AgentPublic/cnil huggingface dataset:
à caractère personnel et la liberté d’expression et d’information . Cette rédaction devrait être adaptée pour préciser que la notion de nécessité s’applique aux exceptions, et non aux traitements eux-mêmes. Surtout, la Commission s’interroge sur l’approche casuistique retenue par le projet d’ordonnance, qui renvoie l’appréciation de la nécessité au cas par cas au responsable de traitement, sous le contrôle de la CNIL et du juge. Cette approche contraste avec l’approche objective de la loi en vigueur, qui exclut, de manière générale, l’application de certaines dispositions. Elle ne paraît en tout état de cause pas nécessairement impliquée par la rédaction de la marge de manœuvre figurant à l’article 82 du Règlement, qui semble reporter l’appréciation de la nécessité d’éventuelles dérogations sur le législateur national.
Sur le titre III (traitements dans le secteur des communications électroniques) de la loi du 6 janvier 1978
Ces dispositions n’appellent pas d’observation de la part de la Commission, si ce n’est le constat, dans l’attente de l’adoption et de l’entrée en vigueur du futur règlement appelé à remplacer la directive 2002/58/CE précitée, d’une coexistence des régimes de notification de violations de données mis à la charge des opérateurs au titre de ces dispositions sectorielles et de celles, transversales, du Règlement.
Sur le titre IV (traitement de données des personnes décédées) de la loi du 6 janvier 1978
Le projet d’article 84 de la loi dispose que les droits et obligations prévues pour les traitements relevant du Règlement sont applicables aux traitements de données des personnes décédées, sous réserve des dispositions particulières du présent titre . Cependant, la Commission souligne que, dans sa version en vigueur, la loi Informatique et Libertés ne s’applique pas aux personnes décédées mais concerne uniquement la protection des personnes physiques à l’égard du traitement de données, à laquelle il peut néanmoins être porté atteinte par le biais de données relatives à des personnes décédées dès lors que leur divulgation a des conséquences sur la vie privée de leurs ayants-droit. S’inscrivant dans le prolongement de cet état du droit, le considérant (27) du Règlement indique que ce dernier ne s'applique pas aux données à caractère personnel des personnes décédées, tout en permettant aux Etats membres de prévoir des règles en la matière.
La Commission s’interroge dès lors sur la rédaction et la portée exacte des dispositions prévues par le projet d’article 84 de la loi, qui semble modifier substantiellement l’état du droit de ce point de vue.
Elle relève qu’il n’en est pas de même des projets d’articles 85 et 86 de la même loi, qui reprennent des dispositions actuellement en vigueur et ne sont aucunement incompatibles avec l’approche précitée. Néanmoins, la Commission regrette à nouveau que le décret d'application prévu par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique n'ait pas été adopté à ce jour, alors même que ces dispositions ont été introduites il y a plus de deux ans et que l'article 40-1 de la loi du 6 janvier 1978 (projet d’article 85 de la même loi) est difficilement applicable en l'absence de ce décret.
Sur le titre V (dispositions applicables aux traitements relevant de la Directive) de la loi du 6 janvier 1978
Ces dispositions reprennent celles issues de la loi n° 2018-493 du 20 juin 2018 et n’appellent par conséquent que peu d’observations.
La Commission relève néanmoins avec satisfaction que, dans le sens de ses observations émises dans son avis du 30 novembre 2017 et conformément à l’état du droit résultant de la loi du 20 juin 2018, le projet d’ordonnance maintient la possibilité, pour les personnes concernées, de se prévaloir dans certains cas d’un droit d’opposition à l’égard des traitements relevant de la Directive.
La Commission entend surtout revenir sur l’enjeu majeur que représente la définition des modalités d’exercice – direct ou indirect – des droits des personnes.
Pour les traitements relevant du champ de la Directive, le principe est désormais celui de l’exercice direct des droits, ce qui constitue, comme la Commission l’a déjà souligné dans son avis précité du 30 novembre 2017, une avancée majeure en termes de renforcement des droits des personnes. Les limitations à l’exercice direct des droits, qui ouvrent en toute hypothèse la faculté pour la personne d’exercer l’ensemble de ses droits par l’intermédiaire de la Commission, doivent être définies par l’acte réglementaire instituant le traitement (projet d’article 107 de la loi).
La Commission considère néanmoins que l’ordonnance devrait préciser, à des fins de bonne lisibilité de l’état du droit et de sécurisation des actes réglementaires à intervenir, que le pouvoir réglementaire peut désormais prévoir trois dispositifs différents en la matière : soit l’exercice direct des droits par les personnes sans restriction possible ; soit l’exercice direct des droits avec, en cas de restriction opposée à un demandeur par le responsable du traitement, la possibilité de saisir la Commission ; soit, au titre de ces restrictions, l’exercice d’emblée indirect de ces droits lorsque la nature du traitement et de tout ou partie des données qu’il contient le justifient.
Le maintien de cette troisième possibilité pourra en effet, dans certains cas de figure, s’avérer en réalité plus protecteur que la deuxième option. En effet, il convient d’éviter que l’engagement formel d’une démarche préalable auprès du responsable du traitement qui opposera – parfois tacitement au bout de deux mois – une restriction de manière en réalité quasi systématique, pour des raisons tenant à l’objet de certains traitements et à la nature de certaines données, ait pour seul effet d’allonger inutilement les délais de traitement de la demande de la personne concernée. La Commission relève d’ailleurs que, dans le champ même du Règlement, une telle option est expressément prévue (projet d’article 52 de la loi, mentionné ci-dessus).
Enfin, la Commission réitère ses observations formulées à l’endroit des dispositions prévues aux projets d’articles 48 et 52 de la loi, en ce qui concerne la nécessité, d’une part, de compléter les dispositions relatives aux modalités d’intervention de la CNIL en cas de restriction (projet d’article 108 de la loi) afin de prendre en compte l’ensemble des droits concernés, et non les seuls droits d’accès et de rectification, et, d’autre part, de prévoir expressément la possibilité d’un régime mixte en termes de droits des personnes pour un même traitement, à l’égard duquel des restrictions pourraient uniquement s’appliquer à certaines catégories de données uniquement.
Sur les autres dispositions concernant la législation relative à la protection des données à caractère personnel
A titre général, la Commission relève que les modifications prévues par le projet d’ordonnance des législations sectorielles relatives à la protection des données personnelles sont d’ordre essentiellement légistique et visent principalement à modifier les renvois à la loi du 6 janvier 1978 que ces législations comportent. Si elles comportent par ailleurs quelques erreurs matérielles, concernant par exemple la modification du code de la santé publique (X et XIII de l’article 21 du projet d’ordonnance) ou du code de la sécurité intérieure (IV de l’article 22 du même projet), la Commission rappelle que l’entrée en application des textes européens rend nécessaire une révision plus générale de certaines de ces législations sectorielles.
Des réformes de fond, qui peuvent néanmoins dépasser le champ de l’habilitation du présent projet d’ordonnance, semblent en effet impératives pour assurer la nécessaire sécurité juridique aux personnes et organismes concernés par ces législations et permettre la bonne application du droit à la protection des données personnelles.
Il en est ainsi, par exemple, en matière de vidéoprotection pour laquelle la Commission estime qu’il est hautement souhaitable que le législateur procède à un réexamen des dispositions applicables, notamment afin d'assurer la bonne articulation des dispositions du code de la sécurité intérieure avec le Règlement et la Directive.
De même, si la Commission prend acte des modifications prévues par l’article 10 du projet d’ordonnance concernant les dispositions du code pénal relatives aux atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques, elle regrette néanmoins qu’aucune infraction pénale ne soit prévue s’agissant des nouveaux droits des personnes et obligations des responsables du traitement et sous-traitants prévus par le Règlement ou la Directive, à l’exception de la méconnaissance des nouvelles obligations prévues en matière de notification des violations de données.
D’autres législations sectorielles nécessitent également des modifications de grande ampleur, auxquelles la Commission juge nécessaire de procéder au plus vite.
Au-delà de ces considérations générales, la Commission relève que l’article 9 du projet d’ordonnance vise à modifier l’article L. 581-9 du code de l’environnement relatif aux dispositifs publicitaires comportant un système de mesure automatique de l’audience ou d’analyse de la typologie ou du comportement des personnes passant à proximité. Ces dispositifs sont actuellement soumis à un double régime d’autorisation, du maire pour ce qui concerne le mobilier urbain, d’une part, et de la CNIL pour ce qui concerne le traitement de données à caractère personnel, d’autre part. Le projet d’ordonnance supprime l’autorisation préalable de la CNIL, qui ne saurait être effectivement maintenue en l’absence de marge de manœuvre prévue par le Règlement sur ce point, et lui substitue un avis de la CNIL préalable à la décision d’autorisation du dispositif publicitaire par les autorités compétentes.
La Commission estime qu’il serait hautement préférable, à des fins de simplification et pour préserver la portée du principe de responsabilisation résultant du Règlement, de ne pas créer un régime d’avis ad hoc et de renvoyer au droit commun du Règlement. Elle précise à cet égard que ces traitements doivent en principe faire l’objet d’une analyse d’impact dans les conditions prévues aux articles 35 et 36 du Règlement.
Enfin, l’article 16 du projet d’ordonnance vise à modifier des dispositions de code de procédure pénale (CPP), en particulier celles de l’article 230-22 qui portent sur les logiciels de rapprochement judiciaire. Il est ainsi prévu que la durée de conservation maximale des données passe de trois à six ans. La Commission rappelle qu’il lui reviendra en tout état de cause d’apprécier, pour les traitements relevant de l’article 230-20 du CPP effectivement mis en œuvre, la proportionnalité des durées de conservation retenues.
La Présidente
 
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, Mme Marie-Hélène MITJAVILE et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2018-199C du 20 septembre 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement relatif à l’utilisation du système d’exploitation Android pour mobile multifonction incluant la création d’un compte […] ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 octobre 2018 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, du 22 octobre 2018 ;
Vu les observations écrites versées par la société X le 22 novembre 2018 ;
Vu les observations en réponse du commissaire rapporteur du 7 décembre 2018 ;
Vu les observations en réponse versées par la société X le 4 janvier 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 15 janvier 2019 :
M. François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société X. :
[…]
Mme Eve JULLIEN, commissaire du Gouvernement, n’ayant pas formulé d’observation ;
La société ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
Fondée en 1998, la société X la société ) est une société à responsabilité limitée de droit américain dont le siège social est situé à XX
Filiale à 100% de la société Y depuis 2015, la société a réalisé un chiffre d’affaires de X en 2017. Elle possède plus de X. En France, elle dispose d’un établissement, la société X
Depuis qu’elle existe, la société a développé une pluralité de services à destination des entreprises et des particuliers (ex : […]). La société exerce en outre une activité de régie publicitaire.
En 2016, ce système d’exploitation comptait X utilisateurs en France.
Les 25 et 28 mai 2018, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été saisie de deux plaintes collectives déposées en application de l’article 80 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (Règlement général sur la protection des données, ci-après RGPD ou le Règlement ) respectivement par l’association None Of Your Business (ci-après NOYB ) et l’association La Quadrature du Net (ci-après LQDN ). De manière cumulée, ces plaintes regroupent les réclamations de 9974 personnes.
Dans sa plainte, l’association NOYB indique notamment que les utilisateurs de x sont tenus d’accepter la politique de confidentialité et les conditions générales d’utilisation des services x et qu’à défaut d’une telle acceptation, ils ne pourraient utiliser leur terminal.
L’association LQDN estime quant à elle, qu’indépendamment du terminal utilisé, x ne dispose pas de bases juridiques valables pour mettre en œuvre les traitements de données à caractère personnel à des fins d’analyse comportementale et de ciblage publicitaire.
Le 1er juin 2018, la CNIL a soumis les plaintes précitées à ses homologues européens via le système européen d’échange d’information en vue de la désignation d’une éventuelle autorité chef de file conformément aux dispositions de l’article 56 du RGPD.
En application de la décision n° 2018-199C du 20 septembre 2018 de la Présidente de la Commission, un contrôle en ligne a été effectué le 21 septembre suivant afin de vérifier la conformité de tout traitement relatif à l’utilisation du […], à la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 ) et au RGPD.
Le procès-verbal de contrôle en ligne n° 2018-199/1 a été notifié aux sociétés X Y les 24 et 25 septembre 2018.
Les deux sociétés ont également eu communication des plaintes susmentionnées par courriers de la CNIL le 28 septembre 2018.
Aux fins d’instruction de ces éléments, la Présidente de la CNIL a désigné, le 2 octobre 2018, M. François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 47 de la loi du 6 janvier 1978.
A l’issue de son instruction, le rapporteur a fait notifier aux sociétés X Y, le 22 octobre 2018, un rapport détaillant des manquements relatifs aux articles 6, 12 et 13 du RGPD qu’il estimait constitués en l’espèce.
Ce rapport proposait à la formation restreinte de la CNIL de prononcer à l’encontre de la société X. une sanction pécuniaire de 50 millions d’euros, rendue publique. Il était également proposé son insertion dans une publication, journal ou support que la formation restreinte désignerait. 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 10 janvier 2019. L’organisme disposait d’un délai d’un mois pour communiquer ses observations écrites.
Par lettre du 7 novembre 2018, la société a demandé une audition au rapporteur, à laquelle il n’a pas été fait droit par courrier du 13 novembre 2018. A la même date, la société a également formulé une demande de huis-clos et de report de séance, à laquelle il n’a pas été fait droit, par courrier du 15 novembre 2018.
Le 22 novembre 2018, la société a produit des observations écrites sur le rapport. Ces observations ont fait l’objet d’une réponse du rapporteur le 7 décembre 2018.
Par lettre du 11 décembre 2018, la société, qui disposait de quinze jours à compter de la réception de la réponse du rapporteur, a sollicité de la part du Président de la formation restreinte le report de la séance ainsi qu’une extension du délai pour produire ses nouvelles observations. La demande a été acceptée par le Président de la formation restreinte le 13 décembre 2018, qui a décidé, d’une part, de repousser de deux semaines - jusqu’au 7 janvier - le délai de production de ces observations et, d’autre part, de reporter la séance au 15 janvier 2019.
Le 4 janvier 2019, la société a produit de nouvelles observations en réponse à celles du rapporteur.
L’ensemble des observations a été réitéré oralement par la société et le rapporteur lors de la séance de la formation restreinte du 15 janvier 2019.
II.Motifs de la décision
1.Sur la compétence de la CNIL
L’article 55 paragraphe 1 du RGPD dispose : Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève .
L’article 56 paragraphe 1 du RGPD dispose : Sans préjudice de l'article 55, l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 .
La société soutient tout d’abord que la CNIL n’est pas compétente pour mener cette procédure et qu’elle aurait dû transmettre les plaintes reçues à l’autorité de protection des données irlandaise (Data Protection Commission, ci-après DPC ) à laquelle il appartiendrait, en tant qu’autorité chef de file de […], de traiter ces plaintes portant sur des traitements transfrontaliers, et ce conformément à la procédure de coopération établie à l’article 60 du RGPD. La société considère en effet que la société X doit être considérée comme son établissement principal au sein de l’Union européenne pour certains des traitements transfrontaliers qu’elle met en œuvre, et notamment ceux objets des plaintes reçues par la CNIL. Par conséquent, l’autorité de protection des données devrait selon elle être regardée comme son autorité de contrôle chef de file et être chargée, à ce titre, de traiter les plaintes reçues par la CNIL.
Pour attester du fait que la société X constitue son établissement principal au sein de l’Union, elle précise que cette société est le siège social de X pour ses opérations européennes depuis 2003 et qu’elle est l’entité en charge de plusieurs fonctions organisationnelles nécessaires à la réalisation de ces opérations pour la zone Europe, Moyen-Orient et Afrique (secrétariat général, fiscalité, comptabilité, audit interne, etc.). Elle indique également que la conclusion de l’intégralité des contrats de vente de publicités avec les clients basés dans l’Union européenne relève de cette société. Cette société emploie plus de x salariés et dispose, entre autres, d’une équipe dédiée en charge de la gestion des demandes faites au sein de l’Union européenne en lien avec la confidentialité et d’un responsable chargé de la protection de la vie privée. Elle précise enfin qu’une réorganisation tant opérationnelle qu’organisationnelle est en cours en vue de faire de la x le responsable de traitement pour certains traitements de données à caractère personnel concernant les ressortissants européens.
Elle considère également que la définition d’établissement principal doit être distinguée de celle de responsable de traitement et que si le législateur européen avait voulu que la notion d’établissement principal soit interprétée comme le lieu où les décisions concernant les traitements sont prises, il l’aurait expressément indiqué.
Elle considère ensuite que, compte tenu de la nature transfrontalière des traitements de personnalisation de la publicité, du nombre significatif d’utilisateurs d’x en Europe et des questions soulevées en lien avec ces traitements, les mécanismes de coopération et de cohérence tels que prévus aux articles 60, 64 et 65 du RGPD auraient dû s’appliquer. Elle précise notamment que le Comité européen de la protection des données (ci-après CEPD ) aurait dû être saisi en cas de doute sur la détermination de l’autorité chef de file.
Enfin, la société estime que les discussions informelles qui ont pu avoir lieu entre les autres autorités européennes de contrôle sur cette procédure sont sans effet juridique dès lors qu’elles ont eu lieu sans sa présence.
Sur la qualité d’établissement principal de la société X
L’article 4 (16) du RGPD définit la notion d’établissement principal de la manière suivante : a) en ce qui concerne un responsable du traitement établi dans plusieurs États membres, le lieu de son administration centrale dans l'Union, à moins que les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel soient prises dans un autre établissement du responsable du traitement dans l'Union et que ce dernier établissement a le pouvoir de faire appliquer ces décisions, auquel cas l'établissement ayant pris de telles décisions est considéré comme l'établissement principal .
Le considérant 36 du RGPD précise quant à lui : L'établissement principal d'un responsable du traitement dans l'Union devrait être déterminé en fonction de critères objectifs et devrait supposer l'exercice effectif et réel d'activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement dans le cadre d'un dispositif stable .
La formation restreinte considère qu’il résulte de ces dispositions que, pour pouvoir être qualifié d’établissement principal, l’établissement concerné doit disposer d’un pouvoir de décision vis-à-vis des traitements de données à caractère personnel en cause. La qualité d’établissement principal suppose en effet l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement .
Dès lors, l’existence d’un établissement principal s’apprécie in concreto, au regard de critères objectifs, et l’établissement principal ne saurait correspondre automatiquement au siège social du responsable de traitement en Europe.