AgentPublic/cnil huggingface dataset:
Cette définition est complétée par le Considérant 26 de la directive, qui prévoit que "les principes de la protection doivent s'appliquer à toute information concernant une personne identifiée ou identifiable; (...) pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne; que les principes de la protection ne s'appliquent pas aux données rendues anonymes d'une manière telle que la personne concernée n'est plus identifiable; (...)". 
- Sur les données SSID et MAC, combinées à des données de localisation
Le rapporteur soutient que les données SSID et MAC, combinées aux données de localisation collectées par les véhicules [...], sont des données à caractère personnel, ce que la société conteste en faisant part de ses doutes sur ce point. 
Pour se prononcer sur cette question de qualification en l'espèce, la formation restreinte a relevé les éléments suivants.
S'il est certain que le champ d'application des règles de protection des données ne doit pas être étendu de manière excessive, il est en revanche admis que la notion de données à caractère personnel est définie de manière extensive tant par la Directive européenne 95/46 susvisée que par la loi du 6 janvier 1978 modifiée. Ainsi, il ressort des travaux préparatoires sur la Directive 95/46 que l'identification d'une personne ne passe pas nécessairement par la connaissance d'éléments d'identité avérés (nom, prénom, etc.) mais peut ressortir d'un faisceau d'autres éléments (métier, nationalité, âge, numéro de téléphone, conditions de travail, etc.). Ce point est expressément relevé dans l'avis 4/2007 rendu par le groupe dit de l'article 29, organe consultatif indépendant de l'Union européenne sur la protection des données et de la vie privée, cité par le rapporteur dans son rapport. 
En ce qui concerne les identifiants SSID, la société indique que ceux-ci ne comporteraient que rarement les noms et/ou prénoms de personnes physiques, qu'à supposer même que cet identifiant révèle l'emploi d'un nom et d'un prénom, il ne serait pas pour autant possible d'identifier une personne précise du fait de possibles homonymies, enfin, qu'il serait difficile d'affirmer que la personne supposément identifiée soit nécessairement celle utilisant le réseau.
La formation restreinte constate, pour sa part, que les identifiant SSID permettent d'identifier les réseaux Wi-Fi se trouvant à portée et de s'y connecter et que ces identifiants comportent fréquemment le nom et/ou le prénom des titulaires du réseau ; de tels éléments permettent alors manifestement d'identifier une personne physique. Ces données doivent alors être considérées comme constituant des données à caractère personnel. 
En ce qui concerne les adresses MAC, la société soutient que celles-ci n'identifieraient qu'un routeur et non pas une personne physique, que plusieurs utilisateurs pourraient utiliser un même routeur pour accéder à internet, et qu'il est envisageable que l'adresse MAC ait été usurpée par un tiers, si bien qu'il est impossible de présupposer de manière définitive qu'un lien stable existe entre une adresse MAC et une personne physique.
La formation restreinte estime à cet égard qu'une adresse MAC, qui n'identifie que le routeur Wi-Fi qui permet aux utilisateurs d'accéder à internet, ne peut être qualifiée, à elle seule, de donnée à caractère personnel. En revanche, une adresse MAC peut être captée par des sites Internet lors de la navigation de l'Internaute, après que ce dernier se soit identifié. Une fois reliée à ces éléments d'identification, elle constitue nécessairement une donnée personnelle. C'est en fonction de tels éléments de contexte qu'il convient de décider si une adresse MAC peut être considérée, ou non, comme une donnée à caractère personnel. 
Sur la question de savoir si ces données, combinées avec des données de localisation, sont susceptibles d'être alors qualifiées de données à caractère personnel, la société soutient qu'une telle combinaison ne permettrait pas davantage d'identifier des personnes physiques, les données de localisation dont dispose alors la société n'étant qu'approximatives. Elle soutient, au demeurant, que le rapport d'expertise de la CNIL lui-même n'identifierait aucune personne physique à partir de la combinaison des données SSID, MAC et des données de localisation - l'emplacement précis d'un routeur Wi-Fi ne pouvant en outre être déterminé avec certitude que dans des zones très peu peuplées.
Elle rappelle également que seuls les moyens susceptibles d'être raisonnablement mis en œuvre par le responsable de traitement doivent être pris en compte pour considérer une personne physique comme identifiable, conformément au considérant 26 de la directive 95/46/CE, précité. Or il serait extrêmement difficile, selon elle, de localiser l'emplacement précis d'un routeur, et par conséquent de mettre en œuvre des moyens raisonnables pour procéder à l'identification de son titulaire. 
Sur ce point, la formation restreinte relève qu'en l'espèce, les véhicules [...] ont enregistré leurs propres coordonnées GPS, en même temps que les adresses MAC de points d'accès Wi-Fi, dans le but de collecter des données de localisation permettant, in fine, de déterminer la position géographique des utilisateurs du service [...] (ainsi que, incidemment, des autres services de géolocalisation offerts par la société X faisant appel à la base de données de localisation [...]). La possibilité de localisation d'une personne physique identifiée constitue donc, par essence, la finalité du service concerné.
La formation restreinte estime, dès lors, que dans la mesure où ces données permettent de déterminer l'emplacement des utilisateurs du service, elles révèlent avec une particulière acuité le comportement de ces derniers, au sens de la Directive et des travaux du G29. La finalité de la collecte des adresses MAC, combinées aux autres informations collectées, conduit la formation restreinte à considérer que ces données, combinées entre elles, constituent des données à caractère personnel. 
Cette analyse est confortée par le fait qu'il ressort du rapport, non-contesté sur ce point à l'audience, que les bases de données de localisation comme la base [...] permettent non seulement aux internautes de rechercher une personne à partir de son nom ou de son adresse, mais aussi d'effectuer une recherche à partir de l'adresse MAC d'un routeur Wi-Fi. La saisie de l'adresse MAC permet alors d'obtenir l'emplacement géographique du point d'accès Wi-Fi concerné. 
S'il est exact que ce procédé ne permet pas, dans tous les cas, de déterminer avec exactitude l'emplacement du point d'accès recherché, en particulier dans des zones densément peuplées, il est néanmoins possible dans cette hypothèse de se déplacer sur les lieux désignés par le service de localisation, puis de rechercher l'emplacement précis du point d'accès, à partir des variations de puissance d'émission du routeur Wi-Fi recherché. Sur ce point, la formation restreinte rejoint donc l'analyse du rapporteur.
Elle ne souscrit donc pas à l'argument de la société, selon laquelle la localisation d'une maison par la collecte des adresses MAC serait extrêmement difficile, cette collecte ayant précisément pour finalité de constituer une base de données de localisation constituant une cartographie du territoire, afin de pouvoir fournir un service de géolocalisation aux utilisateurs du service [...]. 
Elle estime donc, en l'espèce, que la collecte conjointe d'identifiants SSID et d'adresses MAC, en association avec des données de géolocalisation, est de nature à qualifier l'opération de collecte initiée par la société dans cette affaire de traitement de données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée. 
- Sur les données de contenu
Le rapporteur soutient par ailleurs que les données de contenu ("payload data") collectées par la société via les véhicules [...] sont des données à caractère personnel.
La société soutient, à l'inverse, que ces données de contenu ne sont pas des données personnelles. Pour ce faire, elle argue de ce que les données de contenu ont été enregistrées en format binaire, illisible par l'homme, ne permettant donc pas d'identifier des personnes physiques. Elle indique, au surplus, qu'elle n'a opéré leur conversion en format lisible qu'à la demande de la CNIL, qu'aucune personne physique n'a pu être formellement identifiée au terme de l'analyse de ces données par la CNIL, et que les données étaient pour l'essentiel parcellaires. 
Sur ce point, la formation restreinte relève les éléments suivants : 
En premier lieu, elle ne saurait admettre que l'enregistrement de données dans un format non lisible par l'homme aurait une incidence sur leur qualification de donnée à caractère personnel : à défaut, il suffirait de procéder au chiffrement de données initialement lisibles pour échapper aux dispositions de la loi informatique et libertés.
En outre, la formation restreinte observe que, de l'aveu d'un dirigeant de la société dans le communiqué précité du 22 octobre 2010, et comme l'a relevé le rapporteur tant dans ses écritures que lors de l'audience, la société a reconnu avoir enregistré des courriels entiers, des adresses web et des mots de passe au moyen de ses [...], au point d'admettre qu'elle avait gravement failli ("we failed badly") et qu'elle était mortifiée de cette affaire ("we are mortified by what happened"). Elle ne saurait donc, dans un tel contexte, rejoindre la société selon laquelle seules des informations fragmentaires, échappant de ce fait à la qualification de données à caractère personnel, auraient été recueillies. 
Bien au contraire, elle constate que les services de la CNIL ont relevé, dans les données fournies par la société, des sites web consultés, des adresses électroniques, leur localisation géographique, des identifiants et des mots de passe de comptes personnels, ainsi que le contenu de courriers électroniques. Ces données constituent incontestablement des données à caractère personnel, au sens de la loi du 6 janvier 1978 modifiée, sans qu'il soit nécessaire de déterminer les noms et prénoms des personnes concernées pour retenir cette qualification.
Dans ces conditions, elle considère donc que les adresses MAC et les identifiants SSID, combinés aux données de localisation collectées par la société, et a fortiori les données de contenu, doivent être considérés comme des données à caractère personnel, soumises, à ce titre, à la protection de la loi informatique et libertés. 
5. Sur le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre des traitements
Tout responsable de traitement a l'obligation d'accomplir des formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données personnelles, conformément aux dispositions du chapitre IV de la loi du 6 janvier 1978. 
Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société un manquement à l'obligation d'accomplir les formalités préalables, au motif :
- que le traitement [...] n'avait pas fait l'objet de formalités préalables à sa mise en œuvre auprès de la CNIL ;
- que, dans le cadre des formalités effectuées auprès de la CNIL concernant le dispositif [...] (déclaration n° 1303459), la société n'avait pas déclaré la collecte des identifiants SSID et des adresses MAC des routeurs Wi-Fi ainsi que des données de connexion issues de bornes Wi-Fi.
Le bureau de la Commission avait donc enjoint la société de procéder aux formalités déclaratives requises pour le traitement [...], et, en ce qui concerne le service [...], de cesser toute collecte des identifiants SSID et des adresses MAC des routeurs Wi-Fi, ainsi que des données de connexion issues de bornes Wi-Fi, cette collecte n'ayant pas été régulièrement déclarée. 
La formation restreinte constate, en premier lieu, que la déclaration relative au service [...] a été modifiée pour prendre en compte la demande de la CNIL, bien que sous toutes réserves. Elle estime donc qu'il a été satisfait aux exigences de la mise en demeure sur ce point, bien qu'indirectement. 
Elle constate, en revanche, que la société n'a toujours pas procédé aux formalités prévues au Chapitre IV de la loi du 6 janvier 1978 précitée pour le traitement [...]. 
La société se défend sur ce point en estimant que la société X, établie aux Etats-Unis, n'a recours à aucun moyen de traitement sur le territoire français pour y mettre en œuvre le traitement [...] dont elle est responsable. La mise en œuvre de ce traitement ne serait dès lors pas soumise à la loi française, dès lors que les dispositions de la loi informatique et libertés ne sont applicables, en ce qui concerne les traitements de données réalisés par un responsable non-établi sur le territoire français, que dans la mesure où celui-ci recourt à des moyens de traitement situés sur le territoire français (article 5-I-2°).
En admettant même que la société puisse ne pas être considérée comme établie sur le territoire français, ce qui lui semble pourtant discutable en raison de l'établissement d'une entité juridique distincte à Paris (la SARL Y), la formation restreinte ne souscrit pas à l'interprétation restrictive de la notion de moyen de traitement que défend la société pour se soustraire à l'application de la loi informatique et libertés. 
Cette notion ne saurait en effet être réduite la seule utilisation d'équipement ou de matériel propriétaire, comme l'entend la société. 
S'il est exact que la version en langue anglaise de l'article 4 de la Directive 95/46, précitée, que transpose l'article 5 de la loi informatique et libertés en droit français, est rédigée de manière restrictive par rapport aux autres versions linguistiques du texte faisant foi, il est toutefois établi que la notion d' équipement ( equipment ) employée dans la version anglaise doit faire l'objet d'une interprétation large, correspondant à celle de moyens de traitement employée tant dans la version française du texte que dans ses autres versions linguistiques, dans lesquelles figure son équivalent littéral. 
La formation restreinte doit donc déterminer si des moyens de traitement sont mis en œuvre sur le territoire français dans le cadre du service [...].
Sur ce point, elle constate en premier lieu qu'il ressort des écrits de la société, confirmés sur ce point à l'audience, que les services [...], accessibles tous deux par le biais de [...], et plus généralement l'ensemble des services de géolocalisation offerts par la société, reposent sur une base de données commune (la base [...], précitée). Or il est acquis que les véhicules [...], dont la société reconnaît qu'ils constituent des moyens de traitement au sens de la loi, ont été utilisés en première intention pour constituer la partie de cette base de données concernant la France, en utilisant GPS et signaux radio. La mise en œuvre des services de géolocalisation offerts par la société en France repose donc sur une base de données principalement constituée par des moyens de traitement situés en France. 
La formation restreinte constate, de surcroît, que le service [...] ne peut fonctionner sans faire appel à des capacités de traitement spécifiques au terminal et connues uniquement de celui-ci, notamment la puce GPS quand elle est présente, à défaut l'antenne GSM ou, comme en l'espèce, le point d'accès Wi-Fi. Une fois ces données collectées par le terminal, sur lequel il a été préalablement nécessaire d'installer l'application de la société, ces données sont envoyées aux serveurs de la société (en l'occurrence la base [...], localisée aux Etats-Unis) pour renvoyer à l'utilisateur la carte correspondant à sa localisation, en France.
Il découle donc de ce qui précède que la mise en œuvre du service [...] repose, à tout le moins partiellement, sur le recours à des moyens de traitement déployés sur le territoire français, c'est-à-dire tant les véhicules [...] que les terminaux des utilisateurs, utilisés à des fins de géolocalisation. 
C'est pourquoi la formation restreinte considère, contrairement à ce que soutient la société, que celle-ci met en œuvre des moyens de traitement situés sur le territoire national, et que la loi française est applicable aux traitements réalisés dans le cadre de la mise en œuvre du service [...] en France. 
La formation restreinte estime, enfin, que la société ne saurait indiquer que la CNIL n'aurait jamais considéré le défaut de déclaration du service [...] comme un manquement avant le prononcé de la mise en demeure du 26 mai 2010, alors que deux courriers émanant du président de la CNIL, en date des 14 mai 2009 et 20 avril 2010, versés aux débats, rappelaient l'applicabilité de la loi à ce service et invitaient la société à déclarer [...]. 
Dans ces conditions, elle constate que la société n'a pas satisfait à l'obligation de déclaration de ce traitement au jour de l'audience. Elle constate donc que la société n'a pas satisfait à la demande faite en ce sens dans la mise en demeure. 
6. Sur le manquement au respect de la vie privée et des libertés individuelles
L'article 1er de la loi du 6 janvier 1978 modifiée dispose que "l'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques". 
Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société un manquement au respect de la vie privée et des libertés individuelles, lié à la collecte, l'enregistrement et la conservation par la société X de données issues de bornes Wi-Fi, susceptibles de contenir des informations sur les sites internet consultés par les personnes concernées, sur le contenu de messages échangés ainsi que les identifiants et mots de passe permettant de se connecter à certains sites. 
Le bureau de la Commission a par conséquent enjoint à la société de cesser toute collecte de données à l'insu des personnes concernées dans le cadre du traitement [...], s'agissant en particulier des identifiants de réseaux Wi-Fi (SSID), des adresses MAC de routeurs Wi-Fi et des données de connexion issues de bornes Wi-Fi.
Dans sa réponse à la mise en demeure, la société a confirmé avoir arrêté toute collecte de données Wi-Fi au moyen de voitures [...], comme cela a été publiquement annoncé dans son blog officiel du 14 mai 2010. Elle soutient dès lors que ce manquement avait cessé au jour de l'audience, avant même le prononcé de la mise en demeure. 
La formation restreinte estime, sur ce point, que l'engagement pris par une société par voie de communiqué ne saurait interdire à la CNIL de veiller au respect de la loi, y compris de manière contraignante, par l'adoption d'une mise en demeure. Celle-ci se justifiait d'autant plus que les faits reprochés à la société avaient un retentissement international à cette époque, et que la société avait attesté de leur gravité dans ses propres déclarations. 
Sur le fond, la formation restreinte ne saurait davantage retenir l'argument selon lequel les personnes concernées n'auraient subi aucune atteinte à leurs droits et libertés en l'absence de toute réutilisation de ces données, et que ce manquement ne serait dès lors pas avéré.
Bien au contraire, elle estime que cette violation est qualifiée dès lors qu'une quantité considérable de données a été captée à l'insu des personnes sur une grande partie du territoire national, et que ces données sont, par essence, de nature extrêmement personnelle (identifiants, mots de passe, données de connexion permettant d'identifier les sites consultés, échanges de courriels). Elle relève en particulier que les données collectées révèlent, pour certaines d'entre elles, l'orientation sexuelle des personnes ou leur état de santé, c'est-à-dire des données sensibles au sens de la loi informatique et libertés. 
La formation restreinte considère par conséquent que la collecte litigieuse a été opérée en contradiction avec l'article 1er de la loi du 6 janvier 1978 modifiée, et que des atteintes à la vie privée, au secret des correspondances et à la liberté d'expression ont été commises. 
Cependant, elle estime que l'engagement pris par la société de cesser la collecte, l'enregistrement et la conservation de données issues de bornes Wi-Fi est effectivement de nature à avoir fait cesser cette violation.
En outre, bien que l'intégralité du code source du logiciel mis en cause, qui seul permettrait formellement à la CNIL de s'assurer de la cessation du manquement reproché, n'ait pas été fourni à la Commission, la formation restreinte constate que les services de la Commission ont pu établir que la cessation de cette collecte était effective lors des missions de contrôle diligentées auprès de la société. 
Elle estime, de ce fait, que ce chef de manquement ne saurait être retenu pour fonder une sanction à l'encontre de la société. 
7. Sur le manquement à l'obligation d'effectuer une collecte licite et loyale des données
Aux termes du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel doivent être collectées et traitées de manière loyale et licite". 
Aux termes de la mise en demeure n° 2010-216 du 26 mai 2010, il était reproché à la société un manquement à l'obligation d'effectuer une collecte loyale et licite des données, lié à la collecte des identifiants des réseaux Wi-Fi (SSID), des adresses MAC des routeurs Wi-Fi ainsi que des données de connexion issues de bornes Wi-Fi, [...] effectuée à l'insu des personnes concernées . Le bureau de la Commission a par conséquent enjoint à la société de veiller à ne plus collecter de données à caractère personnel de manière déloyale ou illicite dans le cadre du traitement [...].
Dans sa réponse à la mise en demeure, la société indique que bien qu'il ne soit pas établi que X ait collecté des données personnelles de manière déloyale ou illégale dans le cadre du service [...] ou de la collecte de données Wi-Fi, [elle confirme] que X a arrêté de collecter toutes données Wi-Fi au moyen de [...] et souhaite continuer à collaborer avec les autorités dans ce dossier . La société rappelle en outre avoir pris l'engagement de cesser toute collecte de données Wi-Fi par le biais de ses [...]. 
Le rapporteur devant la formation restreinte maintient que la collecte des données Wi-Fi réalisées par les [...], dont des données de contenu, a été opérée de manière déloyale, puisqu'à l'insu des utilisateurs concernés, ceux-ci n'ayant a fortiori pas été informés de leurs droits. 
Si la société a indiqué ne plus procéder à la collecte de ces données par le biais des [...] à la suite de la mise en demeure, le rapporteur a relevé qu'elle n'a pas pour autant renoncé à utiliser les données ainsi collectées aux fins de fournir ses services de géolocalisation. Attesterait de ce fait la modification de la déclaration effectuée auprès de la CNIL, relative au service [...], qui comprend l'ajout aux données collectées des identifiants des réseaux Wi-Fi ainsi que des adresses MAC des routeurs Wi-Fi.