AgentPublic/cnil huggingface dataset:
En qualité de représentants de la société X : Monsieur A, Directeur juridique et Madame B, Directrice France et Europe du Sud ;
En qualité de conseil de la société X : Maître C et Maître D, Avocats.
Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation ;
Les représentants de la société X ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) a pour activité principale la mise en ligne et la gestion du site de rencontre […] , créé en 2002 et disponible dans la quasi-totalité des pays européens. La société emploie près [de X] et a réalisé un chiffre d’affaires [de X] sur l’exercice 2015, pour un résultat net [de X].
La société a effectué une déclaration normale n° 796865 auprès de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), le 15 mars 2002, relative au traitement dont la finalité est la Gestion des relations avec les membres et prospects des services [de X] . Cette déclaration a fait l’objet de plusieurs modifications.
Les 3 et 4 novembre 2014, en application de la décision n° 2014-298C du 24 octobre 2014 de la Présidente de la Commission, une délégation de la CNIL a procédé à une mission de contrôle sur place au sein des locaux de la société X. À cette occasion, des manquements à la loi du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ) ont été constatés et les procès-verbaux n° 2014-298/1 du 3 novembre 2014 et n° 2014-298/2 du 4 novembre 2014 ont été notifiés à la société.
En application de la décision n° 2014-298C précitée, un contrôle en ligne a été diligenté le 11 mai 2015 sur le site […]  de la société et le PV n° 2014-298/3 du même jour a été notifié à la société.
Par décision n° 2015-059 du 24 juin 2015 de la Présidente de la CNIL, la société a fait l’objet d’une procédure de mise en demeure lui enjoignant, dans le délai de 3 mois, d’adopter les mesures correctives suivantes :
 procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre ;
recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles ;
ne traiter que des données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées ;
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs, qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées ;
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies) ;
adopter des mesures visant à assurer la sécurité et la confidentialité des données.
Par courriers des 2 octobre et 21 octobre 2015, la société a communiqué des premiers éléments en réponse à la mise en demeure qui lui a été adressée.
À la demande de la société, une réunion s’est tenue avec les services de la CNIL le 23 octobre 2015. A la suite de cette réunion, la société a également sollicité un renouvellement du délai de trois mois pour se mettre en conformité avec certaines des injonctions formulées dans la mise en demeure. La Présidente de la CNIL lui a accordé, par courrier du 30 octobre 2015, un délai additionnel de trois mois, soit jusqu’à fin janvier 2016, pour se mettre en conformité.
À l’échéance de ce délai, la société a adressé à la CNIL, le 28 janvier 2016, des premiers éléments en réponse à la mise en demeure qui lui a été notifiée.
La Présidente de la CNIL ayant relevé que la conformité n’était acquise que pour deux des manquements relevés à savoir le dépôt de la demande d’autorisation requise et la justification de l’utilisation des données bancaires, une demande de compléments a été adressée à la société le 19 avril 2016.
Dans ce courrier, la Présidente de la CNIL indiquait concernant les données sensibles, que le consentement des utilisateurs au traitement de ces données était recueilli lors de leur inscription sur le site, par l’intermédiaire d’une seule case à cocher relative à trois informations distinctes : la condition de majorité, l’acceptation des Conditions Générales d’Utilisation (CGU) et le traitement des données sensibles. Considérant que la fusion de ces différentes informations au sein d’une unique case à cocher ne permettait pas de conférer au consentement des utilisateurs un caractère exprès, la Présidente de la CNIL a invité la société à mettre en place, par exemple, une case à cocher distincte relative à la collecte et au traitement des données sensibles. Elle a également demandé que l’information délivrée aux utilisateurs ne fasse pas uniquement référence à l’orientation sexuelle dès lors que d’autres données sensibles sont collectées.
À la suite de ce courrier, la société a sollicité, le 4 mai 2016, la tenue d’une nouvelle réunion avec les services de la CNIL. Par courrier en date du 18 mai 2016, la Présidente de la CNIL a rejeté la demande de réunion de la société, celle-ci ne paraissant pas opportune au regard des injonctions formulées dans la mise en demeure, lesquelles étaient libellées de manière suffisamment claire.
Le 23 mai 2016, la société a répondu à la demande de compléments d’information de la Présidente de la CNIL en date du 19 avril 2016. S’agissant en particulier du recueil des données sensibles, la société a estimé que la méthode employée était conforme aux dispositions de l’article 8 de la loi du 6 janvier 1978 modifiée.
Les réponses de la société sur ce point s’étant révélées insatisfaisantes, la Présidente de la CNIL a désigné M. Éric Peres en qualité de rapporteur, le 30 août 2016, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a notifié à la société, par porteur, le 27 septembre 2016, un rapport détaillant le manquement relatif à l’article 8 de la loi Informatique et Libertés qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 40 000 euros, dont il sollicitait par ailleurs qu’elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 3 novembre 2016 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 20 octobre 2016, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 3 novembre 2016.
Motifs de la décision
A.Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement des données sensibles
L’article 8° de la loi du 6 janvier 1978 modifiée prévoit que  I. - Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. 
II. - Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I : 1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée ; […] .
La société a été mise en demeure de recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - en l’espèce les données relatives aux origines ethniques ou raciales, aux opinions religieuses et à la vie sexuelle des personnes. La mise en demeure précisait que ce consentement pouvait être recueilli par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte.
Il appartient à la formation restreinte de décider si la société s’est conformée aux termes de la mise en demeure ou a manqué à l’obligation lui incombant de recueillir le consentement exprès des personnes au traitement de leurs données sensibles.
En défense, la société fait principalement valoir que le consentement recueilli est parfaitement informé et qu’il répond à la définition européenne et française d’un consentement spécifique ; qu’en tant que tel, le consentement recueilli doit être considéré comme exprès et qu’il satisfait aux conditions de l’article 8 de la loi du 6 janvier 1978 modifiée.
En particulier, la société indique qu’aucun texte n’impose que le recueil d’un consentement pour le traitement de l’orientation sexuelle soit exclusif de tout autre accord des personnes. Elle précise également que les utilisateurs ne seraient pas mieux protégés ni plus libres en souscrivant à l’ensemble des conditions (majorité, acceptation des CGU et traitement des données sensibles) en trois fois plutôt qu’une. La société estime dès lors que la case à cocher actuelle permet de recueillir un consentement exprès et spécifique.
La société fait par ailleurs valoir qu’il y a lieu de prendre en compte les spécificités liées à la fourniture d’un service de rencontre. À cet égard, elle indique que les personnes ont conscience et sont informées que les données qu’elles fournissent sont nécessaires pour la fourniture du service auquel elles souscrivent.
Elle précise, en outre, que les modalités de recueil du consentement sur les sites de rencontre doivent être appréciées in concreto et que, les modalités de recueil du consentement en matière de prospection commerciale ne sauraient être transposables au cas des données sensibles. En particulier, la société indique que tandis que la règlementation en vigueur impose des conditions strictes relatives aux modalités de recueil du consentement pour le cas des prospections commerciales, tel n’est pas le cas pour les données sensibles, lesquelles sont par ailleurs nécessaires à la fourniture d’un service de site de rencontre.
Enfin, devant la formation restreinte, la société a présenté une nouvelle case à cocher dédiée, actuellement en phase de test, laquelle est libellée de la manière suivante : J’accepte que l’information relative à mes données sensibles soit traitée par [X] pour me fournir ses services .
Postérieurement à la séance qui s’est tenue le 3 novembre 2016, la société a fait parvenir à la CNIL une note en délibéré. Elle a affirmé que dans le délai de mise en demeure imparti par la CNIL, la société a apposé sur son formulaire d’inscription une case à cocher visant le traitement de l’orientation sexuelle  et que, à cette date, aucun des termes de la mise en demeure ne lui permettait de comprendre que la CNIL estimerait que cette case de recueil d’un consentement exprès aurait été insuffisante en ce qu’elle n’aurait pas été exclusivement dédiée à l’information des personnes sur le traitement des données sensibles .
Dans le cadre de cette note en délibéré, la société a également fait valoir qu’elle s’était engagée par écrit le 20 octobre et, de nouveau le 3 novembre devant la formation restreinte, à mettre en œuvre une case à cocher supplémentaire exclusivement dédiée au traitement de l’ensemble des données sensibles susceptibles d’être collectées sur son site internet et qu’au demeurant, les sites concurrents de la société en France ne sont pas tous en conformité avec les injonctions de la CNIL. Elle a produit à cet égard un constat d’huissier.
La formation restreinte rappelle qu’en application de l’article 8 de la loi du 6 janvier 1978 modifiée, la collecte et le traitement des données à caractère personnel dites sensibles que sont, notamment, les données relatives à la vie sexuelle, aux origines raciales ou ethniques et aux opinions religieuses, est interdit sauf si les personnes concernées ont donné leur consentement exprès. Ce consentement doit être libre, informé et spécifique.
Constitutif d’un régime dérogatoire à celui de l’interdiction de traiter des données sensibles, le recueil du consentement des personnes et son caractère exprès en la matière, doivent faire l’objet d’une interprétation stricte.
Tout d’abord, la formation restreinte considère que le consentement est exprès dès lors que la personne concernée est en mesure de manifester par une action positive, son assentiment au traitement de ses données sensibles, attestant ainsi que son consentement est donné en toute connaissance de cause. En effet, afin de consentir, la personne concernée doit être pleinement éclairée sur le caractère sensible des données qu’elle renseigne, notamment en ce que celles-ci peuvent révéler leur appartenance à une communauté ou permettre qu’elles fassent l’objet d’un profilage.
La formation restreinte estime ainsi que l’existence d’une case à cocher dédiée, apposée à l’endroit de la collecte, et de l’information spécifique délivrée sur le caractère sensible des données, répondent à l’exigence d’un consentement exprès.
En l’espèce, elle considère qu’en recueillant le consentement des personnes par le biais d’une seule et unique case à cocher relative à trois informations distinctes (la majorité, l’acceptation des CGU et l’acceptation du traitement des données relatives à l’orientation sexuelle) diluant ainsi l’information portant sur les données relatives à l’orientation sexuelle parmi d’autres, la société n’a pas recueilli le consentement exprès des utilisateurs du site internet de la société au traitement de leurs données sensibles.
La formation restreinte relève également que cette case à cocher, en tant qu’elle ne vise que les données relatives à l’orientation sexuelle, ne permet pas aux utilisateurs de consentir à la collecte et au traitement des données relatives à leurs origines raciales ou ethniques ainsi qu’à leurs opinions religieuses, lesquelles peuvent être renseignées de manière facultative dans leurs profils. Si les utilisateurs sont informés au moment où ils remplissent leurs profils que cette information est une donnée sensible , la société ne recueille pas leur consentement exprès, en l’absence de case à cocher.
Elle considère à ce titre qu’il revenait à la société de mettre en place une case dédiée au moment où l’utilisateur souscrit au service de rencontre et, soit de remplacer le terme orientation sexuelle par données sensibles , soit de mettre en place une case à cocher distincte au moment où les utilisateurs complètent leurs profils et renseignent des données sensibles autres que leur orientation sexuelle.
Ainsi, la société n’a pas pris toutes les mesures nécessaires, dans le délai imparti par la mise en demeure, pour recueillir un tel consentement alors même qu’elle a obtenu un délai supplémentaire pour s’y conformer et a fait l’objet d’un accompagnement important et continu de la part de la Commission dans sa démarche de conformité. La formation restreinte souligne que les exigences liées au recueil du consentement des données sensibles lui avaient clairement été indiquées dans le courrier du 19 avril 2016 précité lequel rappelait expressément que la fusion des informations relatives au consentement à la collecte des données sensibles, à l’acceptation des CGU et à la condition de majorité retire tout caractère spécifique à l’information relative aux données sensibles et ainsi ne permet pas de conférer au consentement un caractère exprès .
Elle relève par ailleurs que la société avait notamment été invitée par la Présidente de la CNIL à recueillir le consentement des personnes à la collecte et au traitement de leurs données sensibles par l’intermédiaire d’une case à cocher distincte et à remplacer le terme mon orientation sexuelle par mes données sensibles afin d’inclure l’ensemble des données sensibles pouvant être collectées auprès des utilisateurs . La formation restreinte considère dès lors que les exigences de la mise en demeure ainsi que les échanges qui ont suivis étaient dénués de toute ambiguïté quant à ce qui était demandé à la société.
La formation restreinte note néanmoins que la société s’est mise en conformité sur un certain nombre de manquements relevés dans le cadre de la mise en demeure qui lui a été adressée le 24 juin 2015. Elle prend également acte des modifications proposées par la société dans le cadre de ses observations en date du 20 octobre 2016 et réitérées à l’oral lors de la séance de la formation restreinte, s’agissant de la mise en œuvre d’une case dédiée relative au traitement des données sensibles des utilisateurs de son site internet.
Toutefois, la formation restreinte rappelle que la circonstance que la société ait mis en phase de test, quelques jours avant l’audience, une nouvelle case à cocher qui serait de nature à répondre aux exigences formulées dans la mise en demeure de la Présidente de la CNIL, est sans incidence sur la caractérisation du manquement, ce dernier se cristallisant à l’expiration du délai prorogé de la mise en demeure, c'est-à-dire à la fin du mois de janvier 2016.
De la même manière, la formation restreinte estime que les pratiques alléguées de certains autres acteurs du secteur visés par la société ne sauraient exonérer cette dernière de ses propres obligations ni, a fortiori, légitimer le manquement retenu, à son encontre, à l’article 8 de la loi du 6 janvier 1978 modifiée.
Enfin, la formation restreinte rappelle que le fait, pour la personne concernée, de renseigner spontanément les données relatives à son orientation sexuelle, ses origines raciales ou ethniques, ou ses opinions religieuses, ne saurait être considéré comme un consentement exprès dès lors que la personne n’a pas nécessairement conscience du caractère sensible de ces données et des conséquences possibles de leur divulgation.
La formation restreinte considère en conséquence que la société n’a pas respecté les termes de la décision la mettant en demeure de respecter les dispositions de l’article 8 de la loi du 6 janvier 1978 modifiée dans le délai qui lui était imparti.
Sur la sanction et la publicité
La formation restreinte considère que le manquement à l’article 8 de la loi du 6 janvier 1978 modifiée a persisté au-delà du délai imparti par la mise en demeure de la Présidente de la Commission et justifie que soit prononcée une sanction d’un montant de 20.000 € à l’encontre de la société. En outre, elle estime les faits d’une particulière gravité au regard de la nature des données traitées et du volume de personnes concernées par le traitement en cause, à savoir au moins […] comptes d’abonnés actifs et, au plus, […] comptes en bases de données.
Compte tenu de la gravité du manquement commis par la société, ainsi que de la nécessité de sensibiliser les internautes et les responsables de traitements quant à leurs droits et obligations respectifs en la matière, la formation restreinte décide de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 20.000 € ;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai d’un an à compter de sa publication.
Le Président
 
 
 
 
Jean-François CARREZ
 
 
 
 
 
 
 
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, Saisie par le ministère de l'Intérieur d'une demande d'avis sur un  projet de décret en Conseil d'Etat autorisant la création de traitements  relatifs au non-respect des dispositions des conditions générales de  vente ou du règlement intérieur concernant la sécurité des  manifestations sportives ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code du sport, notamment ses articles L. 332-1, L. 332-3 à L. 332-10, L. 332-11, L. 332-15, L. 332-16 et L. 332-19 ; Vu la  loi n° 2016-564 du 10 mai 2016 renforçant le dialogue avec les supporters et la lutte contre le hooliganisme ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-1 (3°) ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Madame Joëlle FARCHY, commissaire, en son  rapport, et Madame Nacima BELKACEM, commissaire du Gouvernement, en ses  observations, Formule les observations suivantes : La loi du 10 mai 2016 renforçant le dialogue avec les supporters et  la lutte contre le hooliganisme autorise les organisateurs de  manifestations sportives à identifier les personnes qui ont contrevenu  aux dispositions des conditions générales de vente ou du règlement  intérieur relatives à la sécurité de ces manifestations afin de  permettre aux personnes habilitées de refuser ou d'annuler la délivrance  des titres d'accès à ces manifestations ou d'en refuser l'accès. A cette fin, l' article L. 332-1 du code du sport  prévoit que les organisateurs de manifestations sportives peuvent  établir un traitement automatisé de données à caractère personnel dans  des conditions fixées par le présent décret, soumis à l'avis de la  commission. Sur les formalités préalables : La commission observe, à titre liminaire, que le projet d'article R.  332-20 du code du sport prévoit que les traitements mis en œuvre par  les organisateurs de manifestations sportives font l'objet d'une  déclaration, selon les modalités prévues par l'article 23 de la loi du 6  janvier 1978 modifiée. Elle rappelle que le régime des formalités préalables à accomplir  auprès de la CNIL est déterminé par la loi du 6 janvier 1978 modifiée,  en fonction de la finalité ainsi que des modalités de mise en œuvre du  traitement envisagé.
En l'espèce, la commission observe que les motifs d'inscription  visés à l'article 1er du projet de décret peuvent être liés à des  infractions pénales. Leur mise en œuvre est donc susceptible de relever  du 3° du I de l'article 25 de la loi du 6 janvier 1978 modifiée, qui  prévoit que doivent être autorisés par la commission les traitements de  données à caractère personnel, automatisés ou non, portant sur des  données relatives à des infractions, condamnations ou mesures de sûreté. A cet égard, elle relève que l' article L. 332-1 du code du sport  lui permet d'autoriser la mise en œuvre de traitements de données à  caractère personnel relatives à des infractions, condamnations ou  mesures de sûreté, en dehors des hypothèses prévues par l'article 9 de  la loi du 6 janvier 1978 modifiée, pour permettre aux organisateurs  d'assurer la sécurité des manifestations sportives. La commission souligne que le présent projet de décret fixe un cadre  général et maximal s'agissant des modalités de mise en œuvre des  traitements et qu'il appartiendra à chacun des responsables de  traitement de mettre en place un traitement répondant aux principes de  la loi  Informatique et Libertés , et notamment de finalité et de  proportionnalité. Au regard de ce qui précède, elle invite le ministère à modifier le  projet d'article R. 332- 20 du code du sport afin de rappeler aux  organisateurs l'obligation d'accomplir les formalités adéquates au  regard des caractéristiques des traitements