AgentPublic/cnil huggingface dataset:
Elle relève en revanche, qu’aucun moyen n’est mis à disposition des utilisateurs pour s’opposer à la collecte de ces informations et à leur combinaison, de sorte qu’ils ne peuvent mettre fin au suivi massif dont ils font l’objet. Les utilisateurs du réseau social sont ainsi dépourvus de tout contrôle sur leurs données à caractère personnel ce qui porte atteinte au droit au respect de leur vie privée.
La formation restreinte considère ainsi que l’absence d’information suffisante et de mécanisme d’opposition à la combinaison des données ne permet pas de garantir un juste équilibre entre, d’une part, l’intérêt économique des sociétés Y et X et, d’autre part, les droits et libertés des utilisateurs du réseau.
La formation restreinte estime que les sociétés ne peuvent se prévaloir du recueil du consentement des utilisateurs, de la nécessité liée à l’exécution d’un contrat ou d’un juste équilibre entre leur propre intérêt légitime et les droits fondamentaux des utilisateurs. Elle considère en conséquence que le manquement à l’article 7 de la loi du 6 janvier 1978 modifiée est caractérisé.
7.Sur le manquement à l’obligation de procéder à une collecte et à un traitement loyal des données
Le 1° de l’article 6 de la loi du 6 janvier 1978 modifiée dispose que : les données sont collectées et traitées de manière loyale et licite .
Les sociétés ont été mises en demeure de procéder à une collecte et à un traitement loyal des données des internautes non inscrits concernant les données collectées via le cookie […]  et un module social […] (ex : bouton […] ).
Il avait, en effet, été relevé qu’un cookie […]  était déposé sur le terminal des internautes non inscrits sur le site de […], ce cookie permettant notamment, sans qu’ils en soient informés, de suivre et de collecter les données relatives à leur navigation sur des sites tiers, dès lors que ces derniers contiennent un module social […].
En défense, la société Y fait principalement valoir que le traitement des données collectées par l’intermédiaire du cookie […] est loyal au motif que les internautes (inscrits et non inscrits) reçoivent une information complète avant son installation sur leur terminal via le bandeau d’information relatif aux cookies, la politique d’utilisation des cookies et les pages d’aide. Elle précise que le bandeau d’information relatif aux cookies fournit à tous les utilisateurs les informations essentielles et que de plus amples informations peuvent être obtenues en cliquant sur le lien relatif à la politique d’utilisation des cookies présent sur le formulaire d’inscription.
Elle indique par ailleurs que ce cookie n’est déposé que lorsque les internautes visitent une page […] ou cliquent sur un module social présent sur un site tiers.
La société soulève également le fait que les données collectées via ce cookie sont limitées et ne portent que sur des informations relatives au navigateur utilisé par l’internaute (cookie ID, adresse IP de consultation, nom et informations relatifs à la version du navigateur utilisé, adresse du site internet sur lequel figure le module social de […]).
 
Enfin, elle affirme que ce cookie n’est pas utilisé pour suivre les comportements de navigation des internautes à des fins publicitaires mais qu’il assure une fonction de sécurité essentielle du service et assure la protection des données à caractère personnel des utilisateurs. A ce titre, elle précise qu’il permet une analyse de la navigation des internautes afin notamment d’éviter les attaques, la création de faux comptes ou l’usurpation de comptes.
S’agissant du dépôt du cookie  […] , la formation restreinte relève qu’il est déposé dès lors qu’un internaute (inscrits et non inscrits) consulte une page du site […] ou qu’il clique sur le bouton […] figurant sur un site tiers.
Par la suite, les données relatives à sa navigation sur le site[…] ou d’autres sites tiers sont remontées puis collectées par […].
S’agissant de l’information des internautes non inscrits, si la formation restreinte relève que le bandeau d’information relatif aux cookies a été modifié, elle estime toutefois que la référence aux [...] informations [collectées] sur et en dehors de […] via les cookies  présente également sur certains sites tiers comprenant un module social reste encore très imprécise.
Elle ne permet pas aux internautes et en particulier aux internautes non inscrits sur le réseau social, d’être clairement informés et de comprendre que leurs données sont systématiquement collectées dès lors qu’ils se trouveront sur un site tiers comportant un module social. Elle considère ainsi que le renvoi à la politique d’utilisation des cookies et son éventuelle consultation par les internautes non inscrits n’est pas suffisant et ne peut se substituer à l’obligation de leur délivrer une information claire et précise sur l’existence de la collecte de données dont ils font l’objet. En effet, ces derniers n’ont aucune raison de consulter ce document dès lors qu’ils ne créent pas de compte sur le réseau social.
En ce qui concerne la finalité sécuritaire poursuivie par le cookie  
[…] , la formation restreinte la considère légitime pour les internautes inscrits. A contrario, une telle finalité ne peut être ni légitime ni justifiée pour les internautes non inscrits dès lors que ces derniers ne peuvent pas faire l’objet d’une usurpation de compte ou d’une attaque.
Ainsi en l’absence d’une information suffisamment claire et précise sur la collecte des données effectuées et dès lors que le cookie […]
  permet d’effectuer un suivi détaillé de la navigation de l’ensemble des internautes (inscrits ou non sur le réseau social), la formation restreinte considère que ces données ne sont pas collectées et traitées de façon loyale.
La formation restreinte considère en conséquence que le manquement au 1° de l’article 6 de la loi du 6 janvier 1978 modifiée est caractérisé.
8.Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour le traitement de données sensibles relatives aux opinions politiques ou religieuses et à la vie sexuelle
L’article 8 de la loi du 6 janvier 1978 modifiée dispose que :  I. - Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. 
II. - Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I : 1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée […] .
Les sociétés ont été mises en demeure de recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles en l’espèce les données relatives aux origines ethniques ou raciales, aux opinions religieuses et à la vie sexuelle des personnes.
En défense, la société Y fait valoir que l’utilisateur, lorsqu’il complète son profil, renseigne volontairement ce type de données et a la possibilité de les rendre publiques via les paramètres de confidentialité. En outre, la société considère que les données des utilisateurs liées  à l’intérêt qu’ils portent aux hommes ou aux femmes ne sont pas des données sensibles. Elle fait également valoir que l’information fournie aux utilisateurs, notamment dans la cadre de sa politique d’utilisation des données, satisfait aux exigences de l’article 10 la directive 95/46/CE. Enfin, la société indique qu’aucun texte n’impose que le consentement au traitement des données sensibles se manifeste par le biais d’une case à cocher.
La formation restreinte rappelle qu’il convient d’examiner le respect par les sociétés, des obligations découlant de l’article 8 de la loi du 6 janvier 1978 modifiée et non de celles résultant des dispositions de la directive 95/46/CE. Si le consentement peut permettre de déroger à l’interdiction de traiter des données à caractère personnel dites sensibles , il est nécessaire que celui-ci soit exprès, c’est-à-dire libre, informé et spécifique.
En l’espèce, la formation restreinte considère que des données sensibles sont traitées par les sociétés, à savoir leurs origines raciales ou ethniques, leurs opinions religieuses mais également leur orientation sexuelle révélée via la collecte de données liées à l’intérêt porté aux hommes ou aux femmes . Elle estime que le renseignement spontané de telles données n’exonère pas la société de l’obligation de recueillir le consentement exprès des personnes qui doivent être en mesure de manifester par une action positive leur assentiment au traitement de données sensibles, attestant ainsi que le consentement est donné en toute connaissance de cause.
La formation restreinte relève également que ni la politique d’utilisation des données, ni les étapes décrites par les sociétés permettant aux utilisateurs de renseigner leur profil, ne contiennent une information spécifique concernant le traitement de ces données.
En outre, la formation restreinte considère que la possibilité offerte aux utilisateurs de paramétrer la confidentialité de leurs comptes ne saurait conférer un caractère public à leurs données, celles-ci étant traitées dans le cadre d’une communauté d’intérêts fermée, celle de […], et accessibles à ses seuls membres.
En conséquence, la formation restreinte considère que les sociétés ne recueillent pas le consentement exprès des utilisateurs pour le traitement des données sensibles et que le manquement l’article 8 de la loi du 6 janvier 1978 modifiée est caractérisé.
9.Sur le manquement à l’obligation de mettre à disposition un moyen valable d’opposition aux informations (cookies) stockées sur l’équipement terminal de communications électroniques des utilisateurs
Le II de l’article 32 de la loi du 6 janvier 1978 modifiée dispose que tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle .
Les sociétés ont été mises en demeure d’informer les internautes et d’obtenir leur accord préalable à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci. En particulier, il leur avait été enjoint, sauf à mettre en place un dispositif présentant les mêmes garanties, d’indiquer aux internautes, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet, les finalités de tous les cookies soumis au consentement et la possibilité qu’ils ont de s’opposer au dépôt de ces cookies en cliquant sur un lien présent dans le bandeau, ce dernier devant renvoyer vers une page présentant les solutions adéquates mises à leur disposition pour accepter ou refuser le dépôt des cookies.
En réponse à la mise en demeure, la société Y a indiqué, par un courrier du 9 août 2016, que le bandeau d’information sur les cookies avait été mis à jour et qu’une action positive des utilisateurs était désormais requise avant le dépôt des cookies.
Eu égard à ces mesures correctives, le rapport du 14 décembre 2016 reprochait uniquement aux deux sociétés de ne pas proposer aux utilisateurs un moyen valable d’opposition à l’inscription de cookies sur leur équipement terminal. Le rapporteur avait ainsi précisé que le paramétrage du navigateur, tel que proposé par les sociétés, n’était pas satisfaisant.
En défense, la société Y soutient que le droit français excède les obligations européennes découlant de la directive 2009/136/CE du 25 novembre 2009 en exigeant des moyens d’opposition aux cookies et précise qu’elle a, en tout état de cause, mis en place des moyens valables de s’opposer aux cookies à travers le refus de navigation sur le site et le paramétrage du navigateur.
Elle invoque par ailleurs l’absence de valeur impérative de la recommandation de la Commission telle qu’invoquée dans le rapport du 14 décembre 2016 et soutient à ce titre qu’elle n’avait pas l’obligation de mettre en œuvre une solution de tag management . Enfin, la société précise qu’elle dépose des cookies strictement nécessaires à la finalité de sécurité du site.
La formation restreinte rappelle, comme cela a été évoqué précédemment, qu’il convient d’examiner le respect par les sociétés, des obligations découlant uniquement de l’article 32-II de la loi du 6 janvier 1978 modifiée telle qu’éclairées par la délibération n° 2013-378 de la Commission du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et aux autres traceurs et non de celles résultant des dispositions de la directive 2009/136/CE.
A ce titre, la formation restreinte relève qu’il ressort du document intitulé la politique d’utilisation des cookies que les sociétés déposent tant des cookies techniques essentiels au fonctionnement du réseau social, tels que des cookies d’authentification, que des cookies first party à finalité publicitaire, c’est-à-dire des cookies issus du domaine […] .
Elle précise qu’en renvoyant au paramétrage du navigateur, les sociétés ne laissent que deux choix aux utilisateurs : soit ces derniers choisissent, via ce paramétrage, de bloquer tous les cookies déposés sur leur équipement terminal, soit ils décident de refuser uniquement les cookies third party c’est-à-dire ceux issus de domaine tiers au site […] . La formation restreinte relève qu’aucune de ces deux solutions n’est satisfaisante. Dans la première solution, le blocage de tous les cookies entraînera nécessairement le blocage des cookies techniques essentiels au fonctionnement du site et empêchera les utilisateurs d’accéder aux services du réseau social. A l’inverse, dans la deuxième solution, en ne bloquant que les cookies third party, les utilisateurs ne pourront s’opposer aux cookies first party à finalité publicitaire déposés par le site […] et seront ainsi privés de toute modalité d’opposition contre ces derniers.
La formation restreinte estime ainsi qu’en l’espèce, le paramétrage du navigateur ne permet pas aux utilisateurs de s’opposer valablement aux cookies déposés sur leur équipement terminal.
La formation restreinte considère en conséquence que le manquement au II de l’article 32 de la loi du 6 janvier 1978 modifiée est caractérisé.
10.Sur le manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement
Le 5° de l’article 6 de la loi du 6 janvier 1978 modifiée dispose que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Les sociétés ont été mises en demeure de ne pas conserver de données à caractère personnel au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées et traitées, notamment en supprimant à l’expiration d’un délai de 6 mois les adresses IP utilisées par les inscrits pour se connecter aux comptes.
 
En défense, la société Y a indiqué qu’elle collectait deux types d’adresses IP : celles de connexion contenues dans les logs d’accès qui sont conservées 90 jours puis pseudonymisées et celles associées à des actions spécifiques […]. Ces adresses sont quant à elle conservées jusqu’à l’expiration d’un délai de 90 jours à compter de la fermeture du compte […] de l’utilisateur.
La société soutient qu’il n’existe aucun fondement légal à la durée de conservation de six mois fixée dans la mise en demeure. S’agissant de la conservation des adresses IP liées à des actions spécifiques, elle fait valoir qu’elle répond à trois finalités : une finalité de sécurité pour lutter contre les contenus illicites, contre le piratage de comptes à grande échelle et aux fins de détection d’activités suspectes sur les comptes des utilisateurs, une finalité de protection des enfants liée à la nécessité d’informer rapidement les autorités compétentes lors de la détection ou lors de signalement d’images pédophiles et enfin, une finalité de réponse aux requêtes des autorités publiques.
La formation restreinte rappelle qu’il appartient aux responsables de traitement de définir une durée de conservation adéquate et de démontrer que celle-ci est nécessaire et proportionnée aux finalités de la collecte.
En l’espèce, au regard de la pluralité des finalités invoquées par la société, la formation restreinte considère qu’elle ne démontre pas en quoi une conservation de l’intégralité des adresses IP des inscrits, associées à des actions spécifiques , pendant toute la durée de vie du compte serait nécessaire.
Par conséquent, la formation restreinte considère que le manquement au 5°de l’article 6 de la loi du 6 janvier 1978 modifiée est caractérisé.
Sur la sanction et la publicité
La formation restreinte considère que les manquements aux articles 6-1°, 6-5°, 7, 8, 32-I, et 32-II de la loi du 6 janvier 1978 modifiée ont persisté au-delà du délai imparti par la mise en demeure de la Présidente de la Commission et justifie que soit prononcée une sanction pécuniaire d’un montant de 150.000 € à l’encontre des sociétés.
Compte tenu de la gravité des manquements et de l’atteinte aux droits et libertés fondamentaux des personnes concernées s’agissant notamment du caractère massif de la collecte et du traitement des données de navigation des internautes et de l’absence de base légale aux opérations de combinaison de données à des fins publicitaires, la formation restreinte décide de rendre publique sa décision.
Elle estime que cette publicité se justifie également compte tenu de la nature des données traitées et du nombre de personnes concernées par les traitements en cause, à savoir au moins 33 millions d’utilisateurs en France.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de
de prononcer à l’encontre des sociétés X et Y tenues solidairement
,
 une sanction pécuniaire d’un montant de 150.000 €;
 
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
 
 
 
 
Jean-François CARREZ
 
 
 
 
 
 
 
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la direction générale de la cohésion sociale d'une demande d'avis concernant les traitements mis en œuvre par les conseils départementaux pour la gestion de l'allocation personnalisée d'autonomie et de l'aide sociale à l'hébergement ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'action sociale et des familles, notamment son article L. 232-21-3 ;
Vu le code de la santé publique, notamment son article L. 6327-2 ;
Vu le livre des procédures fiscales, notamment son article L. 153 A ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques, notamment son article 7 bis ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-1-2° ;
Vu l' ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 82-103 du 22 janvier 1982 relatif au répertoire national d'identification des personnes physiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le présent projet de décret, soumis à la Commission pour avis, par la direction générale de la cohésion sociale (DGCS), sur le fondement de l'article 27-1-2° de la loi du 6 janvier 1978 modifiée, est pris pour l'application des dispositions de l'article L. 232-21-3 du code de l'action sociale et des familles (CASF), Cet article, issu de la loi n° 2015-1776 du 28 décembre 2015 relative à l'adaptation de la société au vieillissement, dispose que les conseils départementaux, dans le cadre de leur mission d'attribution de l'allocation personnalisée d'autonomie (APA) et de l'aide sociale à l'hébergement (ASH), procèdent au traitement de données à caractère personnel parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).
Le présent avis relève la nécessité de compléter le projet d'acte réglementaire concernant les données collectées, les destinataires des données dans le cadre de la finalité statistique, la durée de conservation, les mentions d'informations délivrées aux personnes ainsi que les mesures de sécurité.
Le projet de de décret a vocation à constituer un acte réglementaire unique auquel les conseils départementaux, responsables de traitement pour les traitements qui y sont envisagés, devront effectuer un engagement de conformité avant de mettre en place les traitements qui y sont décrits.
Sur la finalité du traitement :
La Commission relève que le traitement est mis en œuvre pour des finalités qui correspondent aux finalités d'attribution, de gestion, de contrôle d'effectivité de l'APA et de l'ASH, ainsi que de statistiques, mentionnées à l'article L. 232-21-3 du CASF.
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
Le projet d'article R. 232-41 énumère les données devant être collectées en distinguant celles relatives aux demandeurs et bénéficiaires de l'APA, de celles relatives aux demandeurs et bénéficiaires de l'ASH.
La Commission note que le décret n° 2017-344 du 16 mars 2017 relatif aux transmissions de données sur l'allocation personnalisée d'autonomie et l'aide sociale à l'hébergement liste les catégories des données transmises à la direction de la recherche, des études, de l'évaluation et des statistiques (DREES). En toute hypothèse, la Commission rappelle que seules les données pertinentes au regard des finalités statistiques pourront être transmises aux organismes chargés de les réaliser.