AgentPublic/cnil huggingface dataset:
L’ensemble de ces faits constitue un manquement aux obligations découlant du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni de 1.500.000 € d’amende.
Un manquement à l’obligation d’informer et d’obtenir l’accord préalable des personnes concernées avant d’inscrire des informations (cookies) sur leur équipement terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies)
L’article 32-II de la loi du 6 janvier 1978 modifiée dispose que Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement;
des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
 soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur .
Les cookies nécessitant une information et un consentement préalables de l’internaute sont notamment les cookies liés aux opérations relatives à la publicité ciblée et les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux .
Afin de proposer aux professionnels du secteur des lignes directrices en la matière, la CNIL a adopté la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs.
Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
Cette recommandation rappelle que la validité du consentement est liée à la qualité de l’information reçue . La Commission recommande donc que ce consentement soit recueilli en deux étapes :
première étape : l’internaute qui se rend sur le site d’un éditeur (page d’accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des Cookies utilisés ; de la possibilité de s’opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ; du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal ;
seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d’audience .
En outre, la recommandation indique que l’information doit être visible, mise en évidence et complète .
En l’espèce, la délégation a constaté au cours du contrôle en ligne que lors de sa connexion au site YY, 10 cookies étaient déposés sur son équipement terminal et 13 en se connectant au site ZZ. Au cours de l’audition du gérant, il a été précisé que les cookies ayant pour noms de domaine doubleclick.net ont une finalité publicitaire.
La délégation a également constaté l’absence de toute information relative aux cookies sur la page d’accueil des sites.
Dès lors, l’internaute n’est pas informé de :
la finalité publicitaire de certains des cookies déposés ;
la possibilité de changer les paramètres des cookies et les moyens mis à sa disposition pour refuser leur dépôt ;
ce qu’une action positive de sa part, à savoir la poursuite de la navigation sur le site, est requise pour exprimer son accord au dépôt des cookies.
Par ailleurs, la délégation a constaté que le dépôt de cookies dans l’équipement terminal de communications électroniques de l’internaute s’opère dès la connexion au site web, avant toute action de la part de l’internaute tendant à poursuivre sa navigation sur les sites.
Au regard de ce qui précède, il apparaît que les sites web n’informent pas les personnes concernées et ne recueillent leur consentement avant de procéder au dépôt des cookies.
L’ensemble de ces faits constitue un manquement au II de l’article 32 précité de la loi n° 78-17 du 6 janvier 1978 modifiée qui soumet notamment à information et à accord préalables de l’internaute le dépôt de tels cookies.
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 euros.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
(…)
Eu égard notamment à la sensibilité des données traitées, ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation de veiller à la confidentialité des données
La délégation a constaté que les contrats conclus entre la société et ses prestataires de services, notamment avec le prestataire en charge de l’hébergement de données, (…) ne prévoient pas de clauses relatives aux obligations du sous-traitant en matière de sécurité et de confidentialité des données personnelles et de ce que le sous-traitant ne peut agir que sur instruction du responsable de traitement.
Ces faits constituent un manquement aux dispositions de l’article 35 de la loi n° 78-17 du 6 janvier 1978 qui dispose notamment que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement .
En conséquence, la société X, sise […], est mise en demeure, sur l’ensemble de ses sites internet, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation en ce qui concerne les traitements de données susceptibles d’exclure des personnes ;
recueillir le consentement exprès des personnes à la collecte et au traitement de leurs données sensibles - en l’espèce des données relatives aux origines ethniques ou raciale des personnes – par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte afin de garantir leur consentement exprès ;
procéder à l’information des utilisateurs des sites, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, directement sur le formulaire de collecte des données, des traitements de leurs données à caractère personnel ;
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment : 
respecter la durée de conservation des données à caractère personnel telle qu’indiquée dans l’engagement de conformité à la norme simplifiée n° 48 relative à la gestion des clients et des prospects, en particulier conserver les données des clients uniquement pendant la durée de la relation commerciale, en dehors des prescriptions légales applicables ; à défaut procéder à la modification de cette déclaration et justifier de la durée de conservation choisie ;
procéder à la purge des données relatives aux comptes désinscrits et inutilisés ou procéder à leur archivage intermédiaire, et ce pendant la durée nécessaire aux finalités pour lesquelles elles sont collectées et après avoir opéré un tri des données pertinentes à archiver ;
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies). A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties:
d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur un bandeau d’information par exemple, présent sur la page d’accueil du site web :
les finalités de tous les cookies soumis au consentement ;
que la personne concernée à la possibilité de changer les paramètres des cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer vers une page présentant les solutions adéquates mises à la disposition des personnes concernées pour accepter ou refuser le dépôt des cookies ;
que la poursuite de la navigation vaut consentement au dépôt des cookies ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ;
adopter les mesures visant à assurer la sécurité et la confidentialité des données,
(…)
prévoir au sein de tous les contrats liant la société avec ses prestataires de services, en particulier de la société (…), des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société, et préciser que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-058 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives à leurs origines ethniques ou raciales).
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données, la conduisant en pratique à conserver les données personnelles des comptes ayant pourtant fait l’objet d’une demande de suppression ou des comptes inutilisés.
La mesure de publicité se fonde également sur le statut de l’organisme en cause qui exploite et gère une trentaine de sites de rencontre. Aussi, compte tenu du grand nombre d’utilisateurs, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement.
En conséquence, le bureau de la Commission décide de rendre publique la décision n° 2015-058 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
La Présidente 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu les décisions n° 2014-274C, 2014-275C, 2014-276C, 2014-277C et 2014-278C du 9 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à des missions de vérification de tout traitement de données à caractère personnel mis en œuvre dans le cadre de la gestion et de l’exploitation des sites internet VV, WW, YY et ZZ, et des applications correspondant, et auprès de la société X ;
Vu les procès-verbaux de contrôle sur place n° 2014-274/1, 2014-275/1, 2014-276/1, 2014-277/1, 2014-278/1 et n° 2014-278/2 du 21 et 22 octobre 2014, ainsi que le procès-verbal de constatation en ligne n° 2014-278/3 du 29 mai 2015 ;
I- Constate les faits suivants
La société X (ci-après la société ), sise […], gère plusieurs milliers de sites de rencontre en ligne. Elle a également crée une plateforme d’affiliation offrant à ses partenaires un service tout compris de plateforme de rencontre en marque blanche, qu’elle a cédée à la société (…) en septembre 2014 et que la société X loue dorénavant à cette dernière. La société gère donc de nombreux sites internet, que ce soit en propre ou dans le cadre de contrats d’affiliation (ci-après les sites internet de la société ).
La société emploie une trentaine de personnes et a dégagé un chiffre d’affaires (…) sur l’exercice 2013.
En application des décisions n° 2014-274C, 2014-275C, 2014-276C, 2014-277C et 2014-278C du 9 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé auprès de la société X à des missions de contrôle sur place les 21 et 22 octobre 2014, ainsi qu’à des constatations en ligne le 29 mai 2015. La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier ceux relatifs à la gestion et à l’exploitation des sites internet VV, WW, YY et ZZ et des applications correspondantes. 
La délégation a été informée sur place que la base de données de la société est divisée en 4 sections ( sexy , love , gay et matchmaking ). Alors que les membres du site ZZ sont tous regroupés dans la section matchmaking , les membres des autres sites de la société sont répartis entre les trois autres sections. Ainsi, la personne qui s’est inscrite sur un de ces sites pourra être mise en relation avec un membre d’un autre site appartenant à la même section.
La délégation a également été informée sur place que la société met en œuvre un traitement lui permettant de détecter les fraudeurs et d’exclure ces derniers de ses sites internet. La société peut aussi exclure des membres qui ne respectent pas les conditions générales du site internet.
En outre, la délégation a constaté sur place que la société ne recueille pas le consentement des utilisateurs à la collecte des données relatives à leur vie sexuelle, à leur origine ethnique et à leur orientation religieuse.
Par ailleurs, il a été constaté sur place qu’aucune information relative aux traitements de données personnelles mis en place par la société n’est présente sur le formulaire d’inscription aux sites internet ni sur les pages permettant aux utilisateurs de compléter leur profil.
La délégation a également constaté sur place que la société conserve en archives les données des profils des membres ayant demandé leur désinscription, ainsi que des profils supprimés des sites internet en raison d’une inactivité prolongée ou d’une action de modération.
De même, elle a constaté en ligne le dépôt de cookies soumis au consentement dès l’arrivée sur la page d’accueil de certains sites internet de la société. Elle a également constaté en ligne que les données enregistrées dans certains cookies sont conservées pendant des durées pouvant aller jusqu’à 2 ans.
(…)
En outre, il a été constaté sur place que les contrats conclus entre la société et ses prestataires de service ne précisent pas toujours les obligations de ces derniers en matière de sécurité et de confidentialité des données.
Enfin, la délégation a été informée sur place que la société n’est pas en mesure de donner droit aux éventuelles demandes de droit d’accès des membres.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement 
La délégation a été informée sur place que la société met en œuvre un traitement lui permettant de détecter les spammeurs et les fraudeurs. Pour ce faire, elle a recours à l’outil proposé par la société (…), qui attribue une note de score à chaque internaute en fonction de son comportement et des alertes remontées par les différents clients de la société (…). Lorsque cet outil identifie de potentiels fraudeurs, la société X reçoit des alertes.
En outre, la délégation a été informée sur place que la société utilise l’outil (…) pour constituer une liste d’exclusion des membres fraudeurs. Elle a également été informée que la société procède à l’exclusion des membres qui disposent de plusieurs comptes au sein d’une même section de la base de données de la société.
Par ailleurs, la délégation a été informée sur place que la société peut adresser un avertissement aux membres qui ne respectent pas les conditions générales d’utilisation (CGU) des sites internet. La société procède à l’exclusion des membres ayant commis des manquements graves aux CGU ou ayant reçu plus de deux avertissements.
Il apparaît que ces traitements sont susceptibles d’exclure des personnes du bénéfice d’un contrat ou d’une prestation. Ils relèvent donc du régime de l’autorisation en matière de formalités préalables auprès de la CNIL.
Or, la société n’a procédé à aucune demande d’autorisation concernant de tels traitements. Dans un courrier reçu le 14 janvier 2015, la société a indiqué avoir procédé à la régularisation des formalités préalables permettant d’encadrer ses traitements. La société a en effet déposé une demande d’autorisation pour un traitement relatif à la gestion des fichiers clients et mise en relation des membres inscrits sur le site internet VV . Outre le fait que cette demande d’autorisation ne couvrait qu’un seul de ses sites, elle ne mentionnait pas la mise en place des traitements décrits ci-dessus. La Commission a donc procédé à sa requalification en déclaration normale.