère spécifique du consentement, la formation restreinte relève que lorsque la personne s’inscrit sur le réseau social, elle accepte simultanément trois documents : la politique d’utilisation des données , la politique d’utilisation des cookies et la déclaration des droits et responsabilités .
Elle considère ainsi que le consentement ne peut être spécifique dès lors qu’il n’est pas recueilli de façon dédiée et distinct des autres documents.
 
En ce qui concerne le caractère libre du consentement, la formation restreinte relève que les utilisateurs ne sont pas libres de consentir ou non à la combinaison de leurs données dès lors que l’inscription sur le réseau social emporte nécessairement cette combinaison sans qu’ils puissent s’y opposer, ni au moment de la création de leur compte, ni a posteriori.
 
Au vu de ces éléments, la formation restreinte considère que le consentement des utilisateurs n’est pas libre.
 
S’agissant de l’exécution d’un contrat, la formation restreinte relève que l’objet principal du service est la fourniture d’un réseau social : les utilisateurs qui créent un compte sur le site […] souhaitent d’abord accéder aux fonctionnalités de ce réseau, c’est-à-dire interagir avec leurs relations, créer des groupes d’intérêt commun, organiser des événements ou partager des contenus tels que des photos ou des articles de presse. Ils ne s’inscrivent pas au réseau social pour recevoir de la publicité ciblée.
 
La formation restreinte considère, en conséquence, que la combinaison des données des utilisateurs à des fins de ciblage publicitaire ne correspond ni à l’objet principal du contrat ni aux attentes raisonnables des utilisateurs quant à l’exécution de la convention conclue lors de l’inscription au service.
Elle précise à cet égard qu’elle ne remet pas en cause le modèle économique des sociétés ni n’interdit l’affichage de toute publicité ciblée mais qu’il lui incombe de veiller à ce que les droits des personnes concernées soient respectés et notamment à ce que l’exécution d’un contrat ne les conduise pas à y renoncer.
 
S’agissant de l’intérêt légitime, la formation restreinte rappelle que l’examen de ce critère nécessite d’examiner, d’une part, la proportionnalité du traitement en cause au regard de sa finalité et de s’assurer, d’autre part, que l’intérêt ou les droits et libertés fondamentaux des personnes concernées sont suffisamment préservés.
La formation restreinte relève que les sociétés procèdent à la combinaison des données des utilisateurs aux fins d’affichage de contenus et de publicités personnalisés. Elle considère que ce traitement qui procède d’un intérêt économique et permet aux sociétés d’offrir un service gratuit et pertinent aux utilisateurs peut être qualifié de légitime. Pour autant, la formation restreinte relève que la combinaison potentiellement illimitée de toutes les données des utilisateurs, qui sont collectées non seulement sur le site […] mais également sur des sites ou applications tiers, notamment via le cookie  
[…]
  (voir infra) est, par son ampleur, de nature à méconnaître les intérêts des utilisateurs et à porter atteinte à leur droit au respect de la vie privée.
Il lui appartient donc de juger si l’intérêt ou les droits et libertés fondamentaux des personnes concernées sont suffisamment préservés en l’espèce pour que l’équilibre prescrit par le législateur entre ces deux catégories d’intérêts soit atteint. Elle souligne que cet équilibre ne peut être assuré que s’il est mis à disposition des utilisateurs des outils adéquats leur permettant d’exercer les droits qu’ils détiennent des articles 32 et 38 de la loi du 6 janvier 1978 modifiée, et plus précisément les moyens de s’opposer à la combinaison de leurs données.
Sur ce point, la formation restreinte rappelle que l’information diffusée aux utilisateurs et accessible sur le réseau social n’est pas suffisante.
Elle relève en outre que les sociétés ont effectivement développé des outils visant à permettre aux utilisateurs d’exercer un contrôle sur la publicité personnalisée qui leur est proposée, notamment à travers la rubrique Publicités des paramètres du compte des utilisateurs. Ces derniers peuvent ainsi supprimer les préférences associées à leur compte qui sont utilisées pour personnaliser les publicités en fonction des centres d’intérêts identifiés.