AgentPublic/cnil huggingface dataset:
Aux termes de l'article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée : "un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :1° Le respect d'une obligation légale incombant au responsable du traitement ;2° La sauvegarde de la vie de la personne concernée ;3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;4° L'exécution, soit d'un contrat auquel la personne concernée est partie, .soit de mesures précontractuelles prises à la demande de celle-ci ;5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée". 
Il résulte de ces dispositions qu'en l'absence de consentement des personnes concernées, un responsable de traitement ne peut légalement mettre en oeuvre un traitement de données à caractère personnel que si celui-ci est fondé sur l'une des conditions alternatives visées ci-dessus.
En l'espèce, faute de recueil du consentement de ses utilisateurs, quel que soit leur statut, préalablement à la combinaison de leurs données, la mise en oeuvre des différents traitements de données opérés par la société ne peut avoir pour base légale que l'une des conditions énumérées par les 1° à 5° de l'article précité.
Compte tenu de la nature des traitements en cause, les 1°, 2° et 3° de l'article 7 ne peuvent constituer la base légale de la combinaison illimitée des données par X.
Le traitement issu de la combinaison de données entre ses services ne peut donc être examiné qu'au regard du 4° et du 5° de l'article 7.
La société fait valoir, à cet égard, que l'ensemble des services qu'elle propose constitue en fait un service unique. La combinaison potentiellement illimitée de données pourrait, dès lors, entrer dans le champ d'application du 4° de l'article 7 au titre d'une relation contractuelle globale.
Toutefois, il n'existe pas de cadre contractuel global gouvernant la combinaison de données effectuée entre tous les services de X, ni même de cadre établissant un lien clair entre l'ensemble de ces services pour l'utilisateur. Si certaines prestations, à l'instar de [...], sont encadrées par des conditions d'utilisation et règles de confidentialité propres, celles-ci sont, d'une part ponctuelles car spécifiques à ces services, et, d'autre part, insuffisantes pour instaurer stricto sensu une relation contractuelle globale avec l'utilisateur.
En conséquence, la société ne peut fonder la combinaison potentiellement illimitée de données entre tous ses services sur l'exécution, par définition limitée, de conditions d'utilisation et règles de confidentialité spécifiques à certains d'entre eux, de sorte que le 4° de l'article 7 précité ne peut trouver à s'appliquer en l'espèce.
En ce qui concerne le 5° de l'article 7, l'intérêt légitime du responsable de traitement doit être apprécié d'une part, en tant que tel, et d'autre part, au regard de l'intérêt de la personne concernée et de ses droits et libertés fondamentaux, auquel l'intérêt légitime du responsable de traitement ne saurait porter atteinte.
Sur le premier point, pour apprécier la légitimité de l'intérêt du responsable de traitement, il convient notamment de tenir compte de la proportionnalité du traitement de données au regard de ses finalités. 
En l'espèce, la société a fait valoir, pour justifier d'une combinaison des données de la soixantaine de services concernés, qu'elle souhaitait constituer un service unifié , et que la combinaison de données était ainsi potentiellement illimitée dans la mesure où elle envisageait de développer de nouveaux services pour les utilisateurs, sans qu'il soit possible à ce stade de déterminer les données qui seront nécessaires à leur mise en oeuvre. Elle considère ainsi que la combinaison illimitée de données est justifiée par la finalité de potentielles nouvelles utilisations.
Sur le second point, force est de constater qu'une telle combinaison de données est, par sa nature même, son ampleur et son caractère massif, susceptible de méconnaître l'intérêt des utilisateurs et leur droit fondamental au respect de leur vie privée.
Dès lors, l'intérêt économique et commercial de la société ne peut être regardé comme légitime que si le responsable de traitement met à disposition des utilisateurs de ses services, des moyens adéquats leur permettant de contrôler la combinaison de leurs données et d'exercer effectivement les droits qui leur sont reconnus par les articles 32 et 38 de la loi n° 78-17 du 6 janvier 1978 modifiée.
En l'état, X n'offre pas de tels outils permettant à l'utilisateur de faire obstacle à la combinaison illimitée de ses données personnelles, et, par suite, d'opposer son intérêt privé ou le respect de ses droits et libertés à l'intérêt du responsable de traitement. En effet, ainsi qu'il a été démontré, l'information portant sur les finalités pour lesquelles les données sont combinées est insuffisamment explicite et il n'existe pas de possibilité de s'opposer à la combinaison des données entre services. En outre, les données sont conservées, pour la plupart, pour une durée illimitée. Dans ces conditions, la combinaison de données potentiellement illimitée par X ne peut être regardée comme répondant à l'intérêt légitime de la société.
Il résulte de ce qui précède que la combinaison potentielle de toutes les données d'un utilisateur de différents services proposés par la société est dépourvue de base légale, faute, soit de faire l'objet d'un encadrement contractuel adéquat, soit de respecter, dans la recherche de son intérêt légitime en tant que responsable de traitement, l'intérêt et les droits et libertés des personnes concernées, en mettant à leur disposition des moyens leur permettant de maîtriser la combinaison des données les concernant et d'exercer leurs droits de manière effective.
Les faits précités constituent, par conséquent, un manquement à l'article 7 susvisé.
Sur l'obligation de procéder à une collecte et à un traitement loyal des données
Aux termes du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées et traitées de manière loyale et licite".
Tel que rappelé précédemment, la société traite les données des utilisateurs passifs se rendant sur des sites Internet tiers. Leurs données sont collectées d'une part, via les cookies [...] qui sont déposés sur ces sites, d'autre part, via les boutons "+1" ou tout autre service X présents sur la page visitée (ex : carte issue de [...]), quand bien même l'utilisateur ne cliquerait pas dessus. La seule présence de ce bouton ou de ce service sur une page Internet permet à la société de collecter des informations sur la personne telles que, notamment, son adresse IP et le site Internet visité. 
Or, les utilisateurs qui se rendent sur ces sites n'ont aucune information au sujet du traitement qui est réalisé par la société quant à leur navigation et quant à sa finalité. Ils n'en ont, d'ailleurs, aucune conscience puisque les sites qu'ils consultent n'appartiennent pas à l'environnement X.
Il s'agit, ainsi, d'un traitement de données à caractère personnel effectué à leur insu qui, au surplus, permet de révéler à la société des informations sur le comportement privé des personnes (sites Internet tiers visités).
Les faits précités constituent, par conséquent, un manquement aux obligations découlant du 1° de l'article 6 précité.
Sur l'obligation d'obtenir l'accord de la personne avant d'inscrire des informations dans son équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique
Aux termes du II de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée : "Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;- des moyens dont il dispose pour s'y opposer".
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. 
La société procède au dépôt et à la lecture de cookies dans l'équipement terminal de communications électroniques de l'utilisateur lorsque celui accède à un service de X en mode authentifié ou non authentifié (notamment cookies [...]), ou lorsque celui-ci accède, quel que soit son statut, à un site tiers utilisant les services d'analyse de fréquentation et les services publicitaires de X (notamment cookies [...] et ceux relevant du nom de domaine [...]).
En outre, lorsqu'un utilisateur se rend sur un site Internet tiers utilisant un service X (par exemple, l'affichage d'une carte issue de [...]) ou affichant un bouton "+1", la société en est informée via, notamment, les cookies [...].
Il ressort des dispositions précitées que, préalablement aux dépôts et à la lecture de ces cookies, l'utilisateur doit recevoir une information claire et complète sur leurs finalités et sur les moyens dont il dispose pour s'y opposer.
1) Sur l'information relative aux, finalités des cookies
L'information délivrée aux utilisateurs des services de X, s'agissant de ces cookies, figure dans la politique de confidentialité de la société, laquelle précise : "Lorsque vous accédez à un service de X, nous utilisons différentes technologies pour collecter et stocker des données par exemple en envoyant un ou plusieurs cookies ou identifiants anonymes sur votre appareil. (...) Nous utilisons les données fournies par les cookies (...) pour vous offrir un meilleur confort d'utilisation et améliorer la qualité globale de nos services (...). Nous utilisons les données fournies par les cookies et par les autres dispositifs similaires, comme les balises pixel, pour vous offrir un meilleur confort d'utilisation et améliorer la qualité globale de nos services. L'enregistrement de vos préférences linguistiques nous permet, par exemple, d'afficher nos services dans la langue que vous utilisez le plus souvent. Lorsque nous vous proposons des annonces personnalisées, nous n'associons aucun cookie ni identifiant anonyme à des données sensibles, comme la race, la religion, l'orientation sexuelle ou l'état de santé".
Cette information ne remplit pas les impératifs de clarté et de complétude exigés par l'article précité. Elle est difficilement accessible et impose à l'ensemble des utilisateurs, dont les utilisateurs passifs qui n'utilisent pas de services de X, de se rendre d'eux-mêmes sur les pages dédiées aux règles de confidentialité, sans qu'aucune incitation ne soit prévue sur les pages d'accueil des services ou des sites Internet tiers concernés. Plus encore, les mentions d'information ne précisent pas l'intégralité des finalités poursuivies par la société et se bornent à renseigner "l'objectif de confort d'utilisation et d'amélioration de la qualité globale de nos services". Pour exemple, la finalité liée aux mesures d'audience n'est pas indiquée.
En complément de l'information précitée se trouvant dans les règles de confidentialité, il existe une information supplémentaire en page d'accueil de certains services depuis avril 2013 (ex : [...]).
Cette mention, consistant en une bannière d'information, précise : "Les cookies contribuent aux services que nous vous proposons. En utilisant nos services, vous acceptez l'usage que nous faisons des cookies. OK En savoir plus. Le lien en savoir plus renvoie à une page d'information spécifique quant au fonctionnement des cookies et à leurs finalités".
Toutefois, même si l'information est renforcée par cette mention en page d'accueil de certains services, elle se contente d'indiquer une finalité particulièrement évasive s'agissant de la contribution aux services proposés.
2) Sur l'information relative aux moyens de s'opposer aux cookies
La société permet à ses utilisateurs, indirectement depuis les règles de confidentialité, et depuis la page à laquelle renvoie le lien précité en savoir plus de certains services, de s'opposer à la réception de publicité ciblée ("Gestionnaire de préférences pour les annonces").
Ainsi qu'il a été précédemment rappelé, ce gestionnaire permet de désactiver les publicités affichées sur les services X concernés ([...]) et sur les sites Internet tiers.
De plus, la société permet à ses utilisateurs de s'opposer au dépôt des cookies [...], via des modules spécifiques à télécharger (module complémentaire de navigateur pour la désactivation de [...] et plug-in de désactivation du cookie publicitaire [...]), qui ne sont toutefois pas accessibles sur tous les terminaux, tels que les plateformes mobiles.
Pour autant, il n'existe pas de possibilité pour l'utilisateur, quel que soit son statut, de s'opposer au dépôt de chacun des cookies suivants : [...], étant précisé que ce dernier peut être déposé lorsqu'un utilisateur visite une page Internet contenant un bouton "+1".
Plus encore, les pages "Gestionnaire de préférences pour les annonces" et celles permettant de s'opposer aux cookies [...] ne sont pas facilement accessibles, notamment pour les utilisateurs passifs, exigeant plusieurs renvois depuis les pages principales des règles de confidentialité ou encore une recherche ad hoc sur Internet.
3) Sur l'absence d'accord préalable de l'utilisateur au dépôt et/ou à la lecture de cookies
En l'espèce, l'information sur les finalités poursuivies par les cookies et sur les moyens de s'y opposer est lacunaire. De plus, la société procède aux dépôts des cookies susvisés dès lors que l'internaute se connecte à l'un de ses services ou aux sites Internet tiers utilisant les services publicitaires et de mesures d'audience.
Ainsi, l'utilisateur n'est pas en mesure d'exprimer valablement son accord.
Les faits précités constituent, par conséquent, un manquement au II de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui soumet notamment à l'information et à l'accord préalable de l'internaute, le dépôt et la lecture de cookies.
En conséquence, la société X, sise [...] est mise en demeure pour l'ensemble des traitements couverts par ses règles de confidentialité, sous un délai de trois mois à compter de la notification de la présente décision et sous réserve des mesures qu'elle aurait déjà pu adopter à la suite des échanges intervenus dans le cadre de la procédure, de :- Définir des finalités déterminées et explicites afin de permettre aux utilisateurs, quel que soit leur statut, d'appréhender concrètement les traitements portant sur leurs données à caractère personnel ;- Procéder à l'information des utilisateurs, quel que soit leur statut, en application des dispositions de l'article 32 précité, en particulier s'agissant des finalités poursuivies par le responsable des traitements mis en oeuvre ;- Définir une durée de conservation des données à caractère personnel traitées quin'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées ;- Ne pas procéder, sans base légale, à la combinaison potentiellement illimitée des données des utilisateurs, quel que soit leur statut ;- Procéder à une collecte et à un traitement loyal des données des utilisateurs passifs, en particulier s'agissant des données collectées via les cookies [...], les boutons +1 ou tout autre service X présents sur la page visitée ;- Informer les utilisateurs, quel que soit leur statut, puis obtenir leur accord préalable avant d'inscrire des informations dans leur équipement terminal de communications
électroniques ou d'accéder à celles-ci par voie de transmission électronique.
À l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l'inverse, si la société X ne s'est pas conformée à la présente mise en demeure pour l'ensemble des traitements couverts par ses règles de confidentialité, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente,
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 13 juin 2013 sous la présidence de Mme, Isabelle FALQUE-PIERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-président délégué, et M. Jean-Paul AMOUDRY, Vice-président ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78¬17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision n°2013-025 du 10 juin 2013 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 10 juin 2013, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 13 juin 2013.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements constatés et de l'atteinte consécutive aux intérêts et droits et libertés fondamentaux des personnes concernées s'agissant notamment de l'absence de détermination de finalités déterminées et explicites, de l'absence de consentement des internautes aux opérations de combinaison de données entre services, du caractère déloyal de la collecte et du traitement des données des utilisateurs passifs.
Le bureau estime également que la mesure de publicité se fonde sur le statut et la taille de l'organisme en cause, leader mondial sur le marché de la recherche d'information sur Internet et de la fourniture de services associés, et sur le nombre de personnes concernées par ses traitements (plusieurs millions d'utilisateurs sur le territoire national).
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2013-025 de la Présidente de la CN1L mettant en demeure la société X.
La Commission nationale de l'informatique et des libertés, Saisie par le ministère du travail, de l'emploi, de la formation  professionnelle et du dialogue social d'une demande d'avis concernant un  projet un projet de décret en Conseil d'Etat relatif à  l'interopérabilité du système d'information des prestations de services  internationales (SIPSI) et du système d'information de la carte  d'identification professionnelle des salariés du bâtiment et des travaux  publics (SI­ CIP) ainsi qu'à la dématérialisation de la déclaration  subsidiaire de détachement effectuée par les maîtres d'ouvrage et  donneurs d'ordre ; Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe  pour la protection des personnes à l'égard du traitement automatisé des  données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code du travail, notamment ses articles L. 1262-2 et suivants, R. 1263-1 et suivants, L. 8291-1 et suivants et R. 8291-1 et suivants ; Vu la  loi n° 2016-1088 du 8 août 2016  relative au travail, à la modernisation du dialogue social et à la  sécurisation des parcours professionnels, notamment son article 105 ; Vu la  loi n° 2015-990 du 6 août 2015 pour la croissance, l'activité, l'égalité des chances économiques, notamment son article 282 ; Vu la  loi n° 78-17
du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°), a) ; Vu le  décret n° 2016-1044 du 29 juillet 2016  relatif à la transmission dématérialisée des déclarations et  attestations de détachement de salariés et autorisant un traitement des  données à caractère personnel qui y figurent ; Vu le  décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la  délibération n° 2016-160 du 19 mai 2016  portant avis sur un projet de décret relatif à la mise en œuvre d'un  traitement de données à caractère personnel dénommé  SIPSI  ; Vu la délibération n° 2016-024 du 28 janvier 2016 de la Commission  nationale de l'informatique et des libertés portant avis sur un projet  de décret en Conseil d'Etat relatif au dispositif national de la carte  d'identification professionnelle des salariés du bâtiment et des travaux  publics ; Vu le dossier et ses compléments ; Sur la proposition de Mme Marie-France MAZARS, commissaire, et après  avoir entendu les observations de Mme Nacima BELKACEM, commissaire du  Gouvernement, Emet l'avis suivant : La commission a été saisie par le ministère du Travail, de l'Emploi,  de la Formation professionnelle et du Dialogue social d'une demande
d'avis concernant un projet un projet de décret en Conseil d'Etat  relatif à l'interopérabilité du système d'information des prestations de  services internationales (SIPSI) et du système d'information de la  carte d'identification professionnelle des salariés du bâtiment et des  travaux publics (SI-CIP) ainsi qu'à la dématérialisation de la  déclaration subsidiaire de détachement effectuée par les maîtres  d'ouvrage et donneurs d'ordre. Le présent projet de décret modifie les dispositions du  code du travail intégrées par le  décret n° 2016-1044 du 29 juillet 2016  relatif à la transmission dématérialisée des déclarations et  attestations de détachement de salariés et autorisant un traitement des  données à caractère personnel qui y figurent, d'une part, et par le  décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics, d'autre part. Sur les finalités : Le projet de décret vise à développer une interopérabilité entre le  fichier SIPSI, relatif au traitement automatisé des déclarations de  détachement de travailleurs sur le territoire national effectuées par  des entreprises établies à l'étranger dans le cadre de prestations de  services internationales, et le fichier SI-CIP, relatif au traitement  automatisé de la carte d'identification professionnelle des salariés du  bâtiment et des travaux publics (BTP). Cette interopérabilité s'inscrit dans une optique de renforcement de  la lutte contre