AgentPublic/cnil huggingface dataset:
Le rapporteur a ainsi considéré que la société n'apportait pas d'éléments propres à établir l'absence du caractère déloyal et illicite de la collecte de données Wi-Fi dans le cadre du service [...], et laissait à tout le moins persister un doute quant à ses intentions s'agissant des adresses MAC et identifiants Wi-Fi déjà collectées. 
Pour sa défense, la société maintient qu'elle n'a procédé à aucune collecte illicite et déloyale en ce qui concerne la collecte de données de contenu par les véhicules [...]. Elle admet certes une erreur sur ce point, mais soutient n'avoir jamais eu l'intention de collecter les données enregistrées par ces véhicules. 
Elle conteste par ailleurs avoir manqué à ses obligations légales en matière d'information des personnes quant à la collecte des adresses MAC et des identifiants SSID. Elle soutient en effet qu'un effort disproportionné lui serait nécessaire pour fournir les informations requises par la loi à chacune des personnes concernées (à supposer que celles-ci soient connues), ce qui l'exonérerait de ses obligations en application de l'article 32-III de la loi informatique et libertés. Cet article prévoit en effet que ces dispositions (relatives à l'information des personnes) ne s'appliquent pas (...) lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche.
La formation restreinte retient, sur ce point, que la société a effectivement pris l'engagement de cesser toute collecte de données issues de bornes Wi-Fi, sécurisées ou non sécurisées (adresses MAC, identifiants SSID et contenu de communications) au moyen des véhicules [...], et que cet engagement a été pris antérieurement à la mise en demeure. 
Toutefois, elle relève que les écritures de la société indiquent qu'elle continuera effectivement à utiliser les adresses MAC et les identifiants SSID des utilisateurs des réseaux Wi-Fi ainsi collectés pour fournir ses services de géolocalisation, dont il est établi qu'elles ont été collectées à l'insu de leurs titulaires.
En outre, elle comprend des explications fournies par la société, lors des contrôles et à l'audience, que l'alimentation de la base [...] en données Wi-Fi se fera non plus par le biais des [...], mais par celui des terminaux mobiles des utilisateurs de ses services de géolocalisation ( smartphones , ordinateurs portables, etc.). Or elle constate que la société n'informe pas davantage les titulaires de réseaux Wi-Fi dont elle collecte désormais les données par ce biais. 
Dans les deux hypothèses, un tel défaut d'information ne saurait être accepté par principe, dès lors que ces données doivent être considérées comme des données à caractère personnel au sens de la loi.
La formation restreinte admet, à cet égard, que l'information individuelle des titulaires des adresses MAC et des identifiants Wi-Fi est effectivement impossible à mettre en œuvre dans de telles circonstances, dès lors qu'aucun lien direct n'existe entre la société et ces personnes, y compris au moment où la société collecte leurs données via les terminaux des utilisateurs de ses services de géolocalisation. 
Pour autant, elle estime que la société ne saurait s'exonérer d'une information générale sur la collecte de ces données et sur les droits des personnes à cet égard. A titre de comparaison, elle relève que la société a mis en œuvre de nombreuses mesures d'information générale portant sur la collecte de photographies par les [...], que ce soit dans la presse locale ou par la mise en ligne d'information sur le site Internet de la société en .fr, à l'effet de permettre aux personnes de s'opposer à la diffusion des données les concernant, en ligne sur ce même site. 
La formation restreinte estime, dès lors, que le caractère déloyal de la collecte des données concernées perdure, au moins en partie, et constitue de ce fait un manquement persistant aux termes de la mise en demeure du 26 mai 2010. 
8. Sur l'insuffisance des réponses apportées aux demandes de la Commission
L'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que "les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche".
Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société d'avoir fourni des réponses insuffisantes aux demandes de la CNIL, en particulier dans le cadre des contrôles effectués en décembre 2009 et janvier 2010. 
La mise en demeure relevait ainsi que le véhicule présenté à la délégation lors du contrôle du 18 janvier 2010 ne comportait pas de disque dur, empêchant tout examen de ce dernier.
Il était également reproché à la société de n'avoir pas fourni à la Commission une copie de l'ensemble des données relatives au contenu issu des bornes Wi-Fi pour la France dans le délai imparti lors du contrôle sur place effectué le 19 mai 2010.
Le bureau de la Commission a par conséquent enjoint à la société de communiquer à la Commission les informations et copies demandées lors du contrôle sur place effectué le 19 mai 2010, telles qu'elles figurent au procès-verbal, en particulier fournir à la CNIL une copie sur support informatique de l'ensemble des données recueillies en France, par le biais des bornes WI-FI, dans le cadre du traitement [...]. Elle a par ailleurs demandé à la société de justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté dans le délai imparti. 
La société a répondu à la mise en demeure comme suit : 
En premier lieu, elle dit avoir remis, lors du contrôle du 4 juin 2010, une copie du rapport d'audit réalisé à sa demande par le cabinet d'audit Z, une copie du dernier disque dur envoyé aux Etats-Unis issue d'une opération de collecte effectuée par un véhicule [...] en France ainsi qu'une copie des données relatives au contenu issu des bornes Wi-Fi pour la France, isolée par X.
En second lieu, elle ajoute avoir remis le code source du programme informatique utilisé dans les véhicules [...] ayant permis la collecte des données de contenu, en rappelant qu'elle considérait la demande comme visant uniquement le logiciel ayant permis la collecte de données Wi-Fi, et non l'ensemble des logiciels installés dans les véhicules.
En troisième lieu, s'agissant du code source du logiciel utilisé lors de la reprise des opérations de collecte, elle rappelle avoir cessé de collecter des données relatives aux réseaux Wi-Fi au moyen de véhicules [...]. Elle indique qu'elle remettra à la CNIL une copie du ou des nouveaux logiciels mis en œuvre, n'incluant pas de fonctionnalités de collecte de données Wi-Fi dès que ces éléments seront disponibles. 
Pour autant, le rapporteur estime que la société a répondu de manière insatisfaisante aux demandes de la CNIL. 
Il reproche à celle-ci une particulière légèreté, sinon une réticence à informer la Commission, lors des contrôles diligentés par la CNIL le 11 décembre 2009 et le 18 janvier 2010, du fait qu'outre des photographies et des données GPS, les véhicules [...] enregistraient également des adresses MAC et des identifiants SSID. 
Il relève également que la société a dévoilé l'enregistrement des données de contenu non par un courrier spécifique, mais par la voie d'un communiqué de presse, publié le 14 mai 2010, alors que la CNIL l'avait interrogée par trois fois entre décembre 2009 et février 2010 sur la collecte opérée.
Sur le fond, le rapporteur reproche encore à la société sa réticence à communiquer à la Commission le code source mis en œuvre au sein des véhicules. Selon lui, la société se serait réfugiée derrière une interprétation restrictive des demandes de la Commission pour ne lui communiquer que le code source du logiciel [...] ayant permis la collecte des données Wi-Fi, celui-ci ne répondant d'aucune manière à la demande exprimée dans la mise en demeure, qui visait spécifiquement la partie du code ayant conduit à collecter les données relatives au contenu issues des bornes Wi-Fi. 
La communication tardive de nouveaux éléments de code source, par un courriel du 12 juillet 2010, ne ferait pas davantage droit à la demande visée par la mise en demeure, ces derniers éléments ne permettant pas de déterminer le fonctionnement du logiciel de collecte de données de contenu issues de bornes Wi-Fi, dès lors qu'il se limite au code du lancement de l'outil de collecte des données Wi-Fi. 
Selon le rapporteur, la société s'est donc abstenue de répondre à la mise en demeure et se serait même contentée de procédés dilatoires, en fournissant comme seul élément d'analyse de son logiciel de collecte un rapport d'audit établi à sa demande. 
La société s'est de nouveau défendue sur ce point, dans ses écritures et à l'audience.
Elle soutient que le véhicule contrôlé le 18 janvier 2010 ne comportait aucun disque dur en raison d'une incompréhension sur ce point des intentions des agents de la CNIL. Elle indique que la présence d'antennes Wi-Fi sur le toit du véhicule démontre bien que la société n'a, aucun moment, cherché à cacher à la CNIL que celui-ci collectait des adresses MAC et des identifiants SSID. Elle soutient que ces faits sont antérieurs à la mise en demeure et ne sauraient dès lors justifier l'adoption d'une sanction pécuniaire sur le fondement des textes en vigueur. 
Par ailleurs, concernant le code source ayant permis la collecte de données Wi-Fi, la société conteste le fait que la loi permette à la CNIL de demander la communication de codes-sources sur le fondement de son article 44-III : si celui-ci prévoit que les agents de la CNIL peuvent accéder aux programmes informatiques et aux données dans le cadre de missions de contrôles, ainsi qu'en demander la transcription, il ne fait en revanche pas référence aux codes sources de logiciels. Ce ne serait qu'en raison de sa volonté de coopérer avec la CNIL que la société aurait, malgré tout, décidé de communiquer celui-ci. Par ailleurs, la société estime que la partie du code fournie aux agents de la CNIL leur permettait de procéder aux vérifications qu'ils souhaitaient.
Enfin, concernant le code source utilisé après la remise en circulation des [...], la société soutient que malgré les incidents soulevés par le rapporteur, ceux-ci n'ont pas empêché les agents de la CNIL de constater que les antennes Wi-Fi avaient été retirées des véhicules, et que, par conséquent, ceux-ci ne collecteraient plus aucune donnée provenant de bornes Wi-Fi. La société n'aurait par ailleurs remis ses véhicules en circulation qu'après en avoir ôté les dispositifs d'enregistrement de données Wi-Fi. 
La formation restreinte retient, sur ce point, les éléments suivants : 
Si la collecte contestée de données Wi-Fi peut être imputée à tout le moins à une négligence caractérisée dans l'élaboration d'un programme aussi massif de collecte de données, d'autant plus critiquable que celui-ci émane d'un acteur dominant du marché, il ne ressort pas des faits de l'affaire que les réactions de la société face aux exigences formulées par la CNIL pendant l'instruction revêtent la même qualification. Dès lors, la formation restreinte ne retient pas la mauvaise foi à l'encontre de la société pour qualifier ses relations avec la CNIL dans cette affaire. 
En revanche, il est établi par ailleurs que tant l'ancien que le nouveau codes sources du logiciel de collecte n'ont pas été communiqués à la CNIL, puisque seuls des éléments partiels du code source initial, et aucun élément du nouveau code source ne lui ont été fournis.
En ce qui concerne l'ancien code source : il est établi que l'analyse du code source fourni par la société lors du contrôle du 4 juin 2010 a révélé que seule a été adressée à la CNIL une fraction du logiciel de collecte de données Wi-Fi, correspondant à l'enregistrement de données de position GPS. Il est également établi que l'analyse du correctif à ce logiciel, envoyé par la société en juillet 2010, a révélé que seule a été adressée à la CNIL la partie du code source correspondant au seul lancement du logiciel. La CNIL a donc dû se contenter du rapport d'un cabinet d'audit, établi à la demande de la société elle-même, pour comprendre le fonctionnement du logiciel [...], et plus généralement le fonctionnement des logiciels installés dans les [...].
En ce qui concerne le nouveau code source : le fait que la CNIL ait pu constater l'absence de clé Wi-Fi sur un des 22 véhicules [...] remis en circulation en France est, certes, un élément de nature à l'assurer de la sincérité de l'engagement pris par la société de ne plus collecter de données Wi-Fi. Il ne saurait toutefois se substituer à la fourniture du code demandé, qui seul lui permettrait de s'assurer de l'impossibilité de cette collecte pour l'ensemble des véhicules en circulation. L'attente de la CNIL en la matière est d'autant plus légitime que la société s'était engagée à lui remettre une copie du ou des nouveaux logiciels mis en œuvre, n'incluant pas de fonctionnalités de collecte de données Wi-Fi, dès que ces éléments seront disponibles - et ce, dès avant l'adoption de la mise en demeure adoptée par le bureau le 26 mai 2010. Or les véhicules sont actuellement en circulation sur le territoire, et tel n'a pourtant pas été le cas.
Par ailleurs, et à l'évidence, la formation restreinte ne saurait souscrire à la lecture restrictive que fait la société de l'article 44 de la loi du 6 janvier 1978 pour se soustraire à la communication de ces codes sources. Les dispositions de cet article prévoient en effet que les agents de la CNIL peuvent obtenir communication et copie de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, lors de missions de contrôle. La notion de document doit être entendue de façon large, afin de permettre à la CNIL d'exécuter ses missions. En l'occurrence, cette notion doit être entendue comme recouvrant les codes-sources du logiciel à l'origine de la collecte de données Wi-Fi. 
Ainsi, la non-communication de ces codes sources fonde le reproche que fait le rapporteur à la société de ne pas avoir coopéré avec la Commission dans le cadre des missions de contrôle diligentées auprès de la société Y, et met ainsi la société en contradiction avec les exigences ultérieurement posées par la mise en demeure. 
9. Sur les avantages retirés des manquements commis par la société X
Il est acquis que la société a tiré d'importants avantages de la collecte des adresses MAC et SSID dans cette affaire, celle-ci reconnaissant ce fait dans ses écritures.
De fait, la collecte de ces données, notamment les adresses MAC des utilisateurs, a permis à la société d'enrichir ses bases de données de localisation au moyen des adresses MAC de routeurs Wi-Fi, enregistrées par ses [...] en mouvement. Les données collectées confèrent à la société un avantage indéniable sur ses concurrents, lui permettant d'offrir des services de géolocalisation performants. Les services de géolocalisation proposés par la société, qui génèrent un trafic très important, sont par là-même susceptible de générer des ressources publicitaires, lesquelles constituent l'essentiel du chiffre d'affaires de la société. 
En effet, le service [...], qui intègre les services [...], permet d'effectuer des recherches de services ou commerces à proximité de la position de l'utilisateur géolocalisé. Les résultats affichés en retour comprennent notamment des liens commerciaux, payés par les annonceurs à X Un lien vers le moteur de recherche de X figure également dans [...].
La collecte de dizaines de milliers de points d'accès Wi-fi par le biais des [...] a permis à la société de constituer une importante base de données de géolocalisation, et par conséquent d'acquérir une position dominante dans le secteur des services de géolocalisation. Outre cet avantage indéniable, la société bénéficie par ailleurs du fait qu'il ne lui est désormais plus nécessaire de collecter par elle-même de nouvelles données Wi-Fi pour que la base [...] reste opérationnelle. En effet, lors de leur connexion, les terminaux des utilisateurs détectent non seulement les points d'accès figurant dans la base mais aussi, le cas échéant, de nouveaux points d'accès situés à proximité, ou ceux ayant disparu : ces informations sont alors enregistrées automatiquement par la société aux fins d'enrichir et de mettre à jour la base [...]. De ce fait, la collecte de données Wi-Fi par les [...] n'est effectivement plus nécessaire, la collecte de données émises automatiquement par les terminaux des utilisateurs étant désormais suffisante pour assurer la pérennité des services de géolocalisation mobile offerts par la société. 
La société a ainsi acquis un niveau technique lui conférant un avantage concurrentiel indéniable. Elle retire de cette situation, à l'évidence, un avantage économique du fait qu'elle peut offrir à ses utilisateurs de nouveaux services de géolocalisation, lesquels génèreront eux-mêmes de l'audience et par conséquent de nouvelles recettes publicitaires.
Par ailleurs, en estimant que le traitement des données ainsi collectées sur le territoire français ne relève pas de la loi du 6 janvier 1978 modifiée, la société s'est affranchie des obligations légales lui incombant, notamment en matière d'accomplissement de formalités préalables auprès de la CNIL et d'information des personnes. Cette situation perdure depuis le lancement du service [...] en France, c'est-à-dire depuis février 2009. 
La société a retiré également un avantage organisationnel des manquements constatés, en l'absence de mesures appropriées prises pour assurer en amont la sécurité juridique du projet [...], et en aval le respect du droit d'opposition des personnes. Ces manquements doivent en outre être rapportés à la grande sensibilité du projet, à son ambition de couverture de l'intégralité du territoire français, et à l'importance des moyens dont dispose la société. La société a donc retiré d'importants avantages des manquements qu'elle a commis dans cette affaire. 
10. Sur les manquements constatés
En conséquence, eu égard à la persistance de certains des manquements constatés dans la mise en demeure prononcée par la formation restreinte le 26 mai 2010, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 100 000 € (cent mille euros). 
11. Sur la publicité de la délibération
Eu égard à la nature et à la gravité des manquements commis ainsi qu'à la nécessité, d'une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d'autre part, pour les responsables de traitement de mieux appréhender les règles qui s'imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance. 
En revanche, cette délibération ne fera pas l'objet de mesure d'insertion dans la presse, en l'absence de mauvaise foi établie au sens de l'article 46 de la loi du 6 janvier 1978 modifiée. 
PAR CES MOTIFS
Conformément au I de l'article 45 de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- de prononcer à l'encontre de la société X une sanction pécuniaire de 100 000 € (cent mille euros) ;
- de rendre publique cette décision sur le site internet de la CNIL et sur le site internet Légifrance. 
La société X dispose d'un délai de deux mois à compter du jour de la notification de la présente décision pour exercer un recours devant le Conseil d'Etat à son encontre. 
 
Paris, le 
 
Le Président,
 
Alex TÜRK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le Ministre d’Etat, ministre de l’Intérieur et de l’aménagement du territoire d’un projet d’arrêté portant modification de l’arrêté du 15 mai 1996 modifié relatif au fichier des personnes recherchées (FPR);
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel;
Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel;
Vu la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure et notamment sont article 23;
Vu la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers et notamment son article 10;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004;
Vu l’arrêté du 15 mai 1996 relatif au fichier des personnes recherchées géré par le ministère de l’Intérieur et le ministère de la Défense;
Vu l’arrêté du 2 septembre 2005 modifiant l’arrêté du 15 mai 1996 relatif au fichier des personnes recherchées géré par le ministère de l’Intérieur et le ministère de la Défense;
Vu la délibération n° 88-120 du 8 novembre 1988 de la Commission nationale de l’informatique et des libertés portant avis sur la mise en œuvre conjointe par le ministère de l’Intérieur et le ministère de la Défense du traitement automatisé d’informations nominatives relatif au fichier des personnes recherchées;
Vu la délibération n° 92-056 du 9 juin 1992 de la Commission nationale de l’informatique et des libertés portant avis sur le projet d’arrêté relatif au fichier des personnes recherchées géré par le ministère de l’Intérieur et le ministère de la Défense;
Vu la délibération n° 95-050 du 25 avril 1995 de la Commission nationale de l’informatique et des libertés portant avis sur le projet d’arrêté relatif au fichier des personnes recherchées géré par le ministère de l’Intérieur et le ministère de la Défense;
Vu le projet d’arrêté portant modification de l’arrêté du 15 mai 1996 modifié relatif au fichier des personnes recherchées (FPR);
Après avoir entendu, M. François GIQUEL, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations;
Emet l’avis suivant :
Le ministère de l’Intérieur a saisi pour avis la Commission nationale de l’informatique et des libertés, le 17 octobre 2006, d’un projet d’arrêté modifiant l’arrêté du 15 mai 1996, modifié, relatif au fichier des personnes recherchées (FPR) afin de prendre en compte les nouvelles dispositions de l’article 23 de la loi n° 2003-239 du 18 mars 2003 sur la sécurité intérieure (LSI), introduites par l’article 10 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers. 
Le FPR, mis en œuvre conjointement par la direction générale de la police nationale du ministère de l’Intérieur et par la direction générale de la gendarmerie nationale du ministère de la Défense, a été créé par un arrêté du 15 mai 1996 du ministre de l’Intérieur, du ministre de la défense, du ministre de l’économie et des finances et du ministre de la justice.
Sa finalité est de faciliter les recherches effectuées par les services de police et de gendarmerie et, depuis la modification de l’arrêté du 15 mai 1996 par l’arrêté du 2 septembre 2005, les recherches effectuées par les agents des douanes habilités à exercer des missions de police judiciaire, ou par les services des douanes à l'occasion des contrôles qui relèvent de leurs attributions.