AgentPublic/cnil huggingface dataset:
En l’espèce, la délégation a constaté à l’occasion du contrôle sur place que les personnes sont amenées à valider l’autorisation système de collecter leurs données de géolocalisation uniquement pour l’utilisation globale de l’application mobile téléchargée.
À titre d’exemple, s’agissant de l’application mobile […] , sur le système d’exploitation iOS, une fenêtre contextuelle est présentée aux personnes au moment de l’installation de celle-ci de donner son accord à la collecte de données relatives à votre expérience, votre navigation et votre géolocalisation pour optimiser votre expérience utilisateur, analyser votre trafic et vous proposer des contenus plus pertinent .
De la même manière, au moment où l’application demande l’autorisation de collecter les données relatives à la position du téléphone, le message d’autorisation indique que l’application collecte des données relatives à la géolocalisation afin de vous proposer des contenus plus pertinents. Par exemple, dans le cadre de l’offre la pépite , afin qu’elle soit mieux ciblée ou lors de la recherche afin de vous proposer des recettes de votre région ou de la région que vous visitez. Ces données peuvent également être partagées avec nos partenaires (y compris nos partenaires publicitaires) pour vous proposer des contenus promotionnels moins intrusifs, plus adaptés.
Le fait de présenter l’ensemble des finalités en offrant seulement à l’utilisateur la possibilité d’accepter en bloc ne permet pas de donner un consentement spécifique pour l’utilisation du SDK. Le consentement donné pour l’utilisation des données de géolocalisation, par exemple, afin d’accéder à l’ensemble des fonctionnalités proposées par l’application entraînera nécessairement l’acceptation de la collecte et de l’utilisation des données à des fins publicitaires.
La fenêtre contextuelle proposée par la société à ses partenaires précise notamment que les finalités du traitement sont de optimiser votre expérience utilisateur en vous proposant notamment des contenus plus pertinents et de mieux adapter la publicité que vous pourriez recevoir à vos centre d’intérêt .
Les deux finalités ne font pas l’objet d’un recueil de consentement spécifique, l’accord donné pour l’une des finalités entraînant nécessairement l’accord pour l’autre finalité.
Au regard de ces éléments, les utilisateurs des applications mobiles partenaires ne consentent donc pas spécifiquement au traitement de leurs données de géolocalisation à des fins de profilage et de ciblage publicitaire.
Il résulte de tout ce qui précède que le consentement des personnes n’est pas valablement recueilli.
Les faits précités sont donc constitutifs d’un manquement aux dispositions de l’article 6 du Règlement général sur la protection des données.
En dernier lieu, le consentement doit être univoque.
Les lignes directrices WP 259 sur le consentement adoptées le 28 novembre 2017 retiennent que le consentement ne constitue une base juridique appropriée que si la personne concernée dispose d’un contrôle et d’un choix réel concernant l’acceptation ou le refus des conditions proposées .
La fenêtre contextuelle précitée offre à l’utilisateur deux onglets cliquables : j’accepte ou plus tard . Aucune de ces options ne lui propose clairement de refuser la collecte et le traitement de ses données à caractère personnel.
Dès lors, le consentement donné n'est pas univoque.
Un manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement
En premier lieu, la délégation a été informée que le SDK installé dans les applications mobiles collecte les données de géolocalisation des utilisateurs environ toutes les cinq minutes sur les applications mobiles sur le système ANDROID et tous les 200 mètres pour les applications mobiles sur le système iOS. Ces données sont conservées dans la base de données […] pendant treize mois puis purgées.
Une fois croisées avec les POIs recensés, les données de géolocalisation pertinentes sont ensuite intégrées dans la table intitulée visit de la base de donnée de la société et sont utilisées par la suite à des fins publicitaires. La délégation a constaté que les identifiants publicitaires des ordiphones sur lesquels la publicité ciblée est effectuée sont également conservés pendant treize mois dans de la table intitulée devices de la base de données.
Or, la conservation par la société de toutes les données de géolocalisation des utilisateurs au-delà du temps nécessaire à la réalisation de l’opération de correspondance entre les données collectées et les zones géographiques POIs (au sein desquelles la société effectue des campagnes marketing) est excessive au regard de la finalité de ciblage publicitaire du traitement.
Lors du contrôle, la société a justifié la durée de conservation de treize mois des données de géolocalisation par le besoin de disposer d’une saisonnalité des déplacements des personnes.
La société ne peut justifier la conservation de l’intégralité des données de géolocalisation des personnes, durant treize mois, au motif d’établir uniquement un comparatif de ces données et les lieux visités par les personnes. La conservation de telles informations constitue un risque d’atteinte à la vie privée des personnes concernées.
En effet, la Commission considère que l’utilisation des dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes, aussi bien dans l’espace public que dans des lieux privés. Ainsi, la CNIL estime que les données de géolocalisation ne peuvent être conservées que pour une durée strictement proportionnée à la finalité du traitement qui a justifié cette géolocalisation.
Dès lors, quand bien même les conditions seraient réunies pour considérer que le traitement mis en œuvre dispose d’une base légale, la durée de conservation de treize mois de telles données est excessive au regard de sa finalité de profilage et de ciblage publicitaire.
En second lieu, la délégation a été informée que la table dénommée idfa_identified présente dans la base de données de la société, contient les données relatives aux profils de personnes. Ce profil est constitué à partir des données collectées précédemment et des déplacements et visites effectuées par les individus.
La délégation a constaté la présence dans cette table, de données associant l’identifiant publicitaire d’une personne à des catégories permettant un profilage (par exemple beauty , fashion , deco ).
Or, la délégation a été informée que cette table n’était plus utilisée depuis le mois de janvier 2018 car elle correspondait à un projet désormais terminé avec un client.
Ces faits constituent un manquement aux dispositions de l’article 5-1 e) du Règlement général sur la protection des données qui prévoit que les données sont […] conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées .
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du Code pénal combinés le fait, pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1 500 000 €.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
En premier lieu, la délégation a constaté que le compte administrateur permettant d’accéder à la base de données […] utilise un mot de passe de 16 caractères composé uniquement de trois types caractères différents (majuscules, minuscules et chiffres).
La charte d’utilisation des systèmes d’information en date du 28 mai 2018 de la société préconise également de choisir des mots de passe quand cela est possible d’au moins 10 caractères comprenant au moins des majuscules, minuscules, chiffres et caractères spéciaux .
En second lieu, la délégation a été informée que les équipes de développement de la société font des tests de développement en utilisant les données présentes dans la base de données de production correspondant à des données à caractère personnel réelles.
Or, utiliser des données à caractère personnel réelles pour les phases de développement et de test présente un risque pour celles-ci, notamment en cas de perte, de modification non autorisée, d’erreur ou d’accès par des personnes non autorisées. En particulier, il est rappelé que les équipes de développement et de tests n’ont pas nécessairement à connaître des données issues de la base de données de production et que, dans l’hypothèse où des données réelles seraient néanmoins requises, celles-ci devraient être anonymisées.
Ces faits constituent un manquement aux dispositions de l’article 32-1 b) du Règlement général sur la protection des données qui dispose que le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : […]des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.
Il est rappelé qu’en application des articles 121-2, 131-37, 131-38 et 226-17 du Code pénal combiné le fait, pour une personne morale, de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une amende de 1 500 000 euros.
En conséquence, la société X, sise […] est mise en demeure sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier recueillir, de manière effective, le consentement préalable des utilisateurs des applications éditées par les partenaires de la société X au traitement de leurs données par cette dernière (par exemple par la mise en place d’un pop-up contenant une information et une case à cocher dédiées ou un bouton de refus) et à défaut, supprimer lesdites données collectées ;
sous réserve de base légale du traitement, définir et mettre en œuvre une politique de durée de conservation des données raisonnable, en particulier :
supprimer les données de géolocalisation des utilisateurs collectées en dehors des zones de POIs une fois la correspondance entre les données de géolocalisation et les zones de POIS effectuée ;
définir une durée de conservation des données de géolocalisation proportionnée à la finalité du traitement et procéder à la purge ou, le cas échéant, à l’anonymisation des données anciennes ;
prendre toute mesure nécessaire pour garantir la sécurité des données à caractère personnel des utilisateurs, notamment en mettant en place une politique contraignante relative aux mots de passe utilisés par les comptes accédant aux bases de données ou aux plateformes d’administration de ces bases, respectant l’une des modalités suivantes :
les mots de passe sont composés d’au minimum 12 caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
les mots de passe sont composés d’au moins 8 caractères, contenant 3 des 4 catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme par exemple la temporisation d’accès au compte après plusieurs échecs, (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum 10).
un stockage des mots de passe sous une forme hachée (par exemple, à l’aide de l’algorithme SHA256 avec l’utilisation d’un sel) ;
en mettant en place une politique de séparation entre les environnements de tests de développement (ou de recette) et les environnements de production ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
[1] Personne qui navigue sur Internet à partir d’un appareil mobile.
[2] Kit de développement logiciel.
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 18 octobre 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Siégeaient, outre la présidente de la Commission, Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Éric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2018-043 du 8 octobre 2018 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 8 octobre 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi, notamment celui relatif à l’obligation de recueillir le consentement des personnes au traitement de leurs données de géolocalisation à des fins de profilage et ciblage publicitaire.
En application de l’article 45-II dernier alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 18 octobre 2018.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par les caractéristiques des manquements.
La société X s’appuie sur une technologie dénommée SDK afin de collecter des données à caractère personnel via les smartphones et d’effectuer des campagnes publicitaires mobiles auprès des personnes.
À l’occasion de ses investigations, la CNIL a notamment constaté que la société collecte des données de géolocalisation sans recueillir le consentement des personnes. Un tel traitement constitue un risque particulier au regard de la vie privée en ce qu’il est révélateur des déplacements des personnes et de leurs habitudes de vie.
Le bureau souligne que la publicité se justifie également par le nombre massif de personnes susceptibles d’être impactées par le traitement mis en œuvre par la société X alors que le SDK est intégré à des dizaines d’applications mobiles et qu’une partie importante de la population est en possession d’un smartphone. À cet égard, le bureau relève que le SDK installé sur les applications collecte les données de géolocalisation des personnes environ toutes les cinq minutes et qu’il a été constaté par la délégation de la CNIL que 5 529 383 identifiants publicitaires avaient été collectées par la société.
Le bureau estime par ailleurs que la publicité de la mise en demeure se fonde sur la nécessité de mettre les personnes concernées en mesure de garder le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la collecte des données, notamment de géolocalisation, et la finalité du traitement mis en œuvre par la société X.
Enfin, le bureau souhaite sensibiliser les professionnels du secteur sur cette difficulté alors que la collecte de données à caractère personnel à des fins de profilage et de ciblage publicitaire, notamment à partir des lieux fréquentés par les personnes, connaît une forte croissance. Le bureau note, en effet, que l’utilisation du SDK s’inscrit dans un écosystème faisant intervenir plusieurs acteurs, à savoir les éditeurs d’applications mobiles et les clients annonceurs, qu’il est essentiel d’alerter sur les enjeux de la protection des données.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2018-043 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Isabelle FALQUE-PIERROTIN
La Président
PAR PORTEUR
Paris, le 24 octobre 2018
Références à rappeler dans toute correspondance : 
N/Réf. : [...]
 
Monsieur le Directeur Général,
Je fais suite à la décision n° MED-2018-007 du 5 mars 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-277C.
En outre, comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet Legifrance et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Les services de la Commission [...] se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Directeur Général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu le Code pénal ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
Vu la décision n° 2018-030C du 2 février 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de X.
 
Vu les procès-verbaux de contrôle n° 2018-030/1 du 12 février 2018 et 2018-030/2 du 13 février 2018;
Vu les autres pièces du dossier ;
 
Les faits constatés
X (ci-après l’association ), sise […], est une association à but non lucratif qui a créée l’école Y en 2013 (ci-après l’école ). L’école, qui emploie 33 salariés, a vocation à former des étudiants dans le domaine de l’informatique. Environ 800 étudiants y sont inscrits chaque année. […]. Aucun cours n’est dispensé par des enseignants, les étudiants créent des projets puis se corrigent entre eux. Des intervenants extérieurs sont ponctuellement amenés à intervenir auprès des étudiants.
 
En application de la décision n° 2018-030C du 2 février 2018 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place auprès de l’association les 12 et 13 février 2018. La mission a notamment eu pour objet de vérifier la conformité à la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après Loi informatique et libertés ou Loi du 6 janvier 1978 modifiée ) de l’ensemble des traitements de données à caractère personnel mis en œuvre par l’association.
 
En ce qui concerne le dispositif de vidéosurveillance au sein de l’établissement
L’association a indiqué qu’elle avait mis en place un système de vidéosurveillance comportant 60 caméras à des fins de protection des biens et des personnes. La délégation a constaté que parmi les caméras installées, certaines permettent de visualiser les espaces de travail où sont installés les postes informatiques à disposition des étudiants, l’intérieur d’un amphithéâtre, des espaces de pause, une entrée desservant les sanitaires, ainsi que les postes de travail de plusieurs membres du personnel administratif.
L’association a indiqué que le personnel administratif et les agents de sécurité ont accès à l’ensemble des images issues du dispositif et que les étudiants ont seulement accès en temps réel aux images issues des caméras visualisant les lieux qui leur sont accessibles. Il a été précisé à la délégation que le personnel et les étudiants sont informés du dispositif par le biais d’une mention dans le règlement intérieur et que les personnes extérieures sont informées grâce à des autocollants apposés sur les portes d’entrée de l’école. La délégation a enfin été informée que les postes de travail des agents de sécurité qui ont accès au dispositif de vidéosurveillance est protégé par un mot de passe composé de 5 caractère alphanumériques.
En ce qui concerne la gestion administrative des étudiants