AgentPublic/cnil huggingface dataset:
49. Ensuite, s’agissant du second canal d’information, les utilisateurs du site [...] ne pouvaient deviner d’eux-mêmes que le lien renvoyant vers la politique de confidentialité du site était inséré dans les mentions légales du site. Ainsi, pour parvenir jusqu’à cette politique de confidentialité, les utilisateurs devront, dans un certain nombre de cas, entreprendre préalablement plusieurs actions, comme, par exemple, cliquer sur les liens " Accessibilité " ou " Conditions générales de vente " figurant également en pied de la page d’accueil, avant de cliquer finalement sur le lien " Mentions légales ".
50. Il en résulte que l’information fournie aux utilisateurs du site [...] n’était pas " aisément accessible ".
51. En deuxième lieu, le rapporteur estime que l’information relative à la carte [...] fournie dans le cadre du parcours de souscription en ligne sur le site [...] et telle que constatée lors du contrôle en ligne n’était pas non plus " aisément accessible " dès lors que les souscripteurs de cette carte ne disposaient pas d’une information complète relative au traitement de leurs données sur la page de présentation du parcours de souscription et qu’ils n’étaient pas, non plus, invités à prendre connaissance d’une information plus complète, par exemple par le biais d’un lien hypertexte renvoyant vers des mentions d’information complémentaires.
52. La société soutient qu’un tel lien existait déjà à travers l’onglet " Protection des données bancaires " figurant en pied de page du site.
53. La formation restreinte souligne que selon le principe de transparence, tel que notamment rappelé dans le considérant 61 du RGPD, les informations doivent être communiquées aux personnes au moment où les données sont collectées.
54. A titre d’exemple, les lignes directrices sur la transparence du G29 mentionnent que, dans un contexte en ligne, il convient qu’ " un lien vers la déclaration ou l’avis sur la protection de la vie privée soit fourni au point de collecte des données à caractère personnel, ou que ces informations soient consultables sur la même page que celle où les données à caractère personnel sont collectées ".
55. En l’espèce, il ressort des constatations que la société a fait le choix d’adopter une information à plusieurs niveaux.
56. A cet égard, si la société fournissait bien, dans la page de présentation du parcours de souscription à la carte [...] les mentions attendues au titre d’une information de premier niveau, à savoir l’identité du responsable de traitement, les finalités principales du traitement et la description des droits " Informatique et Libertés ", la formation restreinte relève en revanche que la société avait négligé de compléter ces mentions en permettant aux personnes de prendre connaissance d’une information complète en insérant, par exemple, un lien hypertexte renvoyant vers une information de deuxième niveau, en l’occurrence, vers la politique de confidentialité de la société, censée détailler l’ensemble des mentions d’informations exigées par l’article 13 du Règlement.
57. S’agissant de l’onglet " Protection des données bancaires " mis en avant par la société, la formation restreinte relève que cet onglet ne figurait pas en pied de page du parcours de souscription en ligne à la carte [...] et rappelle qu’en tout état de cause son intitulé n’aurait pas permis aux personnes concernées de comprendre aisément qu’en cliquant sur ce lien elles allaient être redirigées vers la politique de confidentialité de la société.
58. De la sorte, les personnes concernées n’étaient pas informées, au moment de la collecte de leurs données à caractère personnel, de toutes les informations afférentes au traitement. Il en résulte que toutes les informations fournies aux souscripteurs de la carte [...] sur le site [...] n’étaient pas " aisément accessibles ".
59. La formation restreinte considère donc que la société a méconnu les dispositions de l’article 12 du Règlement.
60. Elle relève, néanmoins, qu’au jour de la séance, la société avait entièrement refondu son site web et que l’information aujourd’hui fournie tant aux utilisateurs du site qu’aux souscripteurs de la carte [...] satisfait désormais aux exigences de l’article 12 du Règlement.
2. S’agissant du contenu de l’information
61. Le rapporteur considère que la politique de confidentialité de la société, intitulée " Protection et confidentialité des données personnelles traitées par [...] " et accessible selon les modalités rappelées ci-avant, était à la fois imprécise et lacunaire s’agissant des mentions relatives aux durées de conservation. Ainsi, d’une part, la politique d’information comportait des formulations trop vagues, ne permettant pas d’identifier des durées définies et, d’autre part, la société ne donnait aucune information concernant certaines données qu’elle indiquait pourtant collecter, telles que les données de comportement, d’habitudes et de préférences de consommation en ligne collectées par les cookies déposés sur le terminal des utilisateurs à partir de son site web. Par ailleurs, la société ne précisait pas si elle archivait ou non les données des personnes concernées.
62. La société conteste le caractère imprécis de ses mentions d’information relatives aux durées de conservation et fait valoir que l’information relative aux cookies était disponible dans un autre développement de ses " Mentions légales ".
63. La formation restreinte rappelle qu’aux termes de l’article 13, paragraphe 2, a) du Règlement, le responsable du traitement fournit à la personne concernée les informations relatives à " la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ".
64. A titre d’éclairage, les lignes directrices sur la transparence précitées recommandent que " la durée de conservation [soit] formulée de manière à ce que la personne concernée puisse évaluer, selon la situation dans laquelle elle se trouve, quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques. Le responsable du traitement ne peut se contenter de déclarer de façon générale que les données à caractère personnel seront conservées aussi longtemps que la finalité légitime du traitement l’exige. Le cas échéant, différentes périodes de stockage devraient être mentionnées pour les différentes catégories de données à caractère personnel et/ou les différentes finalités de traitement, notamment les périodes à des fins archivistiques ".
65. En l’espèce, la formation restreinte souligne, tout d’abord, que l’emploi de formules vagues et non définies telles que " les délais de prescription légale applicables " ou " la conservation de vos données par [...] varie selon les réglementations et lois applicables " ou encore des expressions " à titre d’exemple " ou de l’adverbe " notamment " rendaient nécessairement confuse pour les personnes concernées la compréhension de l’étendue et de la nature des données conservées ainsi que des durées de conservation appliquées à ces données.
66. Elle ajoute, ensuite, que l’information était également incomplète dans la mesure où la société négligeait de préciser les durées de conservation applicables à toutes les données traitées ou ne précisait pas les critères utilisés pour déterminer ces durées. Ainsi, la société ne précisait pas qu’elle archivait les données contractuelles pendant cinq ans, durée de la prescription légale applicable, en cas de contentieux. Par ailleurs, elle ne précisait pas les durées de conservation des données collectées par les cookies, dès lors que si les " Mentions légales " du site comportaient bien un paragraphe relatif aux cookies, ce dernier ne précisait pas les durées de conservation des données collectées par ces cookies.
67. La formation restreinte considère donc qu’un manquement à l’article 13 du Règlement était constitué.
68. Elle relève, néanmoins, qu’au jour de la séance, la société avait complété ses mentions d’information et que sa politique de confidentialité satisfait désormais aux exigences de l’article 13 du Règlement.
C. Sur le manquement relatif aux cookies
69. L’article 82 de la loi " informatique et libertés " (article 32.II dans une rédaction identique au jour des constatations) impose que les utilisateurs soient informés et que leur consentement soit recueilli avant toute opération d’accès ou d’inscription à des informations déjà stockées dans leur équipement. Tout dépôt de cookie ou autre traceur doit donc être précédé de l’information et du consentement des utilisateurs. Cette exigence ne s’applique pas aux cookies ayant " pour finalité exclusive de permettre ou faciliter la communication par voie électronique " ou étant " strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
70. Le rapporteur considère que la société ne respectait pas ces dispositions dès lors qu’il a été constaté lors du contrôle en ligne qu’en arrivant sur le site web [...], plusieurs cookies ne rentrant pas dans les deux cas rappelés ci-avant étaient déposés sur le terminal de l’utilisateur dès la connexion à la page d’accueil du site et avant toute action de sa part.
71. La société ne conteste pas ces éléments.
72. La formation restreinte relève, en l’espèce, que le dépôt de trente et un cookies était automatique dès l’arrivée sur la page d’accueil du site et avant tout action de l’utilisateur.
73. La formation restreinte observe que cinq de ces cookies (les cookies " MUIDB ", " GPS " et " gid ", " _ga " et " _gat_trackerBanque ") n’avaient ni pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, ni n’étaient strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur.
74. S’agissant, d’abord, des trois cookies " gid ", " _ga " et " _gat_trackerBanque ", dits Google analytics, la formation restreinte souligne qu’il ne fait pas débat que les données collectées par ces cookies peuvent être recoupées avec des données issues d'autres traitements pour poursuivre des finalités différentes que celles limitativement prévues par l’article 82 de la loi " informatique et libertés ", notamment pour mener à bien de la publicité personnalisée. En effet, il ressort du guide pratique " Association des comptes Analytics et Google Ads ", mis en ligne sur un des sites de la société Google, que " l’intégration de Google Analytics dans Google Ads (…) permet [aux annonceurs] de savoir précisément dans quelle mesure [leurs] annonces se traduisent par des conversions, puis d’ajuster rapidement les créations et les enchères en conséquence. [Les annonceurs peuvent] également combiner les produits afin d’identifier [leurs] segments les plus intéressants, puis susciter l’intérêt de ces utilisateurs à l’aide de messages personnalisés ".
75. S’agissant, ensuite, des cookies " MUIDB " et " GPS ", la formation restreinte relève que ces deux cookies sont des cookies de traçage, le premier permettant de suivre un utilisateur se rendant sur différents noms de domaine appartenant à la société Microsoft, le second enregistrant un identifiant sur le terminal de l’utilisateur afin de le géolocaliser. Dès lors, le dépôt de ces cinq cookies aurait dû obliger la société à recueillir préalablement le consentement de l’utilisateur.
76. La formation restreinte considère donc qu’un manquement à l’article 82 de la loi " informatique et libertés " était constitué.
77. Elle relève, néanmoins, qu’au jour de la séance, la société avait entièrement refondu sa politique en matière de cookies. Ces modifications ont amené, notamment, à l’arrêt du dépôt automatique de cookies à l’arrivée sur la page d’accueil du site depuis le 4 mars 2020.
III. Sur les mesures correctrices et la publicité
78. Aux termes du III de l’article 20 de la loi " informatique et libertés " :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
79. L’article 83 du RGPD prévoit :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. "
80. En premier lieu, concernant la proposition de sanction, la société soutient que dès lors que les manquements à la loyauté et à l’information ne seraient pas caractérisés, le prononcé d’une amende administrative n’apparaît pas nécessaire.
81. Elle avance qu’il conviendrait en tout état de cause de réduire le montant de l’amende proposée, dans la mesure où les manquements reprochés sont dénués de gravité et qu’elle a opéré, depuis le début de la procédure de sanction, un important travail de mise en conformité.
82. Au regard des critères pertinents prévus à l’article 83 du Règlement, la formation restreinte considère, au contraire, que le prononcé d’une amende administrative s’avère nécessaire.
83. En l’occurrence, s’agissant, premièrement, de la nature, de la gravité et de la durée de la violation, la formation restreinte note que ce critère est caractérisé pour le manquement lié à la loyauté dès lors que la société a fourni à ses clients une information contraire à la réalité des traitements mis en œuvre.
84. Deuxièmement, s’agissant du nombre de personnes concernées, la formation restreinte souligne que le manquement relatif aux cookies a concerné un nombre important de personnes dès lors que les cookies permettaient de suivre de la même façon, sans distinction, le comportement en ligne des souscripteurs de la carte [...] et des prospects éventuels de la société mais également de tous les internautes susceptibles de naviguer sur son site web.
85. Par ailleurs, les manquements à la loyauté et à l’information ont concerné aussi l’ensemble des souscripteurs de la carte [...] rattachés ou non au programme de fidélité [...] lesquels, selon les éléments relevés par la délégation de contrôle, s’élèvent à au moins […] de personnes.
86. Troisièmement, s’agissant des mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées et du degré de coopération avec l’autorité de contrôle, la formation restreinte note la parfaite coopération de la société tout au long de la procédure de sanction et les efforts très importants engagés afin d’atteindre une conformité totale au jour de la séance. Elle relève que les trois manquements ont été corrigés à ce jour.
87. S’agissant du montant de l’amende administrative, la formation restreinte rappelle qu’en 2018 la société a réalisé un produit net bancaire de 308 millions d’euros et qu’en application des dispositions de l’article 83, paragraphe 5, elle encourt une sanction financière d’un montant maximum de 20 millions d’euros.
88. Dès lors, au regard des capacités financières de la société et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime que le prononcé d’une amende de 800 000 €, qui ne représenterait donc que 0,25% de ce produit net bancaire, apparaît à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83, paragraphe 1, de ce Règlement.
89. En deuxième lieu, concernant le prononcé d’une injonction, la société soutient que dans la mesure où elle a remédié à l’ensemble des manquements qui lui sont reprochés, les demandes formulées au titre de l’injonction proposée sous astreinte perdent tout fondement.
90. La formation restreinte relève en effet que, dès lors que la société a corrigé l’ensemble des manquements relevés dans le rapport de sanction, le prononcé d’une injonction ne se justifie plus.
91. En troisième lieu, concernant la publicité de la présente décision, la société soutient qu’une telle mesure ne respecterait pas le principe constitutionnel de nécessité des peines dès lors qu’elle se serait déjà inscrite dans une démarche consistant à renforcer la conformité de sa situation aux exigences de la règlementation sur la protection des données. Elle ajoute que la publicité aurait des conséquences particulièrement dommageables en ce qu’elle risquerait d’affecter sa réputation de manière durable.
92. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements sanctionnés et du nombre de personnes concernées.
93. Elle estime que cette mesure permettra d’informer l’ensemble des clients et des prospects potentiels de la société de l’existence de différents manquements sanctionnés et notamment des manquements à la déloyauté et aux cookies.
94. Enfin, la mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
95. Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du Règlement qu’une amende administrative à hauteur de 800 000 euros ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société [...] une amende administrative d’un montant de 800 000 (huit cent mille) euros pour les manquements aux articles 5, paragraphe 1, a), 12 et 13 du RGPD et à l’article 82 de la loi " informatique et libertés " ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Dominique CASTERA, Anne DEBET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu l’ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2020-072C du 15 mars 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles depuis le domaine [...].fr ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 8 juin 2020 ;
Vu l’audition des sociétés X et Y dans les locaux de la CNIL, le 22 juillet 2020 ;
Vu le rapport de Monsieur Bertrand du MARAIS, commissaire rapporteur, notifié aux sociétés X et Y le 12 août 2020 ;
Vu les observations écrites versées par les conseils des sociétés X et Y le 25 septembre 2020 ;
Vu la réponse du rapporteur à ces observations notifiée le 9 octobre 2020 aux conseils des sociétés ;
Vu les observations écrites versées par les conseils des sociétés X et Y reçues le 26 octobre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu la note en délibéré du 2 décembre 2020 adressée par les conseils des sociétés X et Y au président de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 12 novembre 2020 :
- Monsieur Bertrand du MARAIS, commissaire, entendu en son rapport ;
En qualité de représentants des sociétés X et Y :
- […]