AgentPublic/cnil huggingface dataset:
La conservation et le traitement des données de géolocalisation issues des offres d’enchère en temps réel à des fins de profilage apparaissent être visés par la seconde finalité de la liste de l’IAB, laquelle est définie comme la collecte et le traitement d'informations relatives à l’utilisation du service par l’utilisateur afin de personnaliser ultérieurement la publicité et/ou le contenu pour lui dans d'autres contextes, tels que sur d'autres sites web ou applications, sur un temps long. Généralement, le contenu du site ou de l'application est utilisé pour faire des déductions sur les intérêts de l’utilisateur qui éclairent le choix futur de la publicité et/ou du contenu .
Le traitement de ces données en vue de la réponse immédiate à une offre d’enchère apparaît correspondre à la troisième finalité définie par l’IAB, définie comme la collecte d'informations, et leur combinaison avec des informations précédemment collectées, pour sélectionner et diffuser des publicités pour l’utilisateur et pour mesurer la diffusion et l'efficacité de ces publicités. Cela comprend l'utilisation d'informations collectées précédemment sur les centres d'intérêt de l’utilisateur pour sélectionner des annonces, le traitement des données sur les annonces qui ont été diffusées, leur fréquence, quand et où elles ont été diffusées, et si l’utilisateur a pris des mesures liées à l'annonce, comme cliquer sur une annonce ou faire un achat. Ceci n'inclut pas la Personnalisation .
Afin de garantir le caractère spécifique et informé du consentement recueilli au bénéfice des partenaires, il appartient à la société dont émane l’offre d’enchère et qui collecte les données de mettre à disposition des mobinautes une information sur les destinataires de ces données. Cette information doit prendre la forme d’une communication directement à la collecte des données éventuellement par le biais d’un lien hypertexte renvoyant à cette liste.
Or, des enchères en temps réel sont communiquées, par les applications concernées, à plusieurs séries d’intermédiaire avant d’être prises en charge et traitées par les sociétés concernées (telles que X) sans que les personnes dont les données sont traitées n’en soient informées, et sans qu’elles aient donné leur consentement à un tel traitement.
En effet, l’analyse des pièces issues du contrôle réalisé au sein des locaux de la société X montre notamment que celle-ci a reçu et conservé les données issues de 144 offres d’enchère en temps réel issues de l’application […]. Les vérifications conduites à cette occasion sur l’application […] démontrent que les mobinautes ne sont pas valablement informés, et n’ont pas valablement consenti à la collecte et au traitement de leurs données à caractère personnel à des fins publicitaires.
La société a indiqué dernièrement, dans les pièces communiquées à la Commission le 26 octobre 2018, que dans des avenants aux contrats signés par […] (le 10 août 2018) et […], il est stipulé que les SSP sont dans l’obligation d’une part, d’obtenir le consentement des utilisateurs pour les finalités des traitements réalisés par X et, d’autre part, de fournir la chaîne de consentement à X pour chaque utilisateur par finalité .
Sur ce point, conformément aux dispositions de l’article 7 du RGPD, dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant .
L’obligation imposée par l’article 7 précité ne saurait être remplie par la seule présence d’une clause contractuelle garantissant un consentement initial valablement collecté. La société X doit être en mesure de démontrer, pour la totalité des données qu’elle traite aujourd'hui, la validité du consentement exprimé.
Force est de constater que la société X n’est aujourd'hui pas en mesure de démontrer que les données collectées par le biais des offres d’enchères en temps réel font, actuellement, systématiquement l’objet d’un consentement informé, libre, spécifique et activement manifesté.
Pour cette raison, le défaut de caractère éclairé du consentement prive de la base légale du consentement les traitements effectués par la société X dans le cadre des enchères en temps réel qu’elle reçoit.
Les faits précités sont donc constitutifs d’un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
En conséquence, la société X, sise[…] est mise en demeure sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier recueillir, de manière effective, le consentement préalable, dans des conditions conformes aux dispositions des articles 6 et 7 du RGPD, des utilisateurs des applications éditées par les partenaires de la société X comme celles des utilisateurs des applications dont proviennent des offres d’enchère en temps réel, au traitement de leurs données par cette dernière ;
procéder à la purge des données obtenues sans consentement informé, spécifique et activement manifesté ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
[1] Personne qui navigue sur Internet à partir d’un appareil mobile.
[2] Kit de développement logiciel.
[3] Hashage avec l’algorithme SHA256 et adjonction d’un sel.
[4] Une " finalité " est une utilisation de données qui conduit à un modèle d'affaires spécifique et produit des résultats spécifiques pour les utilisateurs et les entreprises. Les finalités doivent être détaillées au point de collecte, soit individuellement, soit en combinaison. Traduction libre, IAB Europe Transparency & Consent Framework Policies, appendix A.
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 8 novembre 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Siégeait, outre la présidente de la Commission, Mme Marie-France MAZARS, Vice-présidente déléguée;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2018-042 du 30 octobre 2018 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 30 octobre 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi, notamment celui relatif à l’obligation de recueillir le consentement des personnes au traitement de leurs données de géolocalisation à des fins de profilage et ciblage publicitaire.
En application de l’article 45-II dernier alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 8 novembre 2018.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par les caractéristiques des manquements.
La société X s’appuie sur une technologie dénommée SDK afin de collecter des données à caractère personnel via les smartphones et d’effectuer des campagnes publicitaires mobiles auprès des personnes. Elle reçoit également des offres d’enchères en temps réel pour de l’espace publicitaire provenant d’applications tierces, avec lesquelles elle n’a aucun lien commercial.
À l’occasion de ses investigations, la CNIL a notamment constaté que la société collecte des données de géolocalisation à travers son SDK. La société conserve également, en vue de traitements ultérieurs, des données de géolocalisation contenues dans les enchères publicitaires qu’elle reçoit d’applications ayant ou non installé son SDK. Dans ces deux cas le consentement des personnes n’est pas valablement recueilli.
De tels traitements constituent un risque particulier au regard de la vie privée en ce qu’ils sont révélateurs des déplacements des personnes et de leurs habitudes de vie.
Le bureau souligne que la publicité se justifie également par le nombre massif de personnes susceptibles d’être impactées par le traitement mis en œuvre par la société X compte tenu du fait qu’une partie importante de la population est en possession d’un smartphone.
En effet, le SDK est intégré à une vingtaine d’applications mobiles et permet la collecte des données de géolocalisation des personnes environ toutes les cinq minutes. A cet égard, la délégation a constaté que 5 150 201 identifiants publicitaires avaient été collectées directement par la société.
En outre, le système d’enchère d’espace publicitaire a permis à la société de recueillir plus de 42 934 160 identifiants publicitaires et les données de géolocalisation correspondantes à partir de plus de 32 708 applications.
Le bureau estime par ailleurs que la publicité de la mise en demeure se fonde sur la nécessité de mettre les personnes concernées en mesure de garder le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la collecte des données, notamment de géolocalisation, et la finalité du traitement mis en œuvre par la société X. La technicité de ces système, et notamment les enchères publicitaires, rend ces traitements largement inconnus du grand public.
Enfin, le bureau souhaite sensibiliser les professionnels du secteur sur cette difficulté alors que la collecte de données à caractère personnel à des fins de profilage et de ciblage publicitaire, notamment à partir des lieux fréquentés par les personnes, connaît une forte croissance. Le bureau note, en effet, que l’utilisation du SDK s’inscrit dans un écosystème faisant intervenir plusieurs acteurs, à savoir les éditeurs d’applications mobiles et les clients annonceurs, qu’il est essentiel d’alerter sur les enjeux de la protection des données.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2018-042 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication.
La Président
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Eve JULLIEN, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 modifiée et à l' article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Audrey BACQUIE, assistante au service des sanctions à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Franck BAUDOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
M. Florent BAZONNET, assistant juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Nacéra BEKHAT, juriste au service de la santé à la direction de la conformité ;
Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Khadija BELGHITI-ALAOUI, assistante à la direction de la protection des droits et des sanctions ;
Mme Justine BERTAUD DU CHAZAUD, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
M. Maxime BLANCHOT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Solenn BRUNET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas CHRISTINE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Virginie CLAUDE-LOONIS, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Olivier COUTOR, chargé d'études à la direction des relations avec les publics et la recherche ;
Mme Valentyne CROSNIER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Thomas DAUTIEU, directeur adjoint de la conformité ;
M. Philippe DECLAIRIEUX, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Isabelle DELERUE, assistante à la direction de la protection des droits et des sanctions ;
M. Eric DELISLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Xavier DELPORTE, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Corentin DUPOUEY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marie FERTE, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
M. Emile GABRIE, conseiller auprès de la Présidente et du secrétaire général ;
Mme Marion de GASQUET, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Lorena GONZALEZ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
M. Basile GULEY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Estelle HARY, designer au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
M. Armand HESLOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sonia HUDELA, assistante à la direction de la protection des droits et des sanctions ;
Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Julien JEDRZEJCZAK, assistant juridique à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Névine LAHLOU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice de LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Gwendal LE GRAND, directeur des technologies et de l'innovation ;
M. Pierre LEPHAY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jean LESSI, secrétaire général ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des affaires économiques à la direction de la conformité ;
M. Jérôme de MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice de la conformité ;
M. Bao-Khanh NGUYEN TRUNG, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;