AgentPublic/cnil huggingface dataset:
ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée ;
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci. A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties :d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet :
les finalités de tous les cookies soumis au consentement ;
que la personne concernée a la possibilité de changer les paramètres de ces cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer à une page présentant les solutions adéquates mises à la disposition des personnes concernées pour accepter ou refuser les cookies ;
que la poursuite de la navigation vaut consentement au dépôt des cookies ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ;
prendre toute mesure de sécurité, pour l’ensemble des traitements de données à caractère personnel qu’elle met en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès, notamment :
prévoir au sein de tous les contrats liant la société avec ses prestataires de services, en particulier les sociétés (…) et (…), des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société, et précisant que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée ;
respecter le droit d’accès des personnes en particulier en définissant et mettant en place une procédure de gestion de ces demandes afin de rendre leur traitement effectif ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-061 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ; 
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives aux orientations sexuelles, aux origines ethniques et aux opinions religieuses). 
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de conservation des données, la conduisant, en pratique, à conserver sans limitation de durée les données des profils archivés.
La mesure de publicité se fonde également sur le statut de l’organisme en cause et sur le nombre de sites de rencontre qu’il gère. Aussi, compte tenu du grand nombre d’utilisateurs du site, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement. 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°2015-061 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-048 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ; 
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, […], de faire cesser sous un délai de trois mois (3) les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives à leur vie sexuelle). 
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personne ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données, la conduisant à conserver les données personnelles de comptes ayant pourtant fait l’objet d’une demande de suppression.
La mesure de publicité se fonde également sur le statut de l’organisme en cause qui se présente comme le site de rencontres destiné à un public haut de gamme. Aussi, compte tenu du grand nombre d’utilisateurs du site, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement. 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°2015-048 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code pénal ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
Vu la décision n° 2014-141C du 25 juin 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification relative à tout traitement mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet […] et des applications correspondantes ; 
Vu les procès-verbaux de contrôle sur place n° 2014-141C et n° 2014-141/2, respectivement des 2 juillet 2014 et 2 octobre 2014. 
Constate les faits suivants
La société par actions simplifiée X (ci-après la société), sise […], a pour activité principale la mise en ligne et la gestion du site de rencontre […]. Elle emploie environ 20 personnes et a dégagé un chiffre d’affaires de (...) sur l’exercice 2013. 
En application de la décision n° 2014-141C du 25 juin 2014 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission), une délégation de la CNIL a procédé à une mission de contrôle sur place les 2 juillet et 2 octobre 2014 auprès de la société X. La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier ceux relatifs à la gestion et à l’exploitation du site internet […] et des applications correspondantes. 
La société a effectué auprès de la CNIL une déclaration n° 1232346 le 27 avril 2007 relative au traitement dont la finalité est intitulée Fichier clients membres de la communauté gestion BD. 
La délégation a été informée que le site web […] a été créé par la société X en 2007 et vise un public haut de gamme, hétérosexuel et homosexuel.
L’inscription sur le site est gratuite. Le profil utilisateur de la personne qui s’inscrit fait l’objet d’une modération manuelle par le site (...).
Après cette action de modération, certains membres dont les critères de recherche correspondent au profil du nouvel inscrit, sont invités à voter pour accepter ou non la demande d’admission à la communauté […] du nouvel inscrit ((...) de candidats refusés). Une fois accepté, le membre ne peut entrer en relation avec les autres utilisateurs qu’après avoir souscrit un abonnement. (...) 
La délégation a constaté que le nombre de comptes actifs est de (...) et que le nombre de comptes ayant été refusés à la modération, refusés au vote ou supprimés est de (...). 
Il a été ajouté que les actions de modération peuvent conduire à l’exclusion d’un utilisateur du site. Toutefois, les utilisateurs exclus peuvent procéder à une nouvelle inscription sur le site, le site ne mettant en œuvre aucune liste d’exclusion. 
La délégation a constaté lors du contrôle que la société n’a ni défini ni mis en œuvre de durées de conservation des données des personnes qui ne sont plus inscrites, des personnes dont le compte est inactif ou des personnes ayant tenté, sans succès, de s’inscrire au site de rencontre. Le contrôle a permis de constater qu’aucune procédure de suppression des données n’a été définie ou mise en œuvre. 
La délégation a constaté que le formulaire d’inscription nécessite le renseignement de données à caractère personnel dont certaines sont des données relatives à la sexualité des personnes.
En outre, il a été constaté le dépôt de nombreux cookies dès l’arrivée sur la page d’accueil du site web. Un bandeau d’information est apposé en haut de page et indique En naviguant sur […], vous acceptez nos cookies et ceux de nos partenaires, qui permettent d’améliorer votre expérience. Ainsi qu’un bouton En savoir plus. 
(...) 
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement 
La délégation a relevé que la sélection des nouveaux inscrits par les autres membres de la communauté est notamment basée sur un algorithme de vote.
(...) 
Cette pondération vise à produire une décision finale d’acceptation ou de refus du candidat. Il apparaît que ce traitement automatisé est susceptible d’exclure des personnes du bénéfice d’un contrat ou d’une prestation. Ils relèvent donc du régime de l’autorisation en matière de formalités préalables auprès de la CNIL. 
Or, la société n’a procédé à aucune demande d’autorisation concernant un tel traitement.
Ces faits constituent un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement de données sensibles 
La délégation a constaté que l’internaute doit renseigner obligatoirement sur le formulaire d’inscription au site […] l’information relative à sa vie sexuelle. 
L’article 8 de la loi du 6 janvier 1978 modifiée prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives à la vie sexuelle des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Or, le consentement ne peut être exprès que s’il est donné en toute connaissance de cause c’est-à-dire après la délivrance d’une information adéquate sur l’usage qui sera fait des données personnelles. 
En l’espèce, aucun moyen technique à l’endroit de la collecte n’est mis à la disposition de la personne auprès de laquelle les données sensibles sont collectées et traitées afin de s’assurer qu’elle y consent de manière expresse sur la base d’une information spécifique. 
La Commission considère que le fait, pour la personne concernée, de renseigner ses données sensibles, ne saurait être considéré comme un consentement exprès. L’utilisateur doit pouvoir marquer son assentiment en cochant une case dédiée à l’approbation de l’usage de ses données personnelles sensibles auquel il consent, ce qui n’est pas le cas en l’espèce.
Ces faits constituent un manquement à l’article 8 de la loi du 6 janvier 1978 modifiée qui prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives à la vie sexuelle des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Il est rappelé enfin qu’en application des articles 226-19 et 226-24 du code pénal combinés, le fait pour une personne morale, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l’intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l’orientation sexuelle de celles-ci, est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation d’informer les personnes 
La délégation a constaté que le formulaire d’inscription au site […] et les pages permettant à l’utilisateur de compléter son profil imposent à l’internaute de renseigner des données à caractère personnel. 
Or, si un lien sur le formulaire d’inscription renvoie vers les Conditions Générales d’Utilisation et de Vente (CGUV) et la Politique de confidentialité relative au respect de la vie privée du site web, aucune mention d’information relative à l’article 32 de la loi du 6 janvier 1978 modifiée ne figure directement sur celui-ci. De plus, le caractère obligatoire ou facultatif des réponses n’est pas précisé. 
Ces faits constituent un manquement à l’article 32-I de la loi n° 78-17 du 6 janvier 1978 modifiée qui dispose que :
I. La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant :
1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. 
Il est également rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation de définir et respecter une durée de conservation des données proportionnée à la finalité du traitement 
En premier lieu, la société a procédé à la déclaration n° 1232346 de son traitement relatif à la gestion de ses clients membres du site au sein de laquelle elle a indiqué conserver les données à caractère personnel de ses clients jusqu’à suppression du compte. 
Or, la délégation a constaté que la base de données […] de la société contient notamment une table dénommée member_user_deleted comprenant de nombreuses données à caractère personnel relatives à (...) comptes supprimés. 
Il en résulte que la société ne procède pas à la purge des données relatives aux comptes supprimés à l’initiative de la société ou de la personne concernée. 
L’absence de purge de données est d’ailleurs confirmée par la société elle-même qui, dans ses courriers des 9 janvier et 8 juin 2015, informe la Commission de son projet de mise en place d’un processus de suppression des données des comptes des utilisateurs, des données des personnes ayant tenté de créer un compte utilisateur, ainsi qu’un processus d’anonymisation des données à des fins statistiques, sans toutefois en justifier.
Par ailleurs, s’agissant des données relatives à la carte bancaire, la délégation a été informée qu’elles étaient conservées au-delà du terme du contrat d’abonnement. Or, une telle conservation est excessive au regard de la finalité de paiement de l’abonnement, lequel s’effectue en une seule fois. 
Il est rappelé à cet égard que la CNIL a adopté la délibération n° 2013-358 du 14 novembre 2013 portant adoption d’une recommandation quant aux données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance.
Celle-ci précise que la durée de conservation des données de la carte doit correspondre au délai nécessaire à la réalisation de la transaction, c’est-à-dire au paiement effectif qui peut être augmenté, le cas échéant, du délai de rétractation prévu par l’article L. 121-20-12 du code de la consommation, à savoir 14 jours. 
Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.