AgentPublic/cnil huggingface dataset:
La société a précisé procéder de manière manuelle et ponctuelle à la suppression d’adresses électroniques et mots de passe associés à un compte afin de libérer l’utilisation de pseudonymes.
Par ailleurs, les CGU du site […] précisent que la fin d’un abonnement ne génère pas nécessairement la suppression du compte si le membre n’en fait pas expressément la demande et choisit de rester visiteur . Il est également indiqué que seule la suppression du compte entraîne l'effacement des données qui y sont rattachées.
Toutefois il appartient à la société, même en dehors de toute demande de la part de ses utilisateurs ou membres, de déterminer des durées de conservation des données qui soient adaptées à la finalité poursuivie par son traitement.
En second lieu, la délégation a constaté sur place que les données enregistrées dans certains cookies déposés par le site sont accessibles pendant une durée excessive par rapport aux finalités poursuivies, la durée de conservation la plus longue constatée pour un cookie à finalité publicitaire étant de 10 ans.
A cet égard, la CNIL a adopté la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs. Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer les responsables de traitement sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
Elle précise que les Cookies doivent (…) avoir une durée de vie limitée à treize mois après leur premier dépôt dans l’équipement terminal de l’utilisateur (faisant suite à l’expression du consentement) et leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site .
L’ensemble de ces faits constitue un manquement aux obligations découlant du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’informer et d’obtenir l’accord préalable des personnes concernées avant d’inscrire des informations (cookies) sur leur équipement terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies)
L’article 32-II de la loi du 6 janvier 1978 modifiée dispose que Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement;
des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
 soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur .
Les cookies nécessitant une information et un consentement préalables de l’internaute sont notamment les cookies liés aux opérations relatives à la publicité ciblée et les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux .
Afin de proposer aux professionnels du secteur des lignes directrices en la matière, la CNIL a adopté la délibération précitée n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs.
Cette recommandation rappelle que la validité du consentement est liée à la qualité de l’information reçue . La Commission recommande donc que ce consentement soit recueilli en deux étapes :
première étape : l’internaute qui se rend sur le site d’un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des Cookies utilisés ; de la possibilité de s’opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ; du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal ;
seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience .
En outre, la recommandation indique que l’information doit être visible, mise en évidence et complète .
En l’espèce, lorsque la délégation s’est connectée au site web […], elle a constaté sur place que 24 cookies ont été déposés sur son équipement terminal. Par courrier reçu par la CNIL le 22 novembre 2014, la société a indiqué que 9 de ces cookies ont une finalité publicitaire.
La délégation a également constaté que la page d’accueil du site internet n’informe pas les internautes de :
la finalité publicitaire de certains des cookies déposés ;
la possibilité de changer les paramètres des cookies et les moyens mis à sa disposition pour refuser leur dépôt ;
ce qu’une action positive de sa part, à savoir la poursuite de la navigation sur le site, est requise pour exprimer son accord au dépôt des cookies.
Par ailleurs, la délégation a constaté en ligne que le dépôt de cookies dans l’équipement terminal de communications électroniques de l’internaute s’opère dès la connexion au site internet, avant toute action de la part de l’internaute tendant à poursuivre sa navigation sur le site.
Au regard de ce qui précède, il apparaît que le site internet n’a pas informé les personnes concernées et n’a pas recueilli leur consentement avant de procéder au dépôt des cookies.
L’ensemble de ces faits constitue un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet notamment à information et à accord préalables de l’internaute le dépôt de tels cookies.
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation de définir une finalité déterminée, explicite et légitime du traitement
Dans le courriel reçu le 24 novembre 2014, la société a indiqué s’agissant de la finalité du cookie PID déposé par le site twitter.com qu’elle n’autorisait pas la connexion à son site […] via twitter et ne faisait pas de publicité pour cette plateforme.
Dès lors, le dépôt de ce cookie apparait comme étant dépourvu de finalité et doit être supprimé.
Ces faits constituent un manquement aux obligations du 2 de l’article 6 de la loi du 6 janvier 1978 modifiée aux termes duquel les données doivent être collectées pour des finalités déterminées, explicites et légitimes.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
(…)
Eu égard notamment à la sensibilité des données traitées, ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant
Le contrat conclu entre la société X et (…) ne prévoit pas de clause relative aux obligations du sous-traitant en matière de protection de la sécurité et de la confidentialité des données.
Ces faits constituent un manquement aux dispositions de l’article 35 de la loi n° 78-17 du 6 janvier 1978 qui dispose notamment que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement .
Un manquement à l’obligation de respecter le droit d’accès
Les CGU prévoient, en leur article 5 intitulé confidentialité , que les utilisateurs disposent d'un droit d'accès, de rectification et de suppression des données qui les concernent conformément à l'article 34 de la loi relative à l'informatique, aux fichiers et libertés .
Outre le fait que cet extrait vise un mauvais fondement juridique (l’article 34 de la loi du 6 janvier 1978 modifiée est relatif à la confidentialité et la sécurité des données), la délégation a été informée, lors du contrôle sur place, que si la société n’avait jamais été saisie d’une demande de droit d’accès, elle inviterait, le cas échéant, la personne concernée à saisir les forces de police s’estimant dans l’incapacité de vérifier l’identité du demandeur.
Or, l’identité du demandeur peut être vérifiée en l’interrogeant sur les données obligatoirement renseignées lors de la création de son compte, par la présentation d’une copie de pièce d’identité ou de tout justificatif comportant, par exemple, une photographie permettant de s’assurer, de manière certaine, de son identité.
Ces faits constitue un manquement aux obligations découlant du 4° du I de l’article 39 de la loi du 6 janvier 1978 modifiée, qui dispose que toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci. (…) Une copie des données à caractère personnel est délivrée à l’intéressé à sa demande. 
De plus, l’alinéa 1er de l’article 98 du décret du 20 octobre 2005 modifié dispose que La demande d’accès peut être effectuée par écrit et l’alinéa 1er de l’article 94 du décret précité mentionne que Le responsable du traitement répond à la demande présentée par l’intéressé dans le délai de deux mois suivant sa réception .
Il est rappelé qu’en application des articles 131-41 et R. 625-11 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas communiquer à la personne, sous une sous forme accessible, dans les conditions prévues à l’article 39 de la loi du 6 janvier 1978 modifiée, des données à caractère personnel qui la concernent est puni d’une peine d’amende pouvant atteindre 7 500 euros.
En conséquence, la société X, sise […], est mise en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision, et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation en ce qui concerne les traitements de données susceptibles d’exclure des personnes et modifier la déclaration normale n°1280693 afin d’indiquer l’intégralité des données collectées dans le cadre du traitement ;
recueillir le consentement des personnes à la collecte et au traitement de leurs données sensibles - en l’espèce des données relatives aux origines ethniques, à la vie sexuelle des personnes et à leur orientation religieuse - par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte ;
procéder à l’information des utilisateurs du site, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, directement sur les formulaires de collecte des données, des traitements de leurs données à caractère personnel ;
ne pas collecter de données inadéquates, non pertinentes ou excessives au regard de la finalité du traitement, en particulier, (…) et cesser de collecter les données relatives à la carte bancaire des personnes, (…) aux fins d’authentification des personnes ;
mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment : 
en fonction des durées de conservation fixées, procéder à la purge des données relatives aux comptes désinscrits et inutilisés ou procéder à leur archivage intermédiaire, et ce pendant la durée nécessaire aux finalités pour lesquelles elles sont collectées et après avoir opéré un tri des données pertinentes à archiver ;
en matière de cookies, ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée ;
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci. A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties :d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet :
les finalités de tous les cookies soumis au consentement ;
que la personne concernée a la possibilité de changer les paramètres de ces cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer à une page présentant les solutions adéquates mises à la disposition des personnes concernées pour accepter ou refuser les cookies ;
que la poursuite de la navigation vaut consentement au dépôt des cookies ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ;
identifier la finalité de chacun des cookies, ou, à défaut, ne plus procéder à leur dépôt sur l’équipement terminal de la personne concernée ;
adopter les mesures visant à assurer la sécurité et la confidentialité des données, notamment en :
prévoir au sein de tous les contrats liant la société X aux sociétés prestataires de services, en particulier la société (…), des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société X et préciser que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée.
respecter le droit d’accès des personnes et mettre en place une procédure de gestion de ces demandes afin de rendre leur traitement effectif ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-049 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives à leurs opinions religieuses), y compris dans le cas des utilisateurs mineurs du consentement exprès de leurs représentants légaux.
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données, la conduisant en pratique à conserver les données personnelles des comptes inactifs.
La mesure de publicité se fonde également sur le statut de l’organisme en cause qui se présente comme la 1ère audience des sites communautaires. Aussi, compte tenu du grand nombre d’utilisateurs, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement.
En conséquence, le bureau de la Commission décide de rendre publique la décision n° 2015-049 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code pénal ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
Vu la décision n° 2015-255C du 7 mai 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification relative à tout traitement de données personnelles mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet YY et des applications correspondantes ;
Vu la décision n° 2015-253C du 1er juin 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification relative aux traitements mis en œuvre par la société X et notamment ceux liés à la gestion et à l’exploitation du site internet ZZ et aux éventuelles applications mobiles associées ; 
Vu les procès-verbaux de contrôle sur place n° 2015-255 du 26 mai 2015, n° 2015-253 du 9 juin 2015 et n° 2015-253-2 du 10 juin 2015. 
Constate les faits suivants
La société à responsabilité limitée X (ci-après la société), sise […], a pour activité principale la mise en ligne et la gestion de réseaux sociaux et de rencontre et notamment des sites YY et ZZ. Elle se compose de deux co-gérants, deux salariés et d’un stagiaire. Selon les informations délivrées par la société, elle a dégagé un chiffre d’affaires d’environ (...).