AgentPublic/cnil huggingface dataset:
procéder à une demande de modification de la décision rendue par la Commission pour l’encadrement du transfert de données vers le Maroc ; ou, à défaut, respecter la décision rendue par la Commission ;
recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - en l’espèce des données relatives aux origines ethniques ou raciales et à la vie sexuelle des personnes - par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte ;
prendre les mesures nécessaires pour éviter que des commentaires excessifs ne soient enregistrés dans les bases de données de la société, et en particulier attirer l’attention des salariés sur la nécessité de n’enregistrer que des données adéquates et pertinentes ;
procéder à l’information des utilisateurs du site internet, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, quant aux traitements de données à caractère personnel mis en place, et ce directement sur le formulaire d’inscription et sur les pages permettant de compléter leur profil ;
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment :
respecter la durée de conservation des données à caractère personnel telle qu’indiquée dans la déclaration préalable du traitement de gestion des membres du site internet et dans le registre du CIL de la société ; à défaut procéder à la modification du registre et justifier de la durée de conservation choisie ;
procéder à la purge des données des comptes ayant fait l’objet d’une demande de suppression, des comptes suspendus et des comptes inactifs depuis un certain délai, 2 ans par exemple (comptes désactivés volontairement par les utilisateurs ou automatiquement par la société) ; ou procéder à leur archivage intermédiaire, et ce pendant la durée nécessaire aux finalités pour lesquelles elles sont collectées et après avoir opéré un tri des données pertinentes à archiver ;
en matière de données relatives aux coordonnées bancaires, procéder à la purge des données au-delà de la dernière échéance de paiement de l’abonnement, le cas échéant sous réserves des dispositions de l’article L. 121-20-12 du code de la consommation et de l’article L. 133-24 du code monétaire et financier uniquement pour le versement en archives intermédiaires (cryptogramme visuel excepté) ;
en matière de cookies, ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée ;
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies). A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties légales :d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet :
les finalités des cookies déposés ;
que la personne concernée à la possibilité de changer les paramètres des cookies en cliquant sur un lien présent dans le bandeau ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ;
prendre toute mesure de sécurité, pour l’ensemble des traitements de données à caractère personnel qu’elle met en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès (…)
prévoir au sein de tous les contrats liant la société avec ses prestataires de services, en particulier les sociétés (…) et (…), des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société, et précisant que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-060 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ; 
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès à la collecte et au traitement de leurs données sensibles (données relatives à leurs origines ethniques ou raciales et à leurs opinions religieuses).
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données relatives aux utilisateurs, la conduisant en pratique à conserver sans limitation de durée les données des comptes inactifs.
La mesure de publicité se fonde également sur le statut de l’organisme en cause qui se présente comme le n°1 de la rencontre destinée à la communauté maghrébine et aux amoureux du Maghreb. Aussi, compte tenu du grand nombre d’utilisateurs, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement.
En conséquence, le bureau de la Commission décide de rendre publique la décision n° 2015-060 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2014-301C du 24 octobre 2014 de la présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification relative à tout traitement mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet […] et des applications correspondantes ;
Vu le procès-verbal de contrôle sur place n° 2014-301/1 du 7 novembre 2014 et le procès-verbal de constatations en ligne n° 2015-301/2 du 5 mai 2015.
I- Constate les faits suivants
La société X (ci-après la société ), sise […], a pour activité principale la mise en ligne et la gestion du site de rencontre […]. Elle emploie 3 personnes et a dégagé un chiffre d’affaires de (…).
En application de la décision n° 2014-301C du 24 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle au sein des bureaux de la société le 7 novembre 2014, ainsi qu’à des constatations en ligne le 5 mai 2015. La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier ceux relatifs à la gestion et à l’exploitation du site internet […] et des applications correspondantes. 
Le 4 mars 2008, la société a déclaré auprès de la CNIL un traitement ayant pour finalité Site de rencontre sur Internet (déclaration n°1280693).
La délégation a été informée sur place que la société a été créée en 2008 afin d’éditer le site de rencontre […] destinée à la communauté maghrébine et aux amoureux du Maghreb .
Afin de devenir membre, l’utilisateur complète un formulaire en ligne nécessitant de renseigner des données obligatoires (nom, prénom, origine, nationalité…) et d’autres facultatives (notamment la religion). Par ailleurs, l’adresse IP est collectée pour identifier sa zone géographique.
Le service de mise en relation avec d’autres membres est gratuit pour les femmes et nécessite la souscription d’un abonnement pour les hommes. D’autres prestations (telles que les services mise en avant ou validation express des photos) demeurent payantes pour tous les membres, quel que soit leur sexe.
Au jour du contrôle sur place, la délégation a recensé (…) comptes dont environ (…) comptes abonnés et (…) comptes inactifs.
La société a indiqué générer (…)% de ses revenus par la souscription d’abonnements. Ces derniers sont de durée variable (1 mois, 3 mois ou 6 mois), payables en une seule fois et automatiquement renouvelés pour la même durée. Les opérations de paiement sont gérées par le prestataire (…).
La société a également indiqué procéder à des actions de modération pouvant conduire à l’exclusion définitive d’un membre, dont certaines sont externalisées auprès de la société (…).
La délégation a constaté sur place qu’en dehors de manœuvres manuelles ponctuelles, la société n’a ni défini ni mis en œuvre de durées de conservation des données des membres inactifs ou désinscrits.
(…)
Enfin, le contrôle en ligne effectué le 5 mai 2015 a permis de constater le dépôt de nombreux cookies dès l’arrivée sur la page d’accueil du site web.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement et de mettre à jour les traitements déclarés
En premier lieu, la délégation a constaté sur place que la société met en œuvre une détection automatique des profils ayant généré un envoi massif de messages. Dans cette hypothèse, le profil concerné est automatiquement placé en statut ghost , c’est-à-dire qu’il n’est pas visible des autres membres et ne peut générer l’envoi de messages. La société contacte alors le membre concerné aux fins d’avertissement ou d’information de la suppression de son compte.
En deuxième lieu, la délégation a relevé que la société peut procéder à la suppression de comptes à la suite d’une action de modération intervenue en amont de la mise en ligne du profil (en cas de propos ou de photographies contraires aux conditions générales d’utilisation du site) ou après publication du profil sur signalement d’un membre.
Il apparaît que ces traitements automatisés sont susceptibles d’exclure des personnes du bénéfice d’un contrat ou d’une prestation. Ils relèvent donc du régime de l’autorisation en matière de formalités préalables auprès de la CNIL.
Or, la société n’a procédé à aucune demande d’autorisation concernant un tel traitement.
Ces faits constituent un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire .
En troisième lieu, la délégation de contrôle a constaté sur place que la société collecte l’adresse IP des membres ainsi que des informations relatives aux origines raciales ou ethniques et aux opinions religieuses des membres dans le cadre du formulaire d’inscription.
Ces faits constituent également un manquement aux obligations découlant de l’article 30-II de la loi du 6 janvier 1978 modifiée qui dispose que le responsable d’un traitement déjà déclaré ou autorisé informe sans délai la Commission de tout changement affectant les informations mentionnées au I (identité ou adresse du responsable du traitement, finalités, données traitées, durée de conservation, destinataires, etc.) ou de toute suppression du traitement.
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de 1.500.000 € d'amende.
Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement de données sensibles relatives aux origines raciales ou ethniques ou aux opinions religieuses des personnes
La délégation a constaté en ligne que le site […], qui se présente comme n°1 en France de la rencontre maghrébine et musulmane , impose à l’utilisateur lorsqu’il complète son profil en vue de la création de son compte de préciser son origine ( algérienne , marocaine , tunisienne ou autre ). Il lui propose également de renseigner, de manière facultative, son degré de pratique religieuse sous la rubrique pratiquant ( oui , non , modéré , dans le Din ), de rechercher un autre utilisateur en fonction de ce critère et de préciser, sous l’onglet habitudes alimentaires , les cases pas de porc ou hallal .
L’article 8 de la loi du 6 janvier 1978 modifiée prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives aux origines raciales et ethniques et aux opinions religieuses des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Or, le consentement ne peut être exprès que s’il est donné en toute connaissance de cause c’est-à-dire après la délivrance d’une information adéquate sur l'usage qui sera fait des données personnelles.
En l’espèce, aucun moyen technique à l’endroit de la collecte n’est mis à la disposition de la personne auprès de laquelle les données sensibles sont collectées et traitées afin de s’assurer qu’elle y consent de manière expresse sur la base d’une information spécifique.
La Commission considère que le fait, pour la personne concernée, de renseigner ses données sensibles, ne saurait être considéré comme un consentement exprès. En effet, l’utilisateur doit pouvoir marquer son assentiment en cochant une case dédiée à l’approbation de l’usage de ses données personnelles sensibles auquel il consent, ce qui n’est pas le cas en l’espèce.
Ces faits constituent un manquement à l’article 8 de la loi du 6 janvier 1978 modifiée susmentionné.
Il est rappelé enfin qu’en application des articles 226-19 et 226-24 du code pénal combinés, le fait pour une personne morale, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l'intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l’orientation sexuelle de celles-ci, est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’informer les personnes
La délégation a constaté en ligne que ni le formulaire d’inscription au site […] ni aucune des pages permettant à l’utilisateur de compléter son profil ne contiennent d’information relative au traitement de données à caractère personnel.
Seul un lien sur le formulaire d’inscription renvoie vers les CGU lesquelles proposent une information relative au traitement en leurs articles 2 ( inscription ) et 5 ( Confidentialité ).
Ces faits constituent un manquement à l’article 32-I de la loi n° 78-17 du 6 janvier 1978 modifiée qui dispose que :
 I.-La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant :
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. 
En effet, le dernier alinéa de l’article 32-I précité précise que lorsque les données sont recueillies par voie de formulaires, certaines informations doivent figurer directement sur celui-ci.
Il est également rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
Les CGU du site […] précisent, sous l’article 7.2 modalités de paiement , que les numéros de carte bancaire des membres ne sont collectées et conservées que par le prestataire de paiement (…) et non par la société de manière à préserver la sécurité, la confidentialité, et l'intégrité des numéros de carte bancaire contre tout accès, utilisation ou détournement, communication ou modification non autorisés .
Il est également précisé que la société ne conserve en base qu’un numéro d’ abonné communiqué par l’établissement bancaire qui lui permet d’associer un paiement à un compte utilisateur et d’émettre un ordre de paiement en cas de renouvellement de l’abonnement ou souscription d’un nouveau service.
(…)
A cet égard, la Commission a rappelé, dans sa délibération n° 2013-358 du 14 novembre 2013 portant sur les données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance, qui n’a pas de valeur impérative mais permet d’éclairer les responsables de traitement sur leurs obligations, que la collecte du numéro de carte de paiement ne peut avoir pour finalités que la réalisation d'une transaction, la réservation d'un bien ou d'un service, la création d'un compte de paiement pour faciliter les achats ultérieurs sur le site du commerçant, l'offre de solutions de paiement dédiées à la vente à distance par des prestataires de services de paiement ou encore la lutte contre la fraude à la carte de paiement.
En l’espèce, si la finalité d’authentification d’un interlocuteur telephonique est légitime, le prestataire dispose d’autres données renseignées dans le cadre de la création du compte qui peuvent lui permettre d’atteindre cet objectif (date de naissance, adresse email, code postal, éventuellement numéro de téléphone).
Dès lors, le traitement par la société des coordonnées bancaires des utilisateurs de ses services à des fins d’authentification, outre qu’il contrevient aux CGU, apparait excessif au regard de la finalité poursuivie.
Ces faits constituent des manquements aux obligations découlant du 3° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Un manquement à l’obligation de définir une durée de conservation des données proportionnée à la finalité du traitement
En premier lieu, la délégation a constaté sur place la présence dans la base de données de la société de (…) comptes correspondants à des utilisateurs désinscrits (désinscrits volontaires ou par la modération) et de (…) comptes inutilisés depuis plus de trois ans, dont un depuis 7 ans (dernière connexion datée du 16 juin 2007).