AgentPublic/cnil huggingface dataset:
La formation restreinte relève que cette analyse est également celle retenue par l’ensemble des autorités européennes de contrôle, comme en attestent les lignes directrices du CEPD du 5 avril 2017 concernant la désignation d’une autorité de contrôle chef de file d’un responsable de traitement ou d’un sous-traitant (WP244). Ces dernières indiquent que : l’administration centrale est le lieu où sont prises les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel, et ce lieu a le pouvoir de faire appliquer ces décisions .
La formation restreinte relève en outre que ces mêmes lignes directrices indiquent que : Le règlement général n’autorise pas l’élection de juridiction (forum shopping)(…). Les conclusions ne peuvent reposer exclusivement sur des déclarations de l’organisation considérée .
Il convient ainsi d’apprécier les pouvoirs décisionnels dont dispose la société X pour déterminer si elle peut être qualifiée d’établissement principal.
A cet égard, la formation restreinte relève que la société x dispose certes de nombreux moyens financiers et humains qui permettent la fourniture effective de services par x en Europe, notamment par le biais de la vente de prestations publicitaires.
Toutefois, si ces éléments attestent de cette participation, la formation restreinte considère qu’ils ne permettent pas d’emporter la qualification de la société x en tant qu’établissement principal. Les éléments fournis ne démontrent pas par eux-mêmes que la société x aurait disposé, à la date d’engagement des poursuites, d’un quelconque pouvoir décisionnel quant aux finalités et aux moyens des traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte, à l’occasion de la configuration de son téléphone mobile sous x. Ces éléments révèlent seulement l’implication de cette entité dans le cadre de différentes activités de la société (activités financières et comptables, vente d’espaces publicitaires, passation de contrats etc.).
La formation restreinte relève par ailleurs que la société x n’est pas mentionnée dans les Règles de confidentialité de la société en date du 25 mai 2018 comme étant l’entité où sont prises les décisions principales quant aux finalités et aux moyens des traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte, à l’occasion de la configuration de son téléphone mobile sous x.
Elle souligne également que la société x n’a pas désigné de délégué à la protection des données qui serait en charge des traitements de données à caractère personnel qu’elle pourrait mettre en œuvre dans l’Union européenne. Elle relève en outre que le système d’exploitation x est développé uniquement par la société x.
Enfin, la formation restreinte relève que la société a elle-même indiqué, par courrier en date du 3 décembre 2018 adressé à la DPC, que le transfert de responsabilité de x. vers la société x sur certains traitements de données à caractère personnel concernant les ressortissants européens serait finalisé le 31 janvier 2019. Elle a ultérieurement précisé procéder à la mise à jour de ses règles de confidentialité qui entreront en application le 22 janvier 2019.
Au vu de l’ensemble de ces éléments, la formation restreinte considère que la société x ne peut être considérée comme l’ établissement principal de la société x. en Europe au sens de l’article 4 (16) du RGPD, dès lors qu’il n’est pas établi qu’elle dispose d’un pouvoir décisionnel quant aux traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte à l’occasion de la configuration de son téléphone mobile sous x.
En l’absence d’établissement principal permettant l’identification d’une autorité chef de file, la CNIL était compétente pour engager cette procédure et pour exercer l’ensemble de ses pouvoirs au titre de l’article 58 du RGPD.
b) Sur l’application des procédures de coopération et de cohérence
En premier lieu, la société soutient que la CNIL aurait dû saisir le CEPD en raison de l’incertitude quant à l’identification de l’autorité de contrôle devant agir en qualité d’autorité chef de file.
La formation restreinte considère tout d’abord que l’absence d’établissement principal d’un responsable de traitement au sein de l’Union européenne n’engendre pas par elle-même d’incertitude sur l’identification d’une autorité de contrôle pouvant agir en qualité d’autorité chef de file. Il résulte seulement de cette absence d’établissement principal que l’identification d’une autorité chef de file n’a pas lieu d’être, et que le mécanisme de guichet unique n’a pas vocation à s’appliquer. 
La formation restreinte relève ensuite que la CNIL a immédiatement communiqué les réclamations reçues à l’ensemble des autorités de contrôle, via le système européen d’échange d’information, en vue de l’identification d’une éventuelle autorité chef de file, conformément aux dispositions de l’article 56 du RGPD.
La formation restreinte note que, dans le cadre de cette procédure, aucune autorité de contrôle, ni le Président du Comité, n’ont jugé nécessaire de saisir le CEPD en raison d’incertitudes sur l’identification de l’autorité chef de file ou la compétence de la CNIL.
Elle observe en outre que l’analyse concluant à l’absence d’établissement principal de la société x. en Europe pour les traitements visés par les plaintes, et l’absence d’autorité chef de file qui en résulte, était partagée par la DPC. 
Elle relève ainsi que la DPC a publiquement affirmé le 27 août 2018 - dans un article de presse de l’Irish Times - qu’elle n’était pas l’autorité chef de file pour les traitements qui pouvaient être mis en œuvre par la société : la Commission de protection des données n’est pas le "principal régulateur" de x (ni, en termes de protection des données, son "autorité de contrôle chef de file") [...] x, société américaine, est le responsable de traitement et x ne peut absolument pas se prévaloir du mécanisme de guichet unique. […]. La position actuelle est que x est soumis au contrôle de toutes les autorités de contrôle européennes […] .
Il ne résulte dès lors pas de l’instruction qu’il aurait existé des doutes ou des points de vue divergents au sein des autorités de contrôle de nature à imposer une saisine du CEPD, conformément à l’article 65 du RGPD. Par ailleurs, compte tenu des lignes directrices déjà adoptées au niveau européen pour guider les autorités nationales dans l’identification de l’éventuelle autorité chef de file, il n’existait pas de question nouvelle justifiant la saisine du CEPD par la CNIL en application de l’article 64.
Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que la CNIL n’était pas tenue de saisir le CEPD en vue de l’identification d’une autorité chef de file.
En second lieu, si la société soutient que la CNIL aurait dû coopérer sur l’instruction des plaintes et les suites qu’il convenait de leur apporter, la formation restreinte rappelle, ainsi qu’il a été dit précédemment, que la CNIL a communiqué, dès leur réception, les réclamations à l’ensemble des autorités de contrôle de l’Union européenne, via le système européen d’échange d’information, en vue de l’identification d’une éventuelle autorité chef de file.
La formation restreinte relève ainsi qu’une procédure de coopération a bien été engagée avec les autorités de contrôle, et ce conformément aux dispositions de l’article 56 du RGPD, dans un premier temps sur la seule question de l’identification des compétences respectives de ces autorités.
La formation restreinte observe que cette étape de diffusion d’information et de détermination d’une éventuelle autorité chef de file constitue un préalable à l’application éventuelle du mécanisme du guichet unique prévu à l’article 60 du RGPD. 
La formation relève ensuite que cette démarche et les échanges qui en ont résulté n’ayant pas conduit à identifier un établissement principal ni, par suite, une autorité chef de file, aucune autre obligation de coopération ne s’imposait ultérieurement à la CNIL, notamment au titre de l’article 60 du RGPD.
La formation restreinte rappelle enfin que, dans un souci de cohérence, conformément aux orientations rappelées à l’article 63 du RGPD, la CNIL a informé et consulté ses homologues européens à plusieurs reprises sur les investigations qu’elle a menées, et tenu le plus grand compte des lignes directrices adoptées par le CEPD en vue d’assurer une application uniforme du règlement.
Compte tenu de ces éléments, la formation restreinte considère que les procédures de coopération et de cohérence n’ont pas été méconnues.
Au demeurant, la formation restreinte relève que sauf dispositions expresses, ce qui n’est pas le cas en l’espèce concernant la détermination de l’autorité chef de file, les autorités de contrôle ne sont pas tenues d’informer les responsables de traitement lors de la mise en œuvre d’actions de coopération ni de les mettre à même de participer aux échanges entre autorités. 
2.Sur la procédure
En premier lieu, la société soutient que la recevabilité des plaintes déposées par les associations None Of Your Business et La Quadrature du Net n’est pas établie.
La formation restreinte considère la question de la recevabilité des plaintes précitées n’a en tout état de cause pas d’influence sur la légalité de la présente procédure, la saisine de la formation n’étant pas nécessairement subordonnée à la réception d’une plainte et pouvant résulter d’une auto-saisine de la Commission sur la base des constats opérés par les services de cette dernière. Elle rappelle que la CNIL a pour mission de contrôler l’application du règlement et de veiller au respect de celui-ci et qu’elle dispose, pour ce faire, du pouvoir d’effectuer des enquêtes, conformément à l’article 57 1. a) et h) du RGPD.
Au demeurant, la formation restreinte note que l’article 80 du RGPD prévoit la possibilité pour une personne de mandater une association à but non lucratif, qui a été valablement constitué[e] conformément au droit d'un État membre, dont les objectifs statutaires sont d'intérêt public et est acti[ve] dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel pour introduire une réclamation en leur nom.
S’agissant de LQDN, la formation restreinte relève qu’il s’agit d’une association française créée le 3 janvier 2013. Il ressort de ses statuts que cette association a notamment pour objet de mener des actions pour assurer la défense des droits et libertés fondamentaux dans l’espace numérique [...] .
S’agissant de NOYB, elle relève qu’il s’agit d’une association à but non lucratif valablement constituée sur le territoire autrichien depuis 12 juin 2017. Il ressort de ses statuts que son objet est notamment de représenter les droits et les intérêts des utilisateurs dans le domaine numérique (notamment les droits des consommateurs, les droits fondamentaux de la vie privée, la protection des données, la liberté d'expression, la liberté d'information et le droit fondamental à un recours effectif).
La formation relève également que ces deux associations ont reçu de la part des personnes les ayant saisies un mandat de représentation au titre de l’article 80 du RGPD.
En second lieu, la société fait valoir que la procédure engagée à son encontre a méconnu son droit à un procès équitable tel que prévu notamment à l’article 6 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales.
Sur ce point, elle soutient d’une part, que le rapport proposant une sanction ainsi que les réponses apportées par le rapporteur à ses observations lui ont été adressées uniquement en français et d’autre part, que le refus d’extension du délai qui lui été opposé pour produire ses premières observations a limité le temps dont elle disposait pour préparer sa défense. Elle estime également que le report de séance ainsi que le délai supplémentaire qui lui a finalement été accordé pour produire ses secondes observations n’étaient toujours pas suffisants.
La formation restreinte relève tout d’abord que la notification d’un rapport de sanction en langue française répond à l’obligation légale fixée à l’article 111-1 du code des relations entre le public et l’administration qui prévoit que L'usage de la langue française est prescrit dans les échanges entre le public et l'administration, conformément aux dispositions de la loi n° 94-665 du 4 aout 1994 relative à l'emploi de la langue française .
En outre, aucune disposition légale ou supra nationale n’impose à la CNIL de traduire les documents qu’elle produit.
Au demeurant, la société dispose d’un établissement sur le territoire français, la société x. Cette société compte plusieurs centaines de salariés et s’est vue notifier l’ensemble des documents en lien avec la procédure. Elle relève également que les principales pièces à l’appui de la procédure ( Règles de confidentialité , Conditions d’utilisation , etc.) étaient les propres documents de la société, disponibles par ailleurs en anglais sur d’autres supports.
Au regard de ces éléments, la formation restreinte considère que la société disposait en tout état de cause de ressources matérielles et humaines suffisantes lui permettant d’assurer une traduction des documents en anglais dans un délai suffisant pour en prendre connaissance et formuler ses observations dans le délai qui lui était fixé.
La formation restreinte rappelle ensuite que l’article 75 du décret n° 2005-1309 du 20 octobre 2005 modifié prévoit que le responsable de traitement dispose d’un délai d’un mois pour formuler des observations en réponse au rapport qui lui a été adressé, puis d’un nouveau délai de quinze jours faisant suite au délai imparti au rapporteur pour apporter sa réponse.
La formation restreinte souligne qu’il a été fait droit aux demandes formulées par la société le 11 décembre 2018 visant à obtenir une extension de délai pour produire ses observations en réponse aux éléments apportés par le rapporteur et un report de séance. Ce report lui a permis de bénéficier d’un délai supplémentaire de quinze jours pour produire ses secondes observations par rapport au délai initialement prévu et préparer ainsi sa défense en vue de la séance de la formation restreinte. Elle a par ailleurs été en mesure de présenter ses observations orales le jour de la séance de la formation restreinte en complément de ses productions écrites.
La formation restreinte rappelle enfin que les constatations de fait opérées dans le cadre de la présente procédure portaient essentiellement sur des documents institutionnels rédigés par la société elle-même.
Au regard de ces éléments, la formation restreinte estime que les droits de la défense de la société x ont été garantis.
3.Sur le périmètre des investigations
En défense, la société soutient tout d’abord que le rapporteur a confondu le système d’exploitation x alors qu’il s’agit de services distincts qui mettent en œuvre des activités de traitements différentes.
Elle indique notamment que lors de la configuration de son appareil mobile sous x, les utilisateurs ont clairement le choix de créer ou non un compte x et que les Règles de confidentialité leur expliquent la manière dont les services x peuvent être utilisés avec ou sans compte x (ex : visionnage de vidéos x sans création de compte etc.).
Elle fait ensuite valoir que le périmètre du contrôle choisi par la CNIL - à savoir la création d’un compte x lors de la configuration d’un nouvel appareil utilisant le système d’exploitation x - est limité en ce qu’il représente un cas de figure qui ne concerne que 7% des utilisateurs.
Enfin, elle indique que les constatations ont été effectuées sur une ancienne version du système d’exploitation x.
Tout d’abord, la formation restreinte indique qu’elle ne remet pas en cause l’existence de services distincts, liés respectivement au système d’exploitation x et au compte x, mettant en œuvre des activités de traitements différentes.
Elle observe cependant que les faits couverts par les investigations correspondent au scénario retenu pour effectuer le contrôle en ligne, à savoir le parcours d’un utilisateur et les documents auxquels il pouvait avoir accès lors de la configuration initiale de son équipement mobile utilisant le système d’exploitation x. Ce parcours incluait la création d’un compte. Ces faits se rapportent donc aux traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte à l’occasion de la configuration de son téléphone mobile sous x.
Ensuite, s’il est exact que l’utilisateur a effectivement le choix de créer un compte et a la possibilité d’utiliser certains des services de la société sans avoir à créer un compte, elle constate toutefois que lors de la configuration d’un appareil sous x, la possibilité de créer un x ou de se connecter à un compte déjà existant apparait naturellement au début du processus de paramétrage, sans action spécifique de l’utilisateur.
Celui-ci est par ailleurs invité à créer ou à se connecter à un compte x dans la mesure où lorsqu’il clique sur les liens en savoir plus ou ignorer disponibles à cette étape de configuration de l’appareil, il se voit présenter l’information suivante : Votre appareil fonctionne mieux avec un compte x , Si vous n’avez pas de compte x, vous ne pourrez pas effectuer les actions suivantes […] Activer les fonctionnalités de protection de l’appareil .
La formation restreinte considère ainsi que ce parcours, lors de la création d’un compte, crée un continuum d’usage entre les traitements opérés par le système d’exploitation et ceux opérés au travers du compte x, et justifie le scénario retenu pour le contrôle en ligne. Cette succession des informations et choix présentés à l’utilisateur ne fait toutefois pas obstacle à une analyse différenciée, au regard du cadre juridique, des différentes activités de traitement en cause sur la base de l’ensemble des faits constatés dans le cadre de ce scénario de contrôle.
En outre, s’agissant des observations formulées par la société selon lesquelles ce cas de figure ne concernerait que 7% des utilisateurs – la plupart des utilisateurs d’un appareil fonctionnant sous x se connectant à un compte préexistant - la formation restreinte rappelle qu’aux termes de l’article 11.I.2 de la loi informatique et libertés, la CNIL dispose d’un large pouvoir d’appréciation quant aux périmètres des contrôles qu’elle peut entreprendre. Un scénario spécifique de contrôle, tel que celui retenu en l’espèce, peut permettre d’opérer des constatations traduisant une politique de confidentialité plus globale.
Au demeurant, la formation restreinte relève que la société indique dans ses observations en date du 7 décembre 2018 que : la portée du traitement des données à caractère personnel qui est effectué pour les détenteurs d'un Compte x lorsqu'ils utilisent un appareil sous x est en grande partie similaire au traitement qui se produit pour les détenteurs d'un Compte […] lorsqu'ils utilisent les services x sur un ordinateur ou sur un appareil ne fonctionnant pas sous x et que [..] Présenter les mêmes Règles de confidentialité et Conditions d'Utilisation permet d'assurer une cohérence et une connaissance des utilisateurs et, de manière importante, fait office de rappel aux détenteurs de comptes existants de la nature de la collecte des données et des finalités de celle-ci . Dès lors, les utilisateurs qui configureraient leur mobile sous x en y associant un compte déjà existant se trouvent, s’agissant de l’information qui leur est communiquée, dans une situation analogue aux utilisateurs qui procéderaient à la création d’un compte.
Enfin, s’agissant de la version du système d’exploitation x utilisée pour procéder aux constatations, la formation restreinte relève que l’argument avancé par la société est sans incidence dès lors qu’il ressort des pièces fournies par la société que le parcours d’un utilisateur est similaire dans une version plus récente du système d’exploitation.
Au demeurant, la formation restreinte relève que les statistiques de répartition de l’utilisation des versions successives du système d’exploitation Android, mises à disposition sur le site officiel des développeurs Android (https://developer.android.com/about/dashboards/) démontrent que la version utilisée lors du contrôle fait partie des versions les plus utilisées (statistiques portant sur une période d’une semaine d’octobre 2018 à partir des données de connexions des terminaux s’étant connectés au x).
4.Sur le manquement aux obligations de transparence et d’information
Le 1. de l’article 12 du Règlement général sur la protection des données dispose : 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens .
Le 1 de l’article 13 de ce même texte prévoit que : Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
le cas échéant, les coordonnées du délégué à la protection des données ;
les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent ; et
le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ; […] .
Le rapporteur estime que les informations délivrées aux utilisateurs par la société ne répondent pas aux objectifs d’accessibilité, de clarté et de compréhension fixés par l’article 12 et que certaines informations rendues obligatoires par l’article 13 ne sont pas fournies aux utilisateurs.
En défense, la société considère que l’information qu’elle diffuse à ses utilisateurs répond aux exigences des articles 12 et 13 du RGPD.
Elle estime tout d’abord que le document intitulé Règles de confidentialité et conditions d’utilisation , accessible lors de la création d’un compte, constitue une information de premier niveau conforme aux lignes directrices du CEPD sur la transparence au sens du Règlement UE 2016/679 (WP260) du 25 mai 2018. Elle précise que ce document offre une bonne vue d’ensemble des traitements mis en œuvre et que la mention de la base juridique de ces traitements n’a pas à figurer dans ce premier niveau d’information. Les informations concernant la durée de conservation des données figurent quant à elles dans la rubrique Exporter et supprimer vos informations au sein des Règles de confidentialité .