AgentPublic/cnil huggingface dataset:
Par ailleurs, comme cela a été précisé, la société dépose également les cookies first party publicitaires ANON et MUID.
Par conséquent, le paramétrage du navigateur ne peut, en l’espèce, être considéré comme un mécanisme valable d’opposition au dépôt de cookies.
Au regard de ce qui précède, il apparaît que la société X n’a pas informé de manière satisfaisante les personnes concernées et n’a pas mis en œuvre de mécanisme valable d’opposition.
L’ensemble de ces faits constituent un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet à information et accord préalables de la personne concernée l’inscription d’informations sur son équipement terminal de communications électroniques et l’accès à celles-ci.
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation d’assurer la sécurité des données 
La délégation a constaté qu’il est proposé aux utilisateurs de […] de créer un code PIN lié à leur machine et présenté lors de l’installation comme plus sécurisé qu’un long mot de passe .
La délégation a constaté que ce code PIN peut être constitué de 4 chiffres identiques tels que 0000 . Elle a par ailleurs constaté qu’après vingt tentatives infructueuses de connexion, l’authentification n’est pas suspendue dans la durée. Seule la saisie d’une phrase de vérification toutes les quatre tentatives et le redémarrage de la machine toutes les cinq tentatives sont imposés.
Ce mot de passe de faible robustesse non doublé d’un mécanisme permettant de limiter le nombre de tentatives infructueuses d’authentification ne permet pas d’assurer la sécurité et la confidentialité des données accessibles par ce code depuis l’ordinateur de l’utilisateur.
Or, la délégation a constaté que la saisie de ce code PIN à l’ouverture de la session entraîne une authentification automatique de l’utilisateur à tous les services en ligne de […], et notamment à sa boîte de messagerie ainsi qu’à son compte […] qui recense les achats effectués sur le store ainsi que les moyens de paiement et appareils utilisés.
De surcroît, il a été constaté que cette authentification reste active même dans l’hypothèse où l’utilisateur se déconnecte du service en ligne utilisé et ferme son navigateur […]. La réouverture de ce dernier entraîne, en effet, une nouvelle authentification de l’utilisateur sur tous les services en ligne.
Ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est notamment puni d’une peine d’amende pouvant atteindre 1.500.000 €.
 
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre des traitements de lutte contre la fraude et d’exclusion
La délégation a été informée de la mise en place d’un traitement de lutte contre la fraude par la société. En effet, la Déclaration de confidentialité de X prévoit que Nous utilisons les données pour assurer la sécurité de nos services et de nos clients, détecter et empêcher les fraudes, confirmer la validité des licences des logiciels, résoudre les litiges et mettre en application nos accords. Nos fonctionnalités et services de sécurité peuvent empêcher le fonctionnement de logiciels malveillants et informer les utilisateurs de la détection d'un logiciel malveillant sur leur appareil. Nos communications et nos services de synchronisation des fichiers parcourent systématiquement le contenu de manière automatisée pour identifier les risques de spam, virus, actions abusives, ou les URL qui ont été signalées comme frauduleuses, l'hameçonnage ou les liens malveillants. Nous sommes susceptibles de bloquer une communication ou de supprimer un contenu s'ils enfreignent nos conditions générales .
En outre, dans sa réponse reçue le 30 mai 2016, la société précise qu’elle se réserve le droit d’interdire à des utilisateurs qui se livrent à des actes de fraude d’utiliser [ses] services même si aucun des traitements visés (…) n’a conduit à l’exclusion d’un utilisateur ou à une interdiction d’utiliser […] en France .
Or, la délégation a constaté que la société n’a effectué aucune demande d’autorisation pour encadrer la mise en œuvre de ces traitements.
Ces faits constituent un manquement aux dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire .
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement relatif à l’obligation de disposer d’une base légale pour transférer des données à caractère personnel hors de l’Union Européenne
La Déclaration de confidentialité de la société prévoit que les données recueillies par X peuvent être stockées et traitées (…) aux Etats-Unis . A cet égard, il est ensuite précisé que X se conforme également aux principes du Safe Harbor (sphère de sécurité ) régissant les interactions entre les Etats-Unis et l’Union européenne .
Or, dans sa décision du 6 octobre 2015, la Cour de Justice de l’Union Européenne a invalidé la décision de la Commission européenne n° 2000-520 du 26 juillet 2000 relative à la pertinence de la protection assurée par les principes de la sphère de sécurité (Safe harbor) publiés par le ministère du commerce des Etats-Unis, qui permettait d’encadrer les transferts de données à caractère personnel de l’Union européenne vers les Etats-Unis.
Dans la mesure où cette décision a été invalidée, il n’est désormais plus possible pour la société de procéder à un transfert de données à caractère personnel vers les Etats-Unis sur la base du Safe Harbor.
Ces faits constituent un manquement à l’article 68 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un État n’appartenant pas à la Communauté européenne que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet .
 
 
 
 
En conséquence, la société X, sise […], est mise en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
ne pas traiter de données non pertinentes, excessives ou inadéquates au regard des finalités poursuivies, en particulier en permettant à chaque utilisateur de […], quelle que soit la version utilisée, de paramétrer les données de télémétrie sur le niveau Sécurité ;
procéder à l’information des inscrits, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée :
	
quant aux traitements de données à caractère personnel mis en place, et ce directement sur le formulaire de création d’un compte […] ;
quant à la nature des données transférées hors de l’Union européenne, à la finalité du transfert, aux destinataires des données et au niveau de protection offert par les pays destinataires ;
informer et obtenir l’accord préalable des internautes à l’inscription d’informations sur leur équipement terminal et à l’accès à celles-ci. A cet égard, il appartient à la société :
	
s’agissant de l’identifiant publicitaire, de recueillir le consentement des utilisateurs qui doit se manifester par le biais d’une action positive et d’indiquer aux utilisateurs, au préalable et de manière visible, claire et complète, la finalité de cet identifiant publicitaire et la faculté qu’ils ont de le désactiver à tout moment ;
S’agissant des cookies :
		
d’informer les personnes concernées, au préalable et de manière claire et complète, sur les finalités exhaustives de tous les cookies déposés via ses sites web et soumis au consentement ;
de mettre à la disposition de ces dernières des solutions adéquates leur permettant d’accepter ou de refuser le dépôt des cookies ;
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation pour les traitements de données ayant pour finalité de lutter contre la fraude et susceptibles d’exclure des personnes ;
prendre toutes mesures nécessaires pour garantir la sécurité des données à caractère personnel des utilisateurs :
 par exemple, en mettant en place une temporisation d’authentification au compte […] de l’utilisateur après plusieurs échecs de saisie du code PIN dont la durée augmente exponentiellement dans le temps (cette durée doit permettre au maximum 25 tentatives toutes les 24 heures) ; à défaut, en découplant l’authentification aux services en ligne de l’authentification locale après un nombre défini d’échecs d’authentification ;
en cessant de présenter le code PIN comme un mécanisme plus sécurisé qu’un long mot de passe ;
ne pas procéder à des transferts de données à caractère personnel vers les Etats-Unis sur la base du Safe Harbor ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 12 juillet 2016 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-058 du 30 juin 2016 de la Présidente de la Commission mettant en demeure la société X.
 
 
A adopté la délibération suivante :
Par décision du 30 juin 2016, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 12 juillet 2016.
 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par les nombreux manquements constatés et l’atteinte consécutive aux droits des personnes concernées s’agissant notamment de l’activation par défaut de l’identifiant publicitaire des utilisateurs de […] sans recueil préalable de leur consentement, du caractère excessif des données collectées par la société dans le cadre de la télémétrie ainsi que de l’absence de mesures suffisantes pour assurer la sécurité et la confidentialité des données. La société permet, en effet, aux utilisateurs de se connecter depuis leur machine à l’ensemble de ses services en ligne au moyen d’un code PIN d’un minimum de quatre caractères sans qu’il n’existe de mécanisme de blocage après plusieurs tentatives infructueuses d’authentification.
Le bureau estime également que la mesure de publicité se justifie tant par le statut et la taille de l’organisme en cause, […] dans la commercialisation de systèmes d’exploitation et de logiciels, que par le nombre de personnes concernées par ses traitements (plus de dix millions d’utilisateurs de […] sur le territoire national).
 
Le bureau considère enfin que la publicité de la mise en demeure a vocation, d’une part, à appeler l’attention de l’organisme en cause sur les manquements constatés et lui permettre de se mettre en conformité dans les délais impartis par la mise en demeure, et d’autre part, d’informer les utilisateurs de […] sur leurs droits, et plus particulièrement sur leur possibilité de contrôler les données à caractère personnel qui sont collectées.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2016-058 de la Présidente de la CNIL mettant en demeure la société X.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
La Présidente
 Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-011C du 4 février 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu les procès-verbaux de contrôle n° 2016-011/0 du 11 février 2016, n° 2016-011/1 du 11 février 2016, n° 2016-011/2 et n° 2016-011/3 du 17 mars 2016 et n° 2016-011/4 du 8 août 2016 ;
Vu notamment les plaintes n° 15019270 du 1er juillet 2015, n° 15020279 du 16 juillet 2015, n° 15020764 du 21 juillet 2015, n° 15025278 du 10 septembre 2015, n° 15025582 du 14 septembre 2015, n° 15026460 du 23 septembre 2015, n° 15030814 du 7 novembre 2015, n° 16001379 du 19 janvier 2016 et n° 16005917 du 23 février 2016 ;
I- Constate les faits suivants
La société X (ci-après la société ), sise […], a notamment pour activité la vente de produits sur internet aux particuliers ( B2C ). Elle compte environ 1.500 salariés et a réalisé en 2014 un chiffre d’affaires d’environ 1,6 milliard d’euros.
En application de la décision n° 2016-011C du 4 février 2016 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé, les 11 février et 8 août 2016, à des constatations en ligne sur le site […] (ci-après le site ), ainsi qu’à des missions de contrôle sur place, les 11 février et 17 mars 2016 auprès de la société X, située […], et, le 17 mars 2016, auprès de la société […] (ci-après le prestataire ), […].
La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée.
La délégation a constaté, dans la base de données de la société, la présence de commentaires non pertinents concernant ses clients, ainsi que l’enregistrement d’une conversation téléphonique entre un client et un téléconseiller contenant les coordonnées bancaires de celui-ci.
En outre, la délégation a été informée que la société met en œuvre un traitement de lutte contre la fraude à la carte bancaire qui n’a pas été autorisé par la CNIL. Elle a également constaté que les formulaires en ligne permettant de collecter des données à caractère personnel auprès des personnes concernées ne contiennent pas de mention d’information ou une mention partielle.
De même, la délégation a constaté que des cookies à finalité publicitaire sont déposés sur le terminal des internautes dont certains ont une durée de vie pouvant aller jusqu’à 30 ans. La société lui a également indiqué ne pas connaître la finalité de 3 des cookies ainsi déposés.
Par ailleurs, la délégation a constaté que la société conserve des numéros de cartes bancaires tronqués dont la date de validité a expiré depuis 2011.
En outre, la délégation a été informée que les mots de passe permettant aux internautes de se connecter à leur compte en ligne sont composés d’un nombre minimum de cinq caractères et a constaté que certains de ces mots de passe sont conservés en clair dans la base de données de la société.
De même, la société a précisé qu’en cas de demande de suppression des données, elle modifie certaines des données du compte, mais conserve les demandes des personnes et leurs documents d’identité. La délégation a également été informée qu’un dysfonctionnement est à l’origine de l’envoi de newsletters de la société à une personne qui n’est inscrite à aucune newsletter.
Par ailleurs, la délégation a constaté que le formulaire de création de compte en ligne ne contient pas de moyen permettant aux internautes de consentir à l’envoi de prospection commerciale électronique.
Enfin, la délégation a constaté que lors d’une commande, la page de paiement sécurisé par carte bancaire mentionne Avec le paiement flash, plus besoin de saisir vos données bancaires lors de vos prochaines commandes expédiées à cette adresse. Si vous souhaitez supprimer les informations relatives à vos cartes de paiement, rendez-vous dans la rubrique Espace client / C mon compte dès la validation de votre commande. En savoir plus sur la sécurité et les modes de paiement . La délégation a été informée, par courrier de la société du 9 septembre 2016, que lorsque l’internaute valide le paiement de sa commande, le service paiement flash est activé .
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement
La délégation a été informée que la société recourt à plusieurs dispositifs de lutte contre la fraude à la carte bancaire, et notamment :
A l’issue de ces différentes vérifications, si la suspicion de fraude est avérée, la commande est alors annulée.
Or, il apparaît que les traitements automatisés mis en œuvre par la société X elle-même n’ont pas fait l’objet de formalité préalable auprès de la Commission.
Ces faits constituent un manquement à l’article 25, I, 4° de la loi du 6 janvier 1978 en application duquel les traitements automatisés susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire sont mis en œuvre après autorisation de la CNIL.
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
En premier lieu, la délégation a demandé à la société de procéder à une extraction de l’ensemble des champs commentaires non nuls et non vides présents dans la table client de la base de production de la société.
Elle a constaté la présence de commentaires non pertinents, comme par exemple CLT SUPER CHIANT , CLTE IMBECILE , CLIENT RACISTE , CLT A UNE MALADIE CARDIAQUE , URGENT CLIENT AYANT UN CANCER QUI LUI DONNE DU MAL A PARLER AU TELEPHONE , CLT SOUHAITE RECEVOIR SA COMMANDE CAR SA MERE EST DIABETIQUE ET ELLE N A PAS DE REFRIGERATEUR POUR SON MEDICAMENT , LE CLIENT M INDIQUE QUE SA FEMME SOUFFRE D UNE SCLEROSE EN PLAQUE .
En second lieu, la délégation a été informée que la société a sous-traité la gestion des appels entrants de son activité de vente à distance à son prestataire. La société a précisé que, au cours d’une conversation téléphonique, un module de l’applicatif utilisé permet d’interrompre automatiquement l’enregistrement téléphonique lorsque la personne concernée fournit ses coordonnées bancaires.
Pour autant, sur l’échantillon de trois enregistrements téléphoniques extraits de l’applicatif de la société, la délégation a constaté qu’un enregistrement contient les coordonnées bancaires de la personne concernée (numéro de carte bancaire, date d’expiration et cryptogramme).
Ces faits constituent un manquement aux obligations prévues au 3° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Un manquement à l’obligation de recueillir le consentement des personnes à la conservation de leurs coordonnées bancaires
La délégation a constaté et a été informée que la société conserve par défaut les coordonnées bancaires de ses clients afin de leur éviter de les ressaisir lors d’un achat ultérieur. Ce traitement est dénommé par la société paiement flash .
Aux termes de l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée : un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;