AgentPublic/cnil huggingface dataset:
La société fait ensuite valoir que l’information des personnes doit, au regard des articles 12 et 13 du Règlement, s’apprécier de façon globale. Elle expose à ce titre que l’information qu’elle délivre s’opère également, en complément des documents intitulés Règles de confidentialité et conditions d’utilisation , Règles de confidentialité et Conditions d’utilisation , par le biais de plusieurs autres modalités. Elle explique que des messages d’informations additionnelles peuvent apparaitre lors de la création d’un compte sous chacun des paramètres de confidentialité. Par ailleurs un message électronique est adressé à l’utilisateur au moment de la création de son compte indiquant notamment que : Vous pouvez à tout moment modifier les paramètres de confidentialité et de sécurité de votre compte x, créer des rappels pour vous souvenir de vérifier vos paramètres de confidentialité ou procéder à une vérification de vos paramètres de sécurité . Ce message électronique contient des liens cliquables renvoyant à différents outils de paramétrage.
Ces autres outils de contrôle, qui sont mis à la disposition de l’utilisateur postérieurement à la création de son compte à partir de l’interface de gestion de son compte comportent par exemple un outil intitulé x qui permet aux utilisateurs de choisir les réglages de confidentialité qui leur conviennent, y compris en matière d’annonces personnalisées, d’historique des positions, d’activité sur le Web et d’applications.
La société met aussi en avant un outil x qui permet aux utilisateurs d’avoir une vision d’ensemble de l’utilisation qu’ils font des services proposés par x tels que xx.
Enfin, la société rappelle que lorsqu’un utilisateur a cliqué sur Créer un compte sans avoir désactivé les paramètres relatifs aux annonces personnalisées, une fenêtre pop-up de confirmation de création de compte s’affiche pour rappeler que le compte est configuré pour inclure des fonctionnalités de personnalisation. La société indique que le parcours utilisateur est ainsi configuré pour ralentir la progression des utilisateurs qui n’auraient pas fait spontanément le choix de paramètres plus protecteurs de la vie privée.
Au préalable, la formation restreinte prend acte des progrès réalisés ces dernières années par la société dans sa politique d’information des utilisateurs, dans le sens de la plus grande transparence et d’une maîtrise renforcée sur leurs données attendues par ceux-ci. Pour les raisons qui suivent toutefois, elle estime que les exigences du RGPD, dont la mise en œuvre doit être appréciée à l’aune de la portée concrète des traitements de données à caractère personnel en cause, ne sont pas respectées.
En premier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 12 du Règlement, les informations doivent être fournies de façon aisément accessible . Cette exigence d’accessibilité est éclairée par les lignes directrices sur la transparence, dans lesquelles le CEPD a considéré qu’ Un aspect primordial du principe de transparence mis en lumière dans ces dispositions est que la personne concernée devrait être en mesure de déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin de ne pas être prise au dépourvu à un stade ultérieur quant à la façon dont ses données à caractère personnel ont été utilisées. […] Plus particulièrement, en ce qui concerne les traitements de données complexes, techniques ou non prévus, la position du G29 est que les responsables du traitement devraient […] définir séparément et de façon claire les principales conséquences du traitement : autrement dit, quel sera réellement l’effet du traitement spécifique décrit dans une déclaration ou un avis sur la protection de la vie privée pour la personne concernée . La formation restreinte rappelle en outre que l’obligation d’accessibilité posée par l’article 12 repose en partie sur les choix ergonomiques faits par le responsable du traitement.
En l’espèce, la formation restreinte constate que l’architecture générale de l’information choisie par la société ne permet pas de respecter les obligations du Règlement. En effet, les informations qui doivent être communiquées aux personnes en application de l’article 13 sont excessivement éparpillées dans plusieurs documents : Règles de confidentialité et conditions d’utilisation , affiché au cours de la création du compte, puis Conditions d’utilisation et Règles de confidentialité qui sont accessibles dans un deuxième temps au moyen de liens cliquables figurant sur le premier document. Ces différents documents comportent des boutons et liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires. Un tel choix ergonomique entraine une fragmentation des informations obligeant ainsi l’utilisateur à multiplier les clics nécessaires pour accéder aux différents documents. Celui-ci doit ensuite consulter attentivement une grande quantité d’informations avant de pouvoir identifier le ou les paragraphes pertinents. Le travail fourni par l’utilisateur ne s’arrête toutefois pas là puisqu’il devra encore recouper et comparer les informations collectées afin de comprendre quelles données sont collectées en fonction des différents paramétrages qu’il aura pu choisir.
La formation restreinte relève que, compte tenu de cette architecture, certaines informations sont difficilement trouvables.
Par exemple, s’agissant des traitements de personnalisation de la publicité, pour connaitre les informations qui sont collectées auprès de lui pour cette finalité, un utilisateur doit accomplir de nombreuses actions et combiner plusieurs ressources documentaires. Dans un premier temps, il doit prendre connaissance du document général Règles de confidentialité et conditions d’utilisation , puis cliquer sur le bouton Plus d’options et ensuite sur le lien En savoir plus pour que soit affichée la page Personnalisation des annonces . Il aura ainsi accès à une première description du traitement relatif à la personnalisation de la publicité qui s’avère être incomplète. Pour compléter l’information relative aux données traitées dans le cadre de cette finalité, l’utilisateur devra encore consulter dans son intégralité la rubrique proposer des services personnalisés contenue dans le document Règles de confidentialité , lui-même accessible depuis le document général Règles de confidentialité et conditions d’utilisation .
De même, en matière de traitement des données de géolocalisation, la formation restreinte relève qu’un même parcours dénué de tout caractère intuitif est requis de l’utilisateur s’agissant des informations relatives aux données de géolocalisation. Celui-ci devra en effet accomplir les étapes suivantes : Consulter les Règles de confidentialité et conditions d’utilisation , cliquer sur Plus d’options puis sur le lien En savoir plus pour que soit affichée la page Historique des positions et prendre connaissance du texte affiché. Ce texte ne constituant toutefois qu’une courte description du traitement, l’utilisateur devra, pour accéder au reste des informations, retourner au document Règles de confidentialité et consulter la rubrique Informations relatives à votre position géographique . L’information ne sera toujours pas complète puisque cette rubrique contient plusieurs liens cliquables relatifs aux différentes sources utilisées pour le géolocaliser.
Dans les deux cas de figures décrits, cinq actions sont nécessaires à l’utilisateur pour accéder à l’information relative à la personnalisation des annonces et six en ce qui concerne la géolocalisation.
La formation restreinte relève encore que si l’utilisateur souhaite disposer d’information sur les durées de conservation de ses données personnelles, il doit tout d’abord consulter les Règles de confidentialité qui se trouvent dans le document principal, puis se rendre dans la rubrique intitulée Exporter et supprimer vos informations et enfin cliquer sur le lien hypertexte cliquer ici contenu dans un paragraphe général sur les durées de conservations. Ce n’est donc qu’au bout de quatre clics que l’utilisateur accède à cette information. La formation restreinte constate au demeurant que le titre choisi par la société pour Exporter et supprimer vos informations ne permet pas facilement à l’utilisateur de comprendre qu’il s’agit d’une rubrique permettant d’accéder aux informations relatives aux durées de conservation. Dès lors, la formation restreinte estime dans ce cas de figure que la multiplication des actions nécessaires, combinée à un choix de titres non explicites ne satisfait pas aux exigences de transparence et d’accessibilité de l’information.
 Il résulte de l’ensemble de ces éléments un défaut global d’accessibilité des informations délivrées par la société dans le cadre des traitements en cause.
En deuxième lieu, la formation restreinte considère que le caractère clair et compréhensible des informations délivrées, exigé par l’article 12 du RGPD, doit s’apprécier en tenant compte de la nature de chaque traitement en cause et de son impact concret sur les personnes concernées.
Au préalable, il est essentiel de souligner que les traitements de données mis en œuvre par le responsable de traitement sont particulièrement massifs et intrusifs.
Les données collectées par x proviennent de sources extrêmement variées. Ces données sont collectées à la fois à partir de l’utilisation du téléphone, de l’utilisation des services de la société, tels que le service de messagerie x ou la plateforme de x, mais aussi à partir des données générées par l’activité des utilisateurs lorsqu’ils se rendent sur des sites tiers utilisant les services x grâce notamment aux cookies x déposés sur ces sites.
A ce titre, les Règles de confidentialité laissent apparaître qu’au moins vingt services proposés par la société sont susceptibles d’être impliqués dans les traitements, pouvant concerner des données telles que l'historique de navigation web, l'historique d'usage des applications, les données stockées localement sur l'équipement (telles que les carnets d'adresses), la géolocalisation de l'équipement, etc. Dès lors, un grand nombre de données est traité dans le cadre de ces services via ou en lien avec le système d’exploitation x.
Il ressort de l’instruction du dossier qu’outre les données de sources externes, la société traite au moins trois catégories de données :
des données produites par la personne (par exemple, son nom, son mot de passe, son numéro de téléphone, son adresse courriel, un moyen de paiement, des contenus créés, importés ou reçus, tels que des écrits, des photos ou des vidéos) ;
des données générées par son activité (par exemple, l’adresse IP, des identifiants uniques de l’utilisateur, les données de réseau mobile, les données liées aux réseaux sans fil et aux appareils Bluetooth, l’horodatage des actions effectuées, les données de géolocalisation, les données techniques des appareils utilisés y compris les données relatives aux capteurs (accéléromètre, etc.), les vidéos vues, les recherches effectuées, l’historique de navigation, les achats, les applications utilisées, etc. ;
des données dérivées ou inférées à partir des données fournies par cette personne ou son activité. S’agissant de cette catégorie, les Règles de confidentialité listent un certain nombre de finalités qui ne peuvent être accomplies qu’en générant des données à partir des deux autres catégories de données. Ainsi, la personnalisation des annonces que la société réalise nécessite d’inférer les centres d’intérêt des utilisateurs à partir de leur activité afin de pouvoir proposer ceux-ci aux annonceurs. De la même manière, les finalités de fourniture de contenus, de recherches et de recommandations personnalisés nécessitent d’inférer de nouvelles informations à partir de celles déclarées, produites ou générées par l’activité de la personne.
Par ailleurs, si le très grand nombre de données traitées permet de caractériser à lui seul le caractère massif et intrusif des traitements opérés, la nature même de certaines des données décrites, telles que les données de géolocalisation ou les contenus consultés, renforce ce constat. Considérée isolément, la collecte de chacune de ces données est susceptible de révéler avec un degré de précision important de nombreux aspects parmi les plus intimes de la vie des personnes, dont leurs habitudes de vie, leurs goûts, leurs contacts, leurs opinions ou encore leurs déplacements. Le résultat de la combinaison entre elles de ces données renforce considérablement le caractère massif et intrusif des traitements dont il est question.
En conséquence, c’est à la lumière des caractéristiques particulières de ces traitements de données à caractère personnel qui viennent d’être rappelées que les caractères clair et compréhensible , au sens de l’article 12 du RGPD, des informations prévues à l’article 13 du Règlement, doivent être appréciés. La formation restreinte considère que ces exigences ne sont, en l’espèce, pas respectées.
Concrètement, la formation restreinte relève que les informations délivrées par la société ne permettent pas aux utilisateurs de comprendre suffisamment les conséquences particulières des traitements à leur égard.
En effet, les finalités annoncées dans les différents documents sont ainsi décrites : proposer des services personnalisés en matière de contenu et d’annonces, assurer la sécurité des produits et services, fournir et développer des services, etc. . Elles sont trop génériques au regard de la portée des traitements mis en œuvre et de leurs conséquences. C’est également le cas lorsqu’il est indiqué aux utilisateurs de manière trop vague : Les informations que nous collectons servent à améliorer les services proposés à tous nos utilisateurs. […] Les informations que nous collectons et l'usage que nous en faisons dépendent de la manière dont vous utilisez nos services et dont vous gérez vos paramètres de confidentialité .
La formation restreinte relève, par suite, que la description des finalités poursuivies ne permet pas aux utilisateurs de mesurer l’ampleur des traitements et le degré d’intrusion dans leur vie privée qu’ils sont susceptibles d’emporter. Elle estime, en particulier, qu’une telle information n’est pas apportée de manière claire, ni au premier niveau d’information fourni aux utilisateurs par le biais, en l’espèce, du document intitulé Règles de confidentialité et conditions d’utilisation , ni dans les autres niveaux d’information proposés par la société.
La formation restreinte constate en outre que la description des données collectées, qui pourrait être de nature à éclairer la portée de ces finalités et à éviter que l’utilisateur soit pris ultérieurement au dépourvu quant à la façon dont ses données ont été utilisées et combinées, est particulièrement imprécise et incomplète, tant à l’analyse du premier niveau d’information que de celle des autres documents fournis.
Ainsi, le document Règles de confidentialité et conditions d’utilisation ainsi que le document intitulé Règles de confidentialité précisent : Il peut s’agir d’informations (…) plus complexes, comme les annonces que vous trouvez les plus utiles, les personnes qui vous intéressent le plus sur le Web ou les vidéos YouTube qui sont susceptibles de vous plaire .
Au regard de ce qui précède, la formation restreinte estime que l’utilisateur n’est pas en mesure, en particulier en prenant connaissance du premier niveau d’information qui lui est présenté dans les Règles de confidentialité et conditions d’utilisation , de mesurer la portée des principaux traitements sur sa vie privée. Si elle prend acte de ce qu’une information exhaustive, dès le premier niveau, serait contreproductive et ne respecterait pas l’exigence de transparence, elle estime que celui-ci devrait contenir des termes de nature à objectiver le nombre et la portée des traitements mis en œuvre. Elle considère en outre qu’il serait possible, par d’autres types de modalités de présentation adaptées à des services de combinaison de données, de fournir dès le stade des Règles de confidentialité une vision d’ensemble des caractéristiques de cette combinaison en fonction des finalités poursuivies.
Le constat du défaut de clarté et de caractère compréhensible doit être également fait s’agissant de la mention de la base juridique des traitements de personnalisation de la publicité. En effet, la société indique tout d’abord dans les Règles de Confidentialité : Nous vous demandons l'autorisation de traiter vos informations à des fins spécifiques, et vous êtes libre de revenir sur votre consentement à tout moment. Par exemple, nous vous demandons l'autorisation de vous fournir des services personnalisés, tels que des annonces […] . La base juridique retenue ici apparait donc être le consentement. Toutefois, la société ajoute plus loin se fonder sur l’intérêt légitime, notamment pour mener des actions de marketing en vue de faire connaître nos services auprès des utilisateurs et surtout avoir recours à la publicité afin de rendre un grand nombre de nos services disponibles gratuitement pour les utilisateurs.
La formation restreinte souligne que si devant elle, la société a indiqué que la seule base juridique sur laquelle repose le traitement relatif à la publicité personnalisée est le consentement, il ressort de l’instruction que cette clarification n’est pas portée à la connaissance des utilisateurs. Les formulations rappelées ci-dessus ne permettent pas à ces derniers de mesurer clairement la distinction entre la publicité proprement personnalisée, à partir de la combinaison de multiples données relatives à l’utilisateur, qui repose d’après les dires de la société sur le consentement, d’autres formes de ciblage utilisant par exemple le contexte de navigation, fondées sur l’intérêt légitime. La formation restreinte souligne l’importance particulière de l’exigence de clarté s’agissant de ces traitements, compte tenu de leur place dans les traitements mis en œuvre par la société et de leur impact sur les personnes dans l’économie numérique.
S’agissant de l’information relative aux durées de conservation, la formation restreinte relève que la page Comment les informations collectées par x sont-elles conservées comporte quatre catégories :
 Informations conservées jusqu'à ce que vous les supprimiez ;
 Informations assorties d'un délai d'expiration ;
 Informations conservées jusqu'à la suppression de votre compte x ;
 Informations conservées pendant de longues périodes pour des raisons précises .
Elle constate néanmoins que s’agissant de la dernière catégorie, seules des explications très générales sur la finalité de cette conservation sont fournies et aucune durée précise ni les critères utilisés pour déterminer cette durée ne sont indiqués. Or cette information figure parmi celles devant être obligatoirement délivrées aux personnes en application du a) du °2 de l’article 13 du Règlement.
En dernier lieu, si la société fait valoir que de multiples outils d’information sont mis à la disposition des utilisateurs concomitamment et après la création de leur compte, la formation restreinte relève que ces modalités ne permettent pas d’atteindre les exigences de transparence et d’information issues des articles 12 et 13 du RGPD.
Tout d’abord, la formation restreinte relève que les outils auxquels la société fait référence contribuent effectivement, dans une certaine mesure, à l’objectif de transparence tout au long de la vie du compte et de l’utilisation des services de x. Cependant, la formation restreinte considère qu’ils ne participent pas de manière suffisante à l’information prévue par l’article 13, qui doit intervenir au moment où les données en question sont obtenues . Ainsi que l’ont rappelé les lignes directrices du CEPD sur la transparence, l’article 13 indique les informations à fournir aux personnes concernées dès la phase de commencement du cycle de traitement .
Si des données autres que celles strictement nécessaires à la création du compte, sont collectées tout au long de la vie du compte, telles que l’historique de navigation ou des achats, le moment de sa création marque l’entrée de l’utilisateur dans l’écosystème des services x, dont le caractère particulièrement massif et intrusif des traitements a été rappelé précédemment. Cette étape marque le début d’une multitude d’opérations de traitements : collecte, combinaison, analyse etc. Par conséquent, dans la mesure où le processus de création du compte est primordial dans l’appréhension des traitements et de leur impact et où le parcours utilisateur proposé invite lui-même la personne concernée à concentrer tout particulièrement son attention à ce stade, l’information prévue à l’article 13 du Règlement qui intervient à ce moment doit, par elle-même, être suffisante au regard des exigences résultant de cette disposition ainsi que de l’article 12 du même règlement.
Au demeurant, tant la fenêtre pop-up surgissant au moment de la création du compte que le message électronique envoyé dès la création du compte ne contiennent que des informations sommaires ou très ciblées sur les traitements mis en œuvre et ne sauraient permettre de regarder l’information préalable comme suffisante.
Le texte de la fenêtre pop-up indique en effet Ce compte x est configuré pour inclure des fonctionnalités de personnalisation (telles que les recommandations et les annonces personnalisées) qui sont basées sur les informations enregistrées dans votre compte . Le message électronique indique quant à lui les principales fonctionnalités du compte […] et l’existence d’outils de contrôle.
S’agissant de l’outil x celui-ci permet essentiellement à l’utilisateur de paramétrer les informations collectées tels que l’historique de navigation ou des lieux fréquentés. Enfin, le x consiste en un panneau d’information regroupant pour chaque service […] un aperçu des habitudes d’utilisation du titulaire du compte.
Néanmoins, ces outils check-up confidentialité et Dashboard ne sont mobilisables, tout comme d’ailleurs le message électronique mentionné ci-dessus, que postérieurement à l’étape de création du compte, laquelle est pourtant primordiale pour l’information des utilisateurs ainsi qu’il a été dit. En outre, bien que leur existence et leur intérêt soient portés à la connaissance des utilisateurs, ils supposent une démarche active et d’initiative de ceux-ci. Pour ces raisons, ces outils ne permettent pas de considérer qu’une information suffisante est délivrée pour l’application de l’article 13 du Règlement.
Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’un manquement aux obligations de transparence et d’information telles que prévues par les articles 12 et 13 du Règlement est caractérisé.
5. Sur le manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre
L’article 6 du RGPD dispose que : Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;