AgentPublic/cnil huggingface dataset:
dispositions des articles 26-1 (2°) et 30 de la même loi, faire l'objet d'un arrêté pris après avis motivé et publié de la commission.A titre liminaire, la commission relève le caractère très large des signalements qui peuvent être transmis, via le système PHAROS, à l'OCLCTIC. Créée à l'origine pour lutter contre la pédopornographie sur internet, la plate-forme PHAROS a en effet par la suite été élargie à d'autres crimes et délits, de sorte que les informations enregistrées dans le traitement peuvent être communiquées à des destinataires nombreux et divers. La commission observe dès lors avec prudence les évolutions successives du dispositif.Sur l'ajout de nouveaux personnels accédant directement au traitement PHAROS :L'article 5 de l'arrêté du 16 juin 2009 susvisé prévoit que seuls les agents de l'OCLCTIC, individuellement désignés et spécialement habilités par le chef de l'office ou, le cas échéant, par un agent ayant reçu délégation à cet effet, accèdent directement aux données enregistrées dans le traitement PHAROS.Ainsi, l'OCLCTIC est très régulièrement interrogé par les agents des services territoriaux de la police et de la gendarmerie dans le cadre de leurs enquêtes, puisqu'ils n'ont eux-mêmes pas accès aux données enregistrées dans PHAROS. Actuellement, l'OCLCTIC répond individuellement à chacune de ces sollicitations, ce qui a pour effet d'alourdir la charge de travail des analystes de la plate-forme PHAROS, mais également de contribuer à dissuader certains services
de procéder aux recherches utiles à leurs affaires.L'article 1er du projet d'arrêté vise à remédier à cette lourdeur, en permettant aux agents des services territoriaux de la direction générale de la police nationale (DGPN), de la direction générale de la gendarmerie nationale (DGGN) et de la préfecture de police de Paris, à raison de leurs attributions et dans la limite du besoin d'en connaître, d'accéder directement au traitement.La commission relève que cette modification permettra d'améliorer l'efficacité du dispositif, d'une part, en déchargeant les agents de l'OCLCTIC du traitement des sollicitations des services territoriaux et, d'autre part, en accordant un accès plus systématique par les services territoriaux aux données qui peuvent leur être utiles dans le cadre de leurs enquêtes. Elle prend acte que l'accès des agents de ces services territoriaux se fera par le portail CHEOPS, sur lequel la commission s'est déjà prononcée.Les modifications envisagées visent également à permettre à certains agents relevant du ministère de l'économie et des finances d'accéder directement au traitement PHAROS. Il s'agit, à raison de leurs attributions et dans la limite du besoin d'en connaître, des agents de la direction générale des douanes et des droits indirects (DGDDI), de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et de la direction des finances publiques (DGFIP).S'agissant de la DGCCRF et de la DGDDI, la commission
constate qu'il s'agit en réalité de la régularisation d'une situation existante, puisque ces deux directions sont, en pratique, déjà destinataires de signalements issus de PHAROS de la part de l'OCLCTIC, alors même que l'arrêté du 16 juin 2009 ne le permet pas. Il s'agit principalement de signalements relatifs à la contrefaçon de cigarettes ou aux infractions au code de la consommation.S'agissant de la DGFIP, il s'agit de lui communiquer les signalements portant sur des sites qui se livrent à des activités commerciales laissant penser que les revenus engendrés par ces activités ne sont pas déclarés.Les agents habilités de ces directions du ministère de l'économie et des finances auront accès à PHAROS par le biais de la passerelle interministérielle ADER, en s'y connectant avec le système d'authentification propre à leur ministère.Elle relève qu'il est expressément prévu dans le projet d'arrêté que ces nouveaux personnels n'auront accès directement aux données enregistrées dans le traitement PHAROS qu'à  raison de leurs attributions et dans la limite du besoin d'en connaître  et que ces agents seront en outre  individuellement désignés et spécialement habilités par leur supérieur hiérarchique .Si la commission prend acte des objectifs de rationalisation opérationnelle et de meilleure efficacité du dispositif, elle relève que ces nouveaux accédants sont nombreux et invite les ministères concernés à faire preuve de vigilance dans l'attribution des habilitations à accéder au
traitement PHAROS.Sur l'ajout de nouveaux destinataires :L'article 5 de l'arrêté du 16 juin 2009 prévoit que les agents et militaires, individuellement désignés et spécialement habilités par leur autorité hiérarchique, des services compétents de la police ou de la gendarmerie nationales, peuvent être destinataires des données enregistrées dans PHAROS. Il prévoit également que ces données peuvent être communiquées à des services homologues ou des services de police d'un Etat étranger lorsque cet Etat assure à la vie privée, aux libertés publiques et aux droits fondamentaux des personnes à l'égard des traitements de données à caractère personnel un niveau de protection suffisant au sens de l' article 68 de la loi du 6 janvier 1978 modifiée.Le projet d'arrêté prévoit d'ajouter à la liste des destinataires du traitement  les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique , à savoir les fournisseurs d'accès à internet et les hébergeurs.L'article 4 de la loi du 14 mars 2011 susvisée introduit à l'article 6-1-7 de la loi du 21 juin 2004 susvisée (LCEN), a institué un dispositif de blocage de l'accès aux sites internet pédopornographiques, les fournisseurs d'accès à internet ayant obligation d'empêcher, sans délai, l'accès à de tels contenus. La mise en œuvre de ce mécanisme de blocage est déclenchée par la notification des adresses électroniques des contenus illicites que le ministère de l'intérieur
adresse aux fournisseurs d'accès à internet. A ce titre, l'OCLCTIC établit une  liste noire , notamment à partir des signalements reçus dans le cadre du système PHAROS, des adresses électroniques à bloquer afin de la leur communiquer.Dans ces conditions, l'ajout des fournisseurs d'accès à internet à la liste des destinataires du traitement n'appelle pas d'observation particulière. Néanmoins, la loi du 14 mars 2011 susvisée prévoit que cette obligation de blocage des sites pédopornographiques entre en vigueur six mois à compter de la publication d'un décret et, au plus tard, à l'expiration d'un délai d'un an à compter de la publication de ladite loi. Or, ce décret, qui doit notamment préciser les modalités du blocage administratif et de la compensation financière allouée aux fournisseurs d'accès, n'a à ce jour pas été publié. Si la commission prend acte qu'il est en cours d'élaboration, elle s'interroge, en l'absence de ce décret, sur l'effectivité réelle de la modification envisagée et sur le calendrier de sa mise en œuvre.Elle rappelle en outre que l'article 6-I-7 de la LCEN ne permet à l'autorité administrative, en l'espèce l'OCLCTIC, de transmettre la  liste noire  des sites à bloquer qu'aux seuls fournisseurs d'accès à internet. Ainsi, les hébergeurs ne peuvent en aucun cas être destinataires de cette liste.Les hébergeurs pourront cependant être destinataires de certaines données enregistrées dans le traitement PHAROS, sur le fondement de l'article 6-1-3 de la LCEN, qui
prévoit que lorsqu'ils sont informés de contenus illicites ils doivent retirer ce contenu dans les conditions prévues à l' article 6-1 de la LCEN. La communication de ces seuls contenus leur permettra ainsi de se mettre en conformité avec les obligations prévues par la LCEN.La commission a proposé au ministère de distinguer, dans l'acte réglementaire, la communication de cette  liste noire  aux FAI des éventuelles sollicitations ponctuelles réalisées auprès des hébergeurs. Le ministère a toutefois indiqué que le projet d'arrêté prévoit que les destinataires ne peuvent recevoir communication des données enregistrées dans le traitement qu'à  raison de leurs attributions et dans la limite du besoin d'en connaître . Par conséquent, la commission prend acte de la position du ministère selon laquelle cette rédaction ne rend pas nécessaire de compléter le texte réglementaire en précisant pour chaque destinataire, notamment les FAI et les hébergeurs, la nature des données qui peuvent lui être communiquées.Il ressort en outre du dossier transmis à la commission que les informations relatives aux adresses électroniques permettant aux délinquants de correspondre sur internet pourront être communiquées aux opérateurs en vue de leur signaler qu'il est fait un usage illégal de leurs services de messageries électroniques gratuites, au titre de la prévention des escroqueries sur internet. Or, le projet d'arrêté ne prévoit pas les opérateurs de communications électroniques, au sens de
l'article L. 32 (15°) du code des postes et des communications électroniques, comme destinataires de données enregistrées dans PHAROS. Aussi, elle prend acte de l'engagement du ministère de modifier le projet d'arrêté afin de mentionner les opérateurs de communications électroniques au sens de l'article L. 32 (15°) au titre des destinataires.Enfin, il est prévu que les agents de l'Union de recouvrement des cotisations de sécurité sociale et d'allocations familiales (URSSAF) soient destinataires de données enregistrées dans le traitement, dans le cadre de la lutte contre les fraudes sur internet. Dans la mesure où le dispositif PHAROS permet de signaler, conformément à l'article 1er de l'arrêté du 16 juin 2009, tous  sites ou contenus contraires aux lois et règlements diffusés sur internet , I'OCLCTIC peut effectivement être amené à recevoir des signalements concernant, par exemple, des sites internet et des petites annonces qui révèlent des dissimulations d'activité ou d'emploi salarié. Par conséquent, cette modification n'appelle pas d'observation particulière de la part de la commission.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de leurs données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n°2013-025 du 13 juin 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X ;
Vu la délibération du bureau de la Commission nationale de l'informatique et des libertés n°2013-174 du 13 juin 2013 décidant de rendre publique la décision n°2013-025 du 13 juin 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X ; 
Vu la décision de la Présidente du 1er octobre 2013 désignant M. Jean MASSOT, Commissaire, membre de la CNIL, en qualité de rapporteur ; 
Vu le rapport de M. Jean MASSOT, commissaire rapporteur, notifié à la société X par courrier recommandé avec accusé de réception en date du 11 octobre 2013 ; 
Vu les observations en réponse de cette dernière, en date du 13 décembre 2013 ; 
Vu la décision de la Présidente de la formation restreinte de restreindre la publicité de l'audience conformément à la demande de la société, notifiée par courrier adressé aux conseils de celle-ci le 29 octobre 2013 ; 
Vu la décision du Secrétaire général de la Commission en date du 11 décembre 2013 désignant les agents de la Commission devant être présents à l'audience de la formation restreinte ; 
Vu les autres pièces du dossier ; 
Après avoir entendu, lors de sa réunion du jeudi 19 décembre 2013 : - M. Jean MASSOT, Commissaire, en son rapport ;
- ... ; (représentants de la société et de leurs conseils) 
M. Jean-Alexandre SILVY, Commissaire du Gouvernement, n'ayant pas formulé d'observations ; 
Les représentants de la société mise en cause ayant pris la parole en dernier ;
Le rapporteur, le Secrétaire général et les représentants des services de la Commission, le commissaire du Gouvernement et les représentants de la société s'étant retirés ; 
Après en avoir délibéré, a adopté la décision dont la teneur suit : 
I. RAPPEL DES FAITS
Le 24 janvier 2012, la société X (ci-après X ou la société) établie aux [...] à l'adresse [...], a annoncé son projet de fusionner une soixantaine de règles de confidentialité applicables à autant de ses services dans un seul document intitulé règles de confidentialité ou politique de confidentialité. La société a indiqué son intention de mettre en ligne ces nouvelles règles au 1er mars 2012. 
A cette annonce, le groupe de coordination des autorités européennes de protection des données dit groupe de l'article 29 ou G29 a pris la décision d'apprécier les conséquences de ce projet sur la protection des données personnelles des citoyens de l'Union européenne au regard des dispositions de la directive 95/46/CE. Au cœur de ses préoccupations figurait la détermination de l'impact de ce projet de nouvelles règles quant à la combinaison des données que la société collecte sur ses utilisateurs. 
A cet effet, le G29 a décidé de la création d'un groupe de travail ad hoc et confié à l'autorité française de protection des données (la CNIL ou la Commission) le soin de mener les discussions avec X dans le cadre de ces travaux.
Le 2 février 2012, le G29 a informé la société de cette décision en lui demandant de suspendre ce projet de fusion dans l'attente de ses conclusions, ce que celle-ci a refusé. De nombreux échanges sont intervenus, notamment dans le cadre de deux questionnaires, envoyés à la société les 16 mars et 22 mai 2012. 
A l'issue de ces discussions, le G29 a considéré que la société ne se conformait pas aux exigences de la directive 95/4/CE. Un courrier signé des 27 autorités composant le G29 a donc été adressé en ce sens à la société le 16 octobre 2012, formulant des recommandations pratiques visant à guider la société vers une mise en conformité. Le 21 novembre 2012, la CNIL a, au nom du G29, invité la société à se mettre en conformité avec les recommandations du G29 avant le 15 février 2013. 
A l'issue d'échanges complémentaires, la société a rencontré, dans les locaux de la CNIL, des représentants de la taskforce constituée par les autorités de protection des données à caractère personnel britannique, espagnole, française, néerlandaise, italienne et du Land de Hambourg. Par un courrier du 26 mars 2013, la société s'est engagée à mettre en œuvre de nouvelles mesures pour améliorer la protection des données de ses utilisateurs.
Prenant acte de l'analyse du G29 et de ses conclusions, et considérant que les propositions de X n'étaient pas de nature à assurer une mise en conformité au cadre législatif français, la Présidente de la Commission, par décision en date du 29 mars 2013, a décidé d'ouvrir une procédure de contrôle sur le fondement de l'article 44 de la loi n°78-17 du 6 janvier 1978 modifiée et chargé le Secrétaire Général de la Commission de faire procéder aux vérifications correspondantes. 
A l'issue de celles-ci, la Présidente a estimé que la société contrevenait à plusieurs dispositions de la loi n°78-17 du 6 janvier 1978 modifiée. Elle l'a donc mise en demeure, le 10 juin 2013, de prendre un certain nombre de mesures afin de se conformer à ces dispositions dans un délai de trois mois. 
Conformément à l'article 46 alinéa 2 de la loi, la Présidente a demandé au bureau de la Commission de se prononcer sur l'opportunité de rendre cette décision de mise en demeure publique.
Le 13 juin 2013, le bureau, régulièrement composé de la Présidente et des deux Vice-présidents de la Commission conformément aux dispositions de l'article 13-I de la loi, a ordonné la mesure de publicité sur le fondement de la gravité des manquements constatés et de l'atteinte consécutive aux droits fondamentaux des personnes concernées, en tenant également compte du statut et de la taille de l'organisme en cause, leader mondial sur le marché de la recherche d'information sur Internet et de la fourniture de services associés, et, par suite, du nombre de personnes concernées par ses traitements (plusieurs millions sur le territoire national).
Dans sa réponse à la mise en demeure, la société a soutenu que la loi française, en l'occurrence la loi du 6 janvier 1978 modifiée, n'était pas applicable aux traitements en cause et que la CNIL n'était donc pas compétente pour engager une procédure répressive dans cette affaire ; elle a par ailleurs contesté chacun des manquements qui lui étaient reprochés. 
Sur la base de cette réponse, la Présidente de la Commission a désigné M. Jean MASSOT, membre de la CNIL, en qualité de rapporteur, afin qu'une procédure soit engagée contre la société sur le fondement du 1° du I de l'article 45 de la loi du 6 janvier 1978 modifiée, qui dispose :
I. - La Commission nationale de l'informatique et des libertés peut (...) mettre en demeure le responsable de faire cesser le manquement constaté dans un délai qu'elle fixe.
Si le responsable d'un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : 
1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'État ; (...). 
A l'issue de son instruction, le rapporteur a notifié à la société un rapport demandant à la formation restreinte de la CNIL de prononcer à son encontre une sanction pécuniaire de 150 000 €, dont il demandait par ailleurs qu'elle soit rendue publique. Ce rapport a été notifié par courrier en date du 11 octobre 2013, reçu le 14 octobre 2013, dont copie a également été notifiée à la société Y par courrier en date du 11 octobre 2013, reçu le 14 octobre 2013. 
A l'appui de sa proposition, le rapporteur a considéré que la société n'avait pas satisfait à la mise en demeure prononcée par la Présidente de la CNIL, et qu'elle était responsable de plusieurs manquements à la loi du 6 janvier 1978 modifiée.
Le courrier de notification qui accompagnait le rapport informait par ailleurs la société que son dossier était inscrit à l'ordre du jour de la formation restreinte du jeudi 19 décembre 2013 à 14h30. La société a fait part de ses observations écrites sur le rapport par un courrier de ses conseils, en date du 13 décembre 2013. Lors de la séance de la formation restreinte de la CNIL du jeudi 19 décembre 2013, elle a en outre réitéré oralement ses observations en défense. La société a pour l'essentiel conclu à l'inapplicabilité de la loi du 6 janvier 1978 modifiée aux faits de l'espèce et à l'incompétence de la CNIL pour la mettre en demeure et initier à son encontre une procédure de sanction. Sans remettre en cause la matérialité des faits constatés, elle a par ailleurs contesté que l'ensemble des données qu'elle traite soient des données à caractère personnel au sens de la loi, ainsi que l'ensemble des manquements lui ayant été reprochés sur le fond. 
Au vu du rapport et des éléments de l'instruction, des écritures de la société et des observations orales ayant été formulées à l'audience, la formation restreinte a adopté la décision dont la teneur suit : 
II. MOTIFS DE LA DÉCISION
1. Sur la contestation de la société quant à l'applicabilité de la loi n°78-17 du 6 janvier 1978 modifiée et à la compétence de la CNIL
L'article 5 de la loi n°78-17 du 6 janvier 1978 modifiée soumet à l'application de la loi n°78-17 du 6 janvier 1978 modifiée les traitements de données à caractère personnel :
- 1°) Dont le responsable est établi sur le territoire français. Le responsable d'un traitement qui exerce une activité sur le territoire français dans le cadre d'une installation, quelle que soit sa forme juridique, y est considéré comme établi ;
- 2°) Dont le responsable, sans être établi sur le territoire français ou sur celui d'un autre Etat membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur ce territoire ou sur celui d'un autre Etat membre de la Communauté européenne. 
Dans ses écritures comme en séance, la société X conteste que la loi n°78-17 du 6 janvier 1978 modifiée lui soit applicable. Elle soutient que les traitements mis en œuvre dans le cadre de la politique de confidentialité litigieuse relèvent de sa seule et unique responsabilité et que les conditions d'applicabilité de la loi définies par cet article ne sont pas constituées.
La société soutient que les services auxquels ont recours les utilisateurs installés sur le territoire français sont exclusivement fournis par la société X établie aux [...]. Elle soutient que la société Y n'exerce aucune activité effective dans le cadre de laquelle X traite des données personnelles ; elle ne saurait donc constituer un établissement au sens de l'article 5-I-1°) de la loi. Elle soutient également que, dans cette hypothèse, elle ne recourt pas à des moyens de traitements situés en France. 
a) Sur la notion d'établissement
La formation restreinte relève tout d'abord que la société Y participe de manière effective à des activités liées aux traitements de données relatives aux utilisateurs de ses services. 
Elle relève à cet égard que l'activité de publicité en ligne, qui constitue une contrepartie à la mise à disposition gratuite par la société de ses services aux utilisateurs, et qui génère la majeure partie de ses revenus, est indissociable du traitement des données des utilisateurs. En effet, c'est précisément grâce à la quantité considérable de données dont elle dispose sur eux qu'elle peut garantir aux annonceurs des prestations de ciblage publicitaire d'une grande précision, au plus proche des centres d'intérêt des personnes.
La formation restreinte relève à cet égard que parmi les activités de la société Y déclarées en 2003 au Registre du commerce et des sociétés figurent notamment l'intermédiation en matière de vente de publicité en ligne, la promotion sous toutes ses formes de la publicité en ligne et la promotion directe de produits et services et la mise en œuvre de centres de traitement de l'information. 
C'est à l'aune de l'importance que revêtent ces activités localisées en France que la société Y peut être regardée comme un établissement au sens de l'article 5 de la loi n°78-17 du 6 janvier 1978 modifiée, pour les traitements ayant pour finalité la publicité. La circonstance que les opérations techniques de traitement des données aient lieu hors de France, en l'occurrence aux Etats-Unis, est sans incidence sur cette qualification. 
b) Sur la notion de moyen de traitement
En tout état de cause, si l'on considère, comme le soutient la société, que seule la société X est responsable de traitement, sans que ses autres établissements participent au traitement, la formation restreinte considère que la loi du 6 janvier 1978 est applicable, dès lors que la société X recourt à des moyens de traitement sur le territoire national. 
La société soutient qu'elle n'a pas recours à des moyens de traitement sur le territoire français.