AgentPublic/cnil huggingface dataset:
Etaient présents, lors de la séance de la formation restreinte du 23 mars 2017 :
Monsieur Philippe LEMOINE, commissaire, entendu en son rapport ;
En qualité de conseils de la société Y : […]
 
Madame Nacima BELKACEM, commissaire du Gouvernement, n’ayant pas formulé d’observation ;
La société X n’étant pas représentée à la séance ;
Les conseils de la société Y ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La société X, société de droit américain fondée en 2004 dont le siège social est situé à […] (Etats-Unis), a créé le réseau social […] qui permet aux utilisateurs de partager leur expérience et d’échanger. Ce réseau compte actuellement 1,5 milliard d’utilisateurs actifs par mois dans le monde. La société a également une activité de régie publicitaire. Elle possède 49 bureaux implantés dans une trentaine de pays et compte environ 12 000 salariés à travers le monde.
La société X a créé plusieurs dizaines de filiales dans le monde, dont la société Y (ci-après Y ), située […] en Irlande, et la société Z (ci-après Z ), située […].
Les sociétés X et Y fournissent le service […], via le site internet […], aux internautes du monde entier.
Les 8 et 9 avril 2015, en application de la décision n° 2015-091C du 17 mars 2015 de la Présidente de la Commission Nationale de l’Informatique et des Libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place au sein des locaux de la société Z.
Les procès-verbaux n° 2015-091/1 et 2015-091/2 dressés durant ces deux missions ont été notifiés à X et à Y.
Ces premières constatations ont été complétées par un questionnaire adressé à X le 30 juillet 2015 dans le cadre d’un contrôle sur pièces. La société y a répondu par un courrier du 26 septembre 2015 en apportant des précisions sur l’organisation du Groupe […] et en indiquant qu’elle avait transmis le questionnaire à Y.
En application de la décision n° 2015-401C du 14 décembre 2015 de la Présidente de la Commission, un contrôle en ligne a été diligenté le 15 décembre 2015 sur le site […] et le PV n° 2015-401 du même jour a été notifié aux sociétés X, Y et Z le 23 décembre 2015.
A l’issue de ces investigations, la Présidente de la CNIL a décidé de mettre en demeure publiquement les sociétés X et Y par une décision
n° 2016-007 du 26 janvier 2016 concernant les traitements de données mis en œuvre dans le cadre du réseau social […]. Il était ainsi enjoint aux deux sociétés de prendre, dans un délai de trois mois, les mesures suivantes :
ne pas procéder sans base légale à la combinaison des données des inscrits à des fins publicitaires ;
ne pas traiter de données non pertinentes, excessives ou inadéquates au regard des finalités poursuivies, en particulier cesser de demander aux inscrits de justifier de leur identité en fournissant un dossier médical ;
recueillir le consentement exprès des inscrits, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - en l’espèce des données relatives aux opinions politiques, religieuses et à l’orientation sexuelle - par tout procédé, tel qu’une case à cocher, apposée à l’endroit de la collecte ;
procéder à l’information des inscrits, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en particulier :
	
sur les traitements de données à caractère personnel mis en place directement sur le formulaire d’inscription ainsi que sur les pages permettant aux inscrits de compléter leur profil ;
sur la nature des données transférées hors de l’Union européenne, la finalité du transfert, les destinataires des données, et le niveau de protection offert par les pays destinataires ;
procéder à une collecte et à un traitement loyal des données des internautes non inscrits au service de […] s’agissant des données collectées via le cookie […] et le bouton […] ;
informer et obtenir l’accord préalable des internautes à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci ;
ne pas conserver de données à caractère personnel au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées et traitées, notamment en supprimant à l’expiration d’un délai de six mois les adresses IP utilisées par les inscrits pour se connecter aux comptes ;
prendre toutes mesures nécessaires pour garantir la sécurité des données à caractère personnel des inscrits, notamment en renforçant la robustesse des mots de passe des comptes;
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation pour l’ensemble des traitements de données ayant pour finalité de lutter contre la fraude et susceptibles d’exclure des personnes ;
ne pas procéder à des transferts de données à caractère personnel vers les Etats-Unis sur la base du Safe Harbor. 
 
Pour faire suite aux demandes exprimées par la société Y, quatre réunions se sont tenues entre les services de la CNIL et des représentants de X, Y et Z les 29 mars, 19 avril, 16 juin et 13 juillet 2016. Chacune de ces réunions a fait l’objet d’un compte-rendu écrit adressé aux deux entités visées dans la mise en demeure.
Parallèlement, la société Y a adressé le 4 mai 2016 un courrier à la Présidente de la Commission apportant, d’une part, des premiers éléments de réponse et sollicitant, d’autre part, un renouvellement du délai de trois mois de la mise en demeure. Cette prorogation a été accordée, par un courrier du 19 mai 2016, portant jusqu’au 9 août 2016 le délai imparti aux sociétés pour se mettre en conformité.
Le 19 juillet 2016, Y a adressé des informations complémentaires à la Commission puis, le 9 août 2016, a fait parvenir ses éléments de réponse à la mise en demeure complétant ceux précédemment transmis. Dans ce cadre, la société faisait valoir que la loi
n° 78-17 du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ) n’était pas applicable et que la CNIL n’était pas compétente. Elle contestait également la plupart des manquements retenus dans la mise à demeure, à l’exception de deux d’entre eux : la nécessité de veiller à l’adéquation, à la pertinence et au caractère non excessif des données et l’obligation de disposer d’une base légale pour transférer les données à caractère personnel hors de l’Union européenne, pour lesquels la société a indiqué qu’elle avait tenu compte des préoccupations de la CNIL.
La société X n’a pour sa part apporté aucune réponse à la mise en demeure.
Au vu de ces éléments, la Présidente de la CNIL a désigné, le 17 novembre 2016, M. Philippe LEMOINE en qualité de rapporteur sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a fait notifier aux sociétés X et Y, le 5 janvier 2017 un rapport détaillant les manquements relatifs aux articles 6-1°, 6-5°, 7, 8, 32-I, et 32-II de la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer à l’encontre des deux sociétés une sanction pécuniaire de 150 000 euros, rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du
23 mars 2017. Les organismes disposaient d’un délai de deux mois pour communiquer leurs observations écrites.
Le 6 mars 2017, les deux sociétés ont produit des observations écrites sur le rapport, réitérées oralement par la société Y lors de la séance de la formation restreinte du 23 mars 2017. X n’était, quant à elle, pas représentée lors de cette séance.
Motifs de la décision
1.Sur le droit applicable 
Le I de l’article 5 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose que  s
ont soumis à la présente loi les traitements de données à caractère personnel : 1°Dont le responsable est établi sur le territoire français. Le responsable d'un traitement qui exerce une activité sur le territoire français dans le cadre d'une installation, quelle que soit sa forme juridique, y est considéré comme établi .
 
Cet article constitue la transposition en droit interne de l’article 4-1-a) de la directive 95/46/CE du 24 octobre 1995 sur le droit national applicable qui dispose que : 1. Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque: a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable .
Au regard de ces dispositions, le droit applicable d’un Etat membre dépend de deux conditions cumulatives : l’existence d’un établissement du responsable de traitement sur le territoire d’un Etat membre et la mise en œuvre du traitement de données dans le cadre des activités de cet établissement.
 
La Cour de justice de l’Union européenne a apporté des précisions sur ces deux critères.
S’agissant du premier critère, elle a considéré qu’un responsable de traitement devait être considéré comme établi sur le territoire d’un Etat membre dès lors que le traitement de données est effectué dans le cadre des activités d’un établissement de ce responsable sur le territoire de l’État membre (CJUE, Google Spain et Google, 13 mai 2014, C‑131/12).
 
Elle a par ailleurs précisé que la notion d’établissement, au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable , le critère de stabilité de l’installation étant examiné au regard de la présence de moyens humains et techniques nécessaires à la fourniture de services concrets en question (CJUE Weltimmo, 1er octobre 2015, C‑230/14, points 30 et 31 ).
 
S’agissant du second critère, la Cour a précisé qu’ il y a lieu de considérer que le traitement de données à caractère personnel qui est fait pour les besoins du service d’un moteur de recherche tel que Google Search, lequel est exploité par une entreprise ayant son siège dans un Etat tiers mais disposant d’un établissement dans un Etat membre, est effectué dans le cadre des activités de cet établissement si celui-ci est destiné à assurer, dans cet Etat membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui sert à rentabiliser le service offert par ce moteur . (CJUE, Google Spain et Google, 13 mai 2014, C‑131/12, point 55).
La Cour a également affirmé que : l’article 4, paragraphe 1, sous a) de la directive 95/46 doit être interprété en ce sens qu’un traitement de données à caractère personnel effectué par une entreprise de commerce électronique est régi par le droit de l’Etat membre vers lequel cette entreprise dirige ses activités s’il s’avère que cette entreprise procède au traitement de données en question dans le cadre des activités d’un établissement situé dans cet Etat membre . Elle a ainsi admis qu’un droit national (en l’espèce, le droit allemand) pouvait s’appliquer à une société établie dans un autre Etat membre (en l’espèce, le Luxembourg) (CJUE, Amazon, 28 juillet 2016, C-191/15).
 
Les sociétés soutiennent que les critères de détermination du droit applicable définis par la Directive 95/46/CE ne permettent pas l’application du droit français. Elles contestent ainsi la qualification d’établissement de Z en précisant qu’il ne s’agit que d’un sous-traitant et affirment que seule Y réalise les traitements en cause. La société irlandaise serait le seul responsable de traitement pour les utilisateurs situés en dehors des Etats-Unis et du Canada et seul le droit irlandais serait applicable dès lors que c’est l’établissement irlandais qui a le lien le plus inextricable avec les traitements en cause.
Les sociétés soutiennent, par ailleurs, que les objectifs de la directive précitée empêchent l’application concomitante de plusieurs droits. Elles considèrent également que l’interprétation extensive de l’article 4-1-a) de la directive donnée par la Cour dans les arrêts Google Spain et Weltimmo n’est pas justifiée en l’espèce car, contrairement à ces deux affaires, il n’existe aucun risque de contournement des dispositions européennes, le droit irlandais permettant d’assurer une protection efficace des citoyens. Les sociétés invoquent enfin les obstacles insurmontables à la libre circulation des données qu’engendrerait l’application du droit français.
 
Sur l’existence d’un établissement en France
La formation restreinte relève que Z est une société à responsabilité limitée à associé unique immatriculée au registre du commerce et des sociétés de […] depuis le 3 février 2011. Elle a notamment pour objet de fournir au groupe […] des prestations de service en rapport avec la vente d’espaces publicitaires, le développement commercial, le marketing (…) et toutes autres prestations de service visant à développer les services et la marque […] en France . Elle dispose d’un siège social situé […] et d’un effectif d’une cinquantaine de salariés.
La formation restreinte souligne, par ailleurs, qu’il a été établi que la société française fournit des services de support marketing pour la conclusion de contrats publicitaires en France, notamment grâce à l’équipe grands comptes composée de six personnes qui accompagne les sociétés à fort potentiel de communication, telles que les entreprises du CAC 40, dans la stratégie à suivre sur le réseau social. L’équipe leur explique notamment le fonctionnement de la plateforme afin d’optimiser le ciblage publicitaire, de détailler les outils et les opportunités offertes par ce service.
La formation restreinte considère qu’au vu de ces éléments et à la lumière de la jurisprudence européenne en la matière, la société Z constitue une installation stable qui exerce une activité réelle et effective grâce à des moyens humains et techniques nécessaires notamment à la fourniture de services de marketing. Elle estime par ailleurs que l’éventuelle qualité de sous-traitant est sans incidence sur la qualification d’établissement dès lors que les conditions précitées sont réunies.
La formation restreinte considère, en conséquence, que la société Z doit être qualifiée d’établissement de X et Y au sens du I de l’article 5 de la loi du 6 janvier 1978 modifiée.
Sur la participation de l’établissement français aux traitements en cause
La formation restreinte relève qu’en assurant la promotion des espaces publicitaires du service […] à l’égard des grandes entreprises françaises, Z assure la promotion commerciale des espaces publicitaires du service […] auprès des entreprises françaises et contribue à en assurer la rentabilité. Son activité permet d’entrer en relation commerciale avec une gamme d’annonceurs susceptibles d’intéresser les utilisateurs français afin qu’une publicité personnalisée leur soit proposée puis de les conseiller afin d’assurer la meilleure personnalisation possible de ces publicités dans le cadre du réseau social.
La formation restreinte rappelle également que Y a insisté sur le fait que la gratuité du service était subordonnée à l’affichage de publicités personnalisées. Cette activité est donc indissociable du traitement des données des utilisateurs et notamment de leur combinaison.
La formation restreinte considère ainsi que la société Z qui est chargée de promouvoir la vente d’espaces publicitaires auprès des entreprises françaises à destination des utilisateurs français, contribue par ce biais à la perception de revenus publicitaires. Elle participe donc, dans le cadre de ses activités, aux traitements en cause.
Enfin, la formation restreinte relève que les activités du Groupe […] sont dirigées vers le public français puisque Z a notamment pour objet de démarcher les grands annonceurs français afin de proposer une publicité pertinente pour les utilisateurs du réseau social en France.
La formation restreinte en conclut que les critères du I de l’article 5 de la loi du 6 janvier 1978 modifiée, examinés à la lumière des arrêts de la Cour de justice de l’Union européenne, sont réunis et que le droit français s’applique.
2.Sur le pouvoir de sanction de la CNIL
L’article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée, dans sa version applicable au moment des faits, dispose que : le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'urgence, ce délai peut être ramené à cinq jours. Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure.
Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes (…) :1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ; .
L’article 48 de la loi susvisée ajoute que l
es pouvoirs prévus à l'article 44 ainsi qu'au I, au 1° du II et au III de l'article 45 peuvent être exercés à l'égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d'un autre Etat membre de la Communauté européenne .
La société Y conteste la compétence de la Commission au motif que le droit français n’est pas applicable et qu’en application de l’arrêt Weltimmo, dès lors que le droit de l’Etat membre dont relève une autorité de contrôle n’est pas applicable, celle-ci ne peut infliger de sanction à un responsable de traitement qui n’est pas établi sur son territoire. Elle précise que le droit irlandais étant seul applicable, seule l’autorité de protection des données irlandaise est compétente.
Dans sa décision Weltimmo précitée, la Cour de justice de l’Union européenne a précisé que dans l’hypothèse où l’autorité de contrôle d’un État membre saisie de plaintes, conformément à l’article 28, paragraphe 4, de la directive 95/46, parviendrait à la conclusion que le droit applicable au traitement des données à caractère personnel concernées est non pas le droit de cet État membre, mais celui d’un autre État membre, l’article 28, paragraphes 1, 3 et 6, de cette directive doit être interprété en ce sens que cette autorité de contrôle ne pourrait exercer les pouvoirs effectifs d’interventions qui lui ont été conférés conformément à l’article 28, paragraphe 3, de ladite directive que sur le territoire de l’État membre dont elle relève. Partant, elle ne saurait infliger de sanctions sur la base du droit de cet État membre au responsable du traitement de ces données qui n’est pas établi sur ce territoire, mais 
devrait, en application de l’article 28, paragraphe 6, de la même directive, demander à l’autorité
 de contrôle relevant de l’État membre dont le droit est applicable d’intervenir  (point 60).
La formation restreinte considère en l’espèce, comme cela a été précisé supra, que le droit français est applicable et en conséquence qu’il convient de faire application des articles 45 et 48 de la loi du 6 janvier 1978 modifiée qui confèrent compétence à la Commission pour prononcer des sanctions à l’encontre des responsables de traitements mis en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable de traitement est établi sur le territoire d’un autre Etat membre.
La formation restreinte relève que l’arrêt Weltimmo de la Cour de justice de l’Union européenne précité conforte cette position. Ce dernier précise que le pouvoir de sanction d’une autorité de contrôle doit être écarté dans l’hypothèse où le droit applicable est celui d’un autre Etat membre. A contrario, ce pouvoir reste plein et entier lorsque le droit applicable est celui de l’Etat membre dont relève l’autorité de contrôle.
La formation restreinte considère, en conséquence, que dès lors que le droit français est applicable, la CNIL dispose de l’intégralité de ses pouvoirs, dont celui de prononcer des sanctions.
3.Sur la qualité de responsables de traitement des sociétés X et Y
Le I de l’article 3 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens .
Cette disposition constitue la transposition de l’article 2 d) de la directive 95/46/CE du 24 octobre 1995 qui définit le responsable de traitement comme la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel .
Les sociétés X et Y soutiennent que seule Y doit être qualifiée de responsable du traitement des données des utilisateurs situées en dehors du Canada et des Etats-Unis, l’entité américaine n’étant que sous-traitant de la société irlandaise pour laquelle elle assure des prestations d’hébergement.
Les sociétés rappellent à ce titre, qu’elles constituent des entités juridiques distinctes et indépendantes avec des missions différentes : depuis 2010, X fournit le service uniquement aux utilisateurs nord-américains et ne traite que leurs données alors que Y fournit le service à tous les autres utilisateurs du monde et traite leurs données. Elles précisent que la qualification de responsable de traitement de l’entité irlandaise découle, d’une part, d’une analyse factuelle dès lors que Y dispose d’un siège social et d’un effectif de plus 1600 salariés à […] et qu’elle détermine seule les règles régissant le traitement des données des utilisateurs au sein de l’Union européenne et, d’autre part, d’une analyse juridique puisque plusieurs documents légaux, notamment les documents intitulés la déclaration des droits et des responsabilités et la politique d’utilisation des données , la désignent comme responsable de traitement. X n’a pour sa part aucun contrôle effectif sur les données des utilisateurs de l’Union européenne.
Enfin, les sociétés font valoir que si le service fourni aux utilisateurs du réseau social, via une plateforme mondiale, comporte des similitudes, il n’existe plus de service global et qu’à ce titre, certaines fonctionnalités proposées aux utilisateurs nord-américains ne sont pas disponibles pour les utilisateurs de Y.
En premier lieu, la formation restreinte souligne que la qualité de responsable de traitement de Y n’est pas contestée.
En deuxième lieu, sur la qualité de responsable de traitement de X, la formation restreinte relève que le site […] , l’un des sites les plus visités au monde, a été conçu et développé par les fondateurs de la société américaine en 2004. Comme relevé lors des constations effectuées, ce réseau social international est constitué d’une plateforme unique permettant aux utilisateurs du monde entier d’être connectés les uns avec les autres, qu’ils se trouvent en Inde, en Europe ou aux Etats-Unis. Il n’existe donc pas deux services distincts pour les utilisateurs nord-américains et pour tous les autres utilisateurs, les éventuelles différences de fonctionnalités de ce dernier s’expliquant par la nécessité de respecter la législation des Etats dans lesquels il est proposé.
La formation restreinte souligne, par ailleurs, que le réseau social a été conçu, mis en œuvre, enrichi et adapté aux Etats-Unis par la société X depuis 2004 et que cette dernière régit aujourd’hui le mode de fonctionnement de l’intégralité du service quels que soient les utilisateurs concernés. 
Il repose sur le traitement des données des utilisateurs et sur leur combinaison aux fins de permettre l’affichage de contenus et de publicités personnalisés et de fournir un service gratuit. Cette stratégie commerciale n’est pas décidée isolément et indépendamment par la société Y. Elle n’est pas propre aux utilisateurs non-américains mais résulte bien d’une politique unique appliquée à l’ensemble du réseau social.