AgentPublic/cnil huggingface dataset:
Sur ce point, la société soutient que toute personne renseignant volontairement des informations la concernant sur son profil de réseau social et qui ne souhaite pas utiliser les outils de restriction d'accès à son profil ne saurait prétendre ignorer que ces informations seront affichées sur Internet, notamment sur les pages de résultat des moteurs de recherche. Au contraire, l'absence de limitation de la diffusion de son profil ou de l'accès à son profil constituerait même une manifestation claire et non équivoque de la volonté de la personne d'apparaître sur le web et d'être indexée par les moteurs de recherche afin d'augmenter sa visibilité sur Internet. 
La formation restreinte considère que la circonstance que des profils personnels sont affichés publiquement sur Internet ne permet pas pour autant à un organisme tiers de procéder à une collecte massive, répétitive et indifférenciée de ces données sans en avertir les personnes concernées.
Si les personnes concernées se sont inscrites sur des réseaux sociaux de leur plein gré, il ne résulte pas de cette démarche volontaire que l'ensemble de ces personnes aient également accepté, systématiquement et en toute conscience, que leurs informations communautaires soient récupérées par des tiers pour être agrégées à leurs données d'annuaires et diffusées sur le réseau.
Au surplus, une telle intention ne saurait à l'évidence être imputée à des personnes mineures dont les profils apparaissent également sur le site [...] . En effet, il est connu que les jeunes générations n'ont que rarement conscience de la portée de la diffusion d'informations personnelles par les réseaux sociaux, dont elles sont par ailleurs les plus fervents utilisateurs. Leur attribuer une intention positive que leurs informations soient reprises le plus largement possible sur le réseau, y compris sur un service d'annuaire enrichi, semble excessif dans ce contexte. Au contraire, une telle collecte de données à caractère personnel est d'autant plus problématique qu'elle concerne une population jeune et vulnérable, qu'il est essentiel de particulièrement protéger.
De même, une telle intention ne peut sérieusement être imputée aux personnes ne souhaitant pas apparaître dans l'annuaire universel, notamment celles s'étant inscrites sur la liste dite rouge de l'annuaire, qui, toutefois, figureraient dans les résultats de requêtes [...] si elles avaient par ailleurs un profil non restreint dans un réseau social. Sur ce point, il est inopérant d'arguer que le service [...] , dans de telles circonstances, diffuse certes des éléments issus des réseaux sociaux sur les personnes, mais ne communique pas leurs coordonnées téléphoniques, qui ne figurent pas dans l'annuaire. En effet, les personnes s'étant inscrites sur liste rouge ont, par un acte positif, manifesté leur opposition à ce qu'aucune information les concernant ne figure sur le service [...], que ce soit leurs coordonnées téléphoniques et postales, ou a fortiori leur identité, leur photographie ou leur profession. 
- La société considère, en second lieu, que ce grief de collecte déloyale doit être écarté dès lors qu'elle satisferait par ailleurs aux conditions d'information des personnes qui lui incombent en application de l'article 32 de la loi du 6 janvier 1978 modifiée.
Le I de cet article prévoit que "le responsable du traitement doit fournir à la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations sur l'identité du responsable du traitement, la finalité de ce traitement, le caractère obligatoire ou facultatif des réponses, les destinataires, les droits d'accès, de rectification et, le cas échéant, d'opposition aux données les concernant ainsi que des transferts de données envisagés à destination d'un Etat non membre de la Communauté européenne".
A cet égard, la société ne conteste pas que les personnes détentrices de profils communautaires sur des réseaux sociaux ne sont pas informées préalablement par la société que leurs profils seront extraits puis intégrés dans une page de résultats du service [...], cette information étant à son sens impossible à fournir avant la mise en ligne aux personnes qui ont été crawlées par son service. 
Elle se prévaut en revanche des différentes exceptions à l'obligation d'information des personnes préalablement à la collecte, telles que prévues par l'article 32-III de la loi.
- Le premier paragraphe de cet article prévoit ainsi que lorsque les données à caractère personnel n'ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données. 
A cet effet, la société indique avoir inséré une mention en bas de la page des résultats des réseaux sociaux du site [...], indiquant que "Les données personnelles figurant sur cette page ont été trouvées sur les sites COPAINS D'AVANT, FACEBOOK, LINKEDIN, TROMBI, TWITTER ET VIADEO. Conformément à la loi Informatique et Libertés (article 38 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004), vous bénéficiez d'un droit d'accès ou de suppression de votre profil sur le service [...] en cliquant ici". 
Sur ce point, la formation restreinte relève que si la société a bien inséré une telle mention en bas de la page des résultats des réseaux sociaux du site [...], aux fins d'information des personnes, cette information est tardive dès lors que l'article 32-III impose à la société de procéder à l'information des personnes au plus tard lors de la constitution de ses bases de données, et que tel n'est pas le cas en l'espèce.
En outre, elle relève que cette mention d'information ne s'adresse pas aux personnes dont les données ont été collectées sur les réseaux sociaux, mais à celles effectuant les requêtes sur le site. Or il est évident que ces personnes seront, dans une très large mesure, des tiers par rapport à ce traitement puisque, en toute logique, les personnes qui consultent le site [...] ne sont pas celles dont les profils sont affichés. 
La société ne peut donc être considérée comme étant en conformité à la loi sur ce point.
- En second lieu, et à défaut, la société se prévaut des dispositions du second paragraphe du III de l'article 32 de la loi, qui prévoit qu'il peut être fait exception à l'application des dispositions précédentes lorsque la personne concernée est déjà informée des éléments énumérés au I de l'article 32.
A cet effet, elle soutient que les personnes utilisatrices des réseaux sociaux, notamment de Facebook, sont expressément informées par ceux-ci qu'à défaut de restreindre l'accès à leur profil, les données personnelles y figurant peuvent être indexées par des moteurs de recherche tiers (...) sans restriction de confidentialité. Ces informations peuvent également être associées à vous, y compris à votre nom et à votre photo de profil, même en dehors de Facebook, par exemple sur des moteurs de recherche ou lorsque vous visitez d'autres sites Internet.
Ainsi, la société soutient que les personnes dont les données ont été indexées par le service [...] et diffusées sur la page de résultat ont été informées de l'accessibilité par tout public à leurs informations personnelles, si bien qu'elle ne serait pas tenue de les informer à nouveau, conformément à l'article 32-III de la loi susvisée.
Sur ce point, la formation restreinte admet qu'il pourrait effectivement être suffisant, pour que la société satisfasse aux exigences de cet article, que les conditions générales d'utilisation des réseaux sociaux informent leurs utilisateurs de l'utilisation ultérieure qui sera faite de leurs données par la société, dès lors que l'information fournie serait suffisamment spécifique, claire et précise quant à l'existence et aux modalités de ce traitement ultérieur. 
En l'occurrence, il appartient donc à la formation restreinte de déterminer si la société peut légitimement se prévaloir à cette fin de la clause d'information générale stipulée par le réseau social Facebook dans sa politique de confidentialité, selon laquelle les données que ses utilisateurs mettent en ligne sur ses plateformes sont susceptibles d'être indexées par un moteur de recherche tiers .
A cette fin, elle constate que si la société a effectivement recours à une fonction de recherche d'informations indexées dans ses propres bases de données pour la fourniture de son service d'annuaire, son activité principale n'a en revanche jamais consisté en la mise en œuvre d'une application permettant de retrouver des ressources extérieures à celles enregistrées dans ses bases, conformément à l'acception générale du terme moteur de recherche employé par les usagers d'Internet.
Dès lors, la société a été malavisée de présumer que les utilisateurs de réseaux sociaux sauraient faire une interprétation extensive de ce terme pour y englober le prestataire d'un service d'annuaire.
En tout état de cause, la généralité de l'information diffusée dans la politique de confidentialité du réseau Facebook ne saurait satisfaire aux exigences posées par l'article 32 de la loi, qui prévoit que les personnes doivent être informées non seulement de l'existence de la collecte, mais également de ses principales modalités (finalités, droits garantis, transferts hors Union européenne, entre autres).
Dans ces conditions, la formation restreinte considère que la société ne peut se prévaloir de cette clause d'information générale pour prétendre s'être conformée à ses obligations légales.
- En dernier lieu, la société invoque les dispositions du second paragraphe du III de l'article 32 de la loi, qui prévoit qu'il peut être fait exception à l'application de ces dispositions quand l'information de la personne concernée se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche .
A cet effet, la société soutient que la mise en œuvre d'une telle information exigerait des efforts disproportionnés par rapport à l'intérêt de la démarche, compte tenu du nombre très important de personnes concernées et du coût disproportionné que supposerait une telle action. Elle soutient ainsi qu'elle a légitimement pu s'estimer exonérée de cette obligation générale d'information, sur le fondement de ces dispositions.
Sur ce point, la formation restreinte relève qu'il est ressorti de l'instruction contradictoire que la société a conclu un accord avec le site TROMBI afin que celui-ci rajoute sur son site une information spécifique relative à l'indexation par le service [...].
Ainsi, il apparaît clairement que la conclusion d'accords avec les six réseaux sociaux crawlés par la société ne constitue pas une contrainte infranchissable. Si de telles démarches revêtent, certes, un caractère contraignant, elles se justifient parfaitement par la nécessité que les utilisateurs dont les profils personnels ont été indexés, c'est-à-dire 25 millions de personnes, soient dûment informés des traitements opérés sur leurs données sans que leur consentement préalable ait été requis.
- Ainsi, au vu des développements qui précèdent, la formation restreinte considère que la collecte effectuée par la société en l'espèce ne répond pas à la condition de loyauté posée par l'article 6 de la loi du 6 janvier 1978 modifiée. 
Elle considère également que la société n'a pas pris les mesures nécessaires pour être en conformité aux exigences d'information préalable des personnes posées par le I l'article 32 de la loi du 6 janvier 1978 modifiée, et qu'elle ne peut se prévaloir d'aucune des exceptions à ces obligations prévues par le III de l'article 32 de cette même loi.
2. Sur le grief d'illicéité du filtrage des profils Facebook à des fins d'exclusion des non-résidents français et de non-respect de la finalité initiale du service [...]
Lors du contrôle effectué auprès de la société, il s'est avéré que celle-ci, en plus de la collecte des adresses Internet des profils publiés par les réseaux sociaux et de l'extraction dans les pages Internet correspondantes des informations accessibles publiquement, utilise le champ localisation du réseau social pour s'assurer que les données collectées ne correspondent qu'à des personnes résidant en France.
A défaut d'un tel champ sur le réseau social Facebook , et afin d'éliminer les pages correspondant à des profils de non résidents en France, la société procède à un filtrage des pages issues de ce réseau. Pour ce faire, la société extrait les couples nom/prénom de l'annuaire universel [...] et conserve ces données extraites dans un fichier intermédiaire, qui est ensuite croisé avec la base contenant les profils Facebook. 
La formation restreinte doit décider si ces faits constituent un traitement illicite de données à caractère personnel au sens du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, ainsi qu'un détournement de finalité au sens du 2° de ce même article 6 qui prévoit que des données à caractère personnel ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités .
Pour sa part, la société défend cette pratique en invoquant l'article L. 35-4 du Code des postes et des télécommunications électroniques (CPCE), qui prévoit que "l'annuaire universel comprend les noms ou raisons sociales, numéros téléphoniques et adresses de tous les abonnés aux réseaux ouverts au public, ainsi que la profession et les adresses électroniques des abonnés qui le souhaiteraient". Ainsi, selon elle, le traitement des données par la société est bien destiné à la fourniture de l'annuaire universel, celui-ci visant à permettre au public l'exercice du droit de communication et donc de retrouver une personne afin d'entrer en relation avec elle.
En effet, elle soutient que les modes de mise en relation et de communication ont évolué si bien que, désormais, la recherche des coordonnées d'une personne passerait essentiellement par le vecteur des moteurs de recherche Internet. Dans le cadre du traitement initial de la société, qui consiste à communiquer les coordonnées postales et téléphoniques de personnes résidant en France, la société est tenue d'exclure les données des profils non localisés en France, ce qui constituerait la raison légitime pour laquelle la société devrait procéder au filtrage des profils Facebook selon le pays de résidence des personnes. Cette pratique, selon la société, ne serait pas prohibée par le CPCE, si bien que le traitement ne serait pas illicite au sens de l'article 6-1° précité, ni contraire à la finalité initiale du traitement au sens de l'article 6-2°.
Sur ce point, la formation restreinte constate que l'article R.10-4-II du CPCE prohibe l'usage des listes d'abonnés à d'autres fins que la fourniture d'annuaires universels ou de services universels de renseignements téléphoniques . Ainsi, l'usage de la liste des abonnés et des utilisateurs à des fins de filtrage des profils Facebook étant sans lien avec les finalités assignées au service [...], il ne peut qu'être jugé contraire à cette disposition du CPCE.
La formation restreinte considère donc que l'extraction des données de l'annuaire universel aux fins de filtrage des profils Facebook effectué par la société est illicite au sens du 1° de l'article 6 précité, et ne respecte pas la finalité initialement assignée au traitement, au sens du 2° de ce même article. 
3. Sur le grief de non-respect de l'obligation de mise à jour des données
Aux termes du 4° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées".
En l'occurrence, la formation restreinte relève que les délais de mise à jour des profils issus des réseaux sociaux, tels qu'établis lors du contrôle, se sont révélés excessivement longs - parfois jusqu'à plus d'un an pour les plus anciens profils Twitter non mis à jour. Au jour du contrôle, 80 % des profils Facebook ; 49 % des profils Linkedin et 30% des profils Twitter n'avaient pas été mis à jour depuis plus de quatre mois. Au surplus, 56% des profils Facebook et 23% des profils Twitter n'avaient pas été mis à jour depuis plus de six mois.
Pour sa défense, la société soutient que des contrats seraient en cours de conclusion avec les réseaux sociaux français afin de recevoir quotidiennement les profils mis à jour, et qu'à défaut d'accord possible avec les réseaux sociaux étrangers, les informations résultant de ces derniers seraient supprimés. 
La formation restreinte relève à cet égard que la cessation d'un manquement, quand bien même elle serait établie, ne lui retire pas moins la possibilité de retenir ce manquement aux fins du prononcé d'un avertissement. En l'occurrence, il apparaît que l'absence de mise à jour rapide des données est susceptible d'avoir posé des problèmes en cas de suppression ou de modification de profil. Les demandes de modification ou de suppression émises auprès des réseaux sociaux n'ont donc pas été prises en compte dans des délais satisfaisants.
La formation restreinte conclut donc à la méconnaissance par la société du 4° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée.
4. Sur le grief de non-respect des droits des personnes
L'article 38 de la loi du 6 janvier 1978 modifiée dispose que "toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur (...)". 
En outre, son article 40 dispose que "toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite".
Il appartient à la formation restreinte de se prononcer sur la conformité aux articles 38 et 40 de la loi des procédures mises en œuvre par la société afin de permettre aux personnes concernées de faire valoir leurs droits.
En défense, la société admet que la procédure permettant de mettre en œuvre les droits d'accès et de suppression des personnes, telles qu'elles ont été identifiées lors du contrôle, n'était pas satisfaisante. Elle indique avoir pris des mesures pour la simplifier et réduire au maximum les délais de traitement des demandes de suppression.
En ce qui concerne le droit de rectification, la société soutient qu'elle ne peut matériellement satisfaire aux demandes de rectification des données sur la page de résultats de son service, dans la mesure où ces données sont générées automatiquement par l'indexation des informations inscrites par les personnes concernées sur les plateformes de réseaux sociaux. Selon elle, il conviendrait alors que cette personne s'adresse directement à la plateforme de réseau social et y modifie son profil afin que les informations indexées par le service [...] soient exactes.
Sur ce point, la formation restreinte constate, en premier lieu, que les personnes se connectant sur le service [...] étaient informées de la faculté d'exercice de leurs droits par une mention au bas de la page de résultats des réseaux sociaux du site [...]. Cette mention était incomplète, ne faisant pas référence aux droits d'opposition et de rectification ouverts aux personnes, en sus des droits d'accès et de suppression, et ne mentionnant pas davantage la faculté leur étant offerte d'utiliser une procédure autre que le recours à un formulaire électronique en ligne.
Elle relève, en second lieu, que la procédure électronique mise en œuvre pour faire valoir le droit de suppression au jour du contrôle était d'une complexité certaine, dès lors que la personne devait obligatoirement renseigner les champs suivants : url du profil à supprimer ; photocopie ou un scan d'une pièce d'identité (celle-ci devant être joint au format jpg ou pdf et ne pas excéder 300 Ko); mail ; nom et prénom. En outre, il était impossible de supprimer plus qu'un seul profil par formulaire, si bien que l'intéressé était contraint de remplir autant de formulaires en ligne que de profils détenus sur des réseaux sociaux. Les demandes d'opposition imprécises (absence de pièce d'identité ou url erronée) demeuraient quant à elles non traitées. 
Elle relève également, en troisième lieu, que s'il est exact que les demandes de rectification de données doivent être principalement introduites auprès des réseaux sociaux, la société est en revanche tenue de mettre à jour régulièrement les données des utilisateurs, afin de tenir compte des modifications ou des suppressions de profils. Or tel n'est pas le cas, comme il a été précisé plus haut (cf. supra, point 3). Dans ces conditions, la société est responsable du fait que des demandes de rectification peuvent être à tout le moins partiellement privées d'effet en pratique.
Enfin, et en quatrième lieu, elle constate que le dispositif mis en place avait pour conséquence de ne donner aucune assurance quant au caractère définitif d'une suppression. En effet, dans l'hypothèse où les réseaux sociaux modifieraient les adresses url de profils, ou en cas de suppression d'un profil par son titulaire puis de création d'un nouveau profil associé à une nouvelle adresse url, la société référencera à nouveau les profils de personnes s'étant opposées au traitement de leurs données à caractère personnel. Or il s'avère que les personnes ne sont pas informées de l'absence de pérennité de leur demande d'opposition et du risque de nouvelle indexation de leurs profils communautaires. 
En conséquence, la formation restreinte considère que les procédures instaurées par la société pour que les personnes concernées puissent faire valoir auprès d'elle les droits qu'elles détiennent en vertu des articles 38 et 40 susmentionnés ne sont pas conformes aux exigences de la loi du 6 janvier 1978 modifiée. 
5. Sur le grief de non-respect de l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
Aux termes du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
Lors du contrôle, la délégation de la Commission s'est attachée à analyser le traitement de données réalisé à l'occasion des requêtes effectuées sur le portail [...]. Il s'est avéré, à cette occasion, que la société collectait les adresses IP associées aux contenus, date et heure des requêtes effectuées sur le portail. 
Il appartient à la formation restreinte de juger si une telle collecte est conforme aux dispositions de l'article 6-3° susmentionné.
Lors du contrôle comme dans ses observations en réponse, la société a indiqué conserver ces données à la seule fin de répondre aux réquisitions judiciaires, et aucunement à des fins statistiques, contrairement à ce qu'a soutenu le rapporteur. 
Sur ce point, la formation restreinte considère qu'aucune obligation légale ne pèse sur la société quant à la conservation des adresses IP et des contenus des requêtes, quelle que soit la finalité de cette collecte.