AgentPublic/cnil huggingface dataset:
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 modifiée et à l' article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Audrey BACQUIE, assistante au service des sanctions à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Brice BASTIÉ, juriste au service des affaires économiques à la direction de la conformité ;
M. Franck BAUDOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
Mme Nacéra BEKHAT, juriste au service de la santé à la direction de la conformité ;
Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Solenn BRUNET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas CHRISTINE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Valentyne CROSNIER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Thomas DAUTIEU, directeur adjoint de la conformité ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
M. Eric DELISLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Corentin DUPOUEY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Marie FERTE, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
M. Emile GABRIE, conseiller auprès de la Présidente et du secrétaire général ;
Mme Malika, Mahalia GALIÉ-BLANZÉ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Estelle HARY, designer au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
M. Armand HESLOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Sabrina LALAOUI, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Névine Lahlou, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice de LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Bernard LAUNOIS, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Gwendal LE GRAND, directeur des technologies et de l'innovation ;
M. Pierre LEPHAY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jean LESSI, secrétaire général ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, adjoint au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice de la conformité ;
M. Bao-Khanh NGUYEN TRUNG, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Adélaïde PATERNOGA, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Astrid PEYRARD, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Délia RAHAL-LOFSKOG, juriste au service des affaires européennes et internationales ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
Mme Albane RICHET, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
M. Valentin ROGER, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Guilda ROSTAMA, juriste au service des affaires économiques à la direction de la conformité ;
M. David RUIZ, juriste au service des affaires économiques à la direction de la conformité ;
Mme Isabelle SANSOT, juriste au service des affaires économiques à la direction de la conformité ;
Mme Katty SAINT-GELAIS, chargée du développement des outils - responsable des BCR au service des outils de la conformité à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service des affaires économiques à la direction de la conformité ;
Mme Emilie SERUGA-CAU, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Adeline VALERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Benjamin VIALLE, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
Mme Albine VINCENT, cheffe du service des délégués à la protection des données à la direction de la conformité ;
M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche ;
Article 2
La délibération n° 2018-143 du 19 avril 2018 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Présidente de la Commission nationale de l'informatique et des libertés,
 
 
 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
 
 
Vu le code pénal ;
 
 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
 
 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
 
 
Vu la décision n° 2017-108C du 12 avril 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société XX ;
Vu la décision n° 2017-216C du 29 septembre 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société XX ;
 
 
 
Vu les procès-verbaux de contrôle n° 2017-108/1 du 7 juin 2017 et n° 2017-216/1 du 2 octobre 2017 ;
 
 
 
Vu les autres pièces du dossier ;
 
 
 
 
I. 
Constate les faits suivants :
 
 
 
La société X (ci-après la société ), sise […] est une société anonyme spécialisée dans l’édition de logiciels applicatifs. Elle emploie environ 35 salariés et a réalisé en 2016, un chiffre d’affaires d’environ 2,4 millions d’euros.
 
 
 
L’ancien nom commercial de la société est XX ; elle est désormais enregistrée au greffe du Tribunal de commerce sous le nom X.
 
 
 
L’activité de la société X est d’afficher des publicités interstitielles[1] pour le compte de ses partenaires, sur les ordiphones de personnes dont le profil est sélectionné à partir de leurs données de géolocalisation. La société a également pour activité de mesurer les visites des mobinautes[2] dans les points de vente physiques de ses partenaires.
 
 
 
La société a effectué, le 7 juillet 2015, auprès de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) une déclaration n° 1873686 relative au traitement de données de géolocalisation à des fins d’amélioration des applications mobiles et à des fins de marketing.
La société a désigné, le 28 mars 2018, un Délégué à la protection des données .
 
En application des décisions n° 2017-108C du 12 avril 2017 et 2017-216C du 29 septembre 2017 de la Présidente de la Commission, une délégation de la CNIL a procédé les 7 juin et 2 octobre 2017 à des missions de contrôle sur place auprès de la société X. Les missions ont notamment eu pour objet de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société.
 
La société X conclut des contrats avec des sociétés, essentiellement des enseignes de magasin telles que […], […] ou […]. Elle détermine avec ses partenaires des points d’intérêts (ci-après POIs ) qui correspondent à des coordonnées géographiques, tels que des points de vente physiques. L’objectif de la société X est d’établir des profils des mobinautes afin de leur proposer de la publicité ciblée. Sont ainsi, par exemple, ciblés les mobinautes s’étant rendus dans des magasins concurrents et ceux ayant visité le magasin d’un partenaire au cours des 30 derniers jours. Par la suite, la société X réalise des campagnes marketing à travers l’achat d’espaces publicitaires pour le compte de ses annonceurs partenaires, sur les plateformes de ventes aux enchères de publicités en temps réels.
La société X a développé un traceur SDK [3] permettant de collecter les données de géolocalisation des mobinautes ainsi que l’identifiant publicitaire mobile de leur smartphone.
 
 
 
Dans un premier temps, le SDK est intégré dans le code des applications mobiles de sociétés partenaires de la société X, tels que […] ou […], et permet de collecter les données en arrière-plan du fonctionnement des applications installées par les utilisateurs sur leurs smartphones.
 
 
 
Dans un second temps, les données de géolocalisation collectées grâce au SDK sont croisées avec les POIs déterminés par les partenaires de la société X, ce qui permet de qualifier le profil de l’utilisateur. Ces données sont conservées au sein de la base de données Matcher2 par la société X.
 
 
 
Lors du contrôle, la délégation a été informée que le SDK collecte les données de géolocalisation des personnes environ toutes les cinq minutes. La délégation a constaté que, sur une journée, 1 635 402 identifiants publicitaires associés à des données de géolocalisation avaient été collectées par la société. Chacun de ces identifiants publicitaires est directement lié au smartphone d’une personne ayant téléchargé l’application d’un de ses partenaires.
 
 
 
La délégation a également constaté qu’étaient présents dans la base de données, 13 977 539 d’identifiants publicitaires distincts collectés sur les treize derniers mois, correspondant à autant de smartphones de personnes physiques.
Par ailleurs, la délégation a constaté, sur plusieurs applications mobiles contrôlées intégrant le SDK de la société X, que lorsque l’utilisateur d’un smartphone valide l’autorisation d’accès à ses données de géolocalisation pour le fonctionnement de l’application, ses données sont également transmises à la société X sans qu’il en soit informé et sans que son consentement ne soit recueilli pour cette transmission.
 
 
 
En outre, la délégation a été informée que toutes les données de géolocalisation des mobinautes sont collectées et conservées sur les serveurs de la société, même lorsqu’ils sont situés en dehors des points d’intérêts géographiques déterminés par ses partenaires.
 
 
 
La délégation a constaté que les données de géolocalisation des personnes, collectées à partir des applications mobiles des partenaires, sont conservées pendant treize mois à compter de la date de la collecte.
 
 
 
Enfin, la délégation a constaté que le contrat conclu entre la société et la société Google pour l’hébergement des bases de données ne prévoit pas de clauses relatives à la sécurité et à la confidentialité des données.
 
 
 
À la suite de demandes formulées par la délégation, la société a apporté des éléments additionnels, par courriel du 17 novembre 2017, concernant notamment l’information des mobinautes et les modalités de recueil de leur consentement.
 
 
 
II. 
Sur la notion de responsable du traitement et de données à caractère personnel
Sur la qualité de responsable du traitement 
 
 
 
Aux termes de l’article 3-I de la loi du 6 janvier 1978 modifiée  
le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens .
 
 
 
Au regard des constats effectués par la CNIL et des pièces fournies lors des différents contrôles, il apparaît que la société X détermine dans une large mesure les finalités et les moyens des traitements mis en œuvre dans le cadre de l’utilisation du SDK.
 
 
 
En effet, la délégation a notamment constaté que les données des utilisateurs des applications mobiles sont intégrées et mutualisées au sein de la base de données Matcher2 de la société X. La délégation a également été informée que la société X traite pour son propre compte les données à caractère personnel collectées par le SDK installé au sein des applications de ses partenaires. Il lui a en effet été précisé que les données de géolocalisation collectées par le SDK sont analysées et interprétées par X pour en déduire des audiences qualifiées.
 
 
 
La société X doit, par conséquent, être considérée comme responsable du traitement mis en œuvre dans le cadre de l’utilisation du SDK.
 
 
 
Sur la collecte de données à caractère personnel
Aux termes de l’article 2 de la loi du 6 janvier 1978 modifiée constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne .
 
 
 
Constitue en outre un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction .
 
La délégation a constaté que la société X collecte, via le SDK installé au sein des applications mobiles, l’identifiant publicitaire du smartphone associé à des données de géolocalisation de la personne ainsi qu’à des données techniques relatives au smartphone.
L’identifiant publicitaire est un identifiant unique généré par le système d’exploitation du smartphone permettant d’identifier le terminal de l’utilisateur de façon stable dans le temps. Il est mis à disposition de l’ensemble des applications mobiles installées sur celui-ci et est également accessible aux différents SDK installés dans les applications mobiles.
 
 
 
Cet identifiant publicitaire est stocké de façon pérenne dans le smartphone de l’utilisateur et permet donc d’identifier l’utilisateur de façon indirecte. Il a vocation à identifier l’utilisateur afin de lui associer un profil publicitaire constitué à partir de ses données de géolocalisation. Il permet donc d’identifier l’utilisateur lors de son utilisation ultérieure d’autres applications mobiles sur son téléphone afin de lui associer son profil publicitaire et de lui afficher des publicités spécifiquement choisies en fonction de ses habitudes de déplacement.
 
 
 
Il en résulte que la société traite des données à caractère personnel en application de l’article 2 de la loi du 6 janvier 1978 modifiée.
 
III. 
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978
 
 
 
Un manquement à l’obligation de disposer d’une base légale pour la mise en œuvre du traitement