AgentPublic/cnil huggingface dataset:
A cet égard, la manière dont cette information est fournie est sans incidence. Ainsi, il était parfaitement loisible à la société de décider de choisir de nouvelles modalités d'information des personnes en abandonnant le principe d'une politique de confidentialité distincte par service. La validité du choix de la société quant à la fourniture d'une information par strate, c'est-à-dire dans un texte global auquel sont rattachées des informations supplémentaires, plus détaillées, délivrées sur des supports tiers, n'est pas contestable. 
Cependant, comme le relève d'ailleurs l'avis n°10/2004 du 25 novembre 2004 du G29 (avis WP100), la délivrance de cette information par strate doit dissocier deux niveaux d'information : d'une part, les informations de premier niveau, qui sont les plus importantes à connaître pour les personnes ; d'autre part, des informations qui ne présentent vraisemblablement d'intérêt qu'en seconde intention. Ces informations doivent être formulées en un langage simple, direct et sans ambiguïté. 
Parmi les informations essentielles de premier niveau figurent, outre l'identité du responsable de traitement, les finalités du traitement et toute information supplémentaire nécessaire afin de garantir un traitement loyal de l'information vis-à-vis des personnes concernées.
A cet égard, la société dit mettre en œuvre les traitements concernés avec une finalité unique, déterminée et légitime, conformément l'article 6-2° de la loi, à savoir la fourniture du service en ligne X à ses utilisateurs, qu'elle présente comme une expérience unique et unifiée pour l'utilisateur, le compte [...] permettant aux utilisateurs d'accéder à tous les composants du service en ligne X avec un identifiant et un mot de passe unique. 
Elle présente cette finalité comme la finalité première des traitements induits par la fourniture de son offre de service intégrée, par ailleurs déclinée en différentes fonctionnalités, services, outils, produits, ou caractéristiques (c'est-à-dire les différents services qu'elle offre). Elle soutient que cette finalité première n'est pas évasive mais répond à l'obligation d'information des utilisateurs, dès lors qu'elle la présenterait de manière conforme, voire supérieure aux bonnes pratiques du secteur, conformément à l'article 32 de la loi. 
Au préalable, la formation restreinte rappelle les obligations, qui pèsent sur la société, de déterminer les finalités des traitements de données qu'elle met en œuvre (article 6-1°) et d'en informer les utilisateurs (article 32).
La précision et la clarté de l'information communiquée aux personnes concernées sont essentielles pour leur permettre de comprendre les conditions dans lesquelles leurs données sont collectées et traitées, ainsi que, le cas échéant, d'exercer effectivement les droits qui leur sont reconnus par la loi : droit d'opposition (article 38), droit d'accès (article 39), droit de rectification ou d'effacement (article 40), notamment à travers les outils offerts à cet effet par la société (par exemple le [...]). Le Conseil d'Etat a d'ailleurs rappelé le lien entre information et possibilité d'exercice des droits dans sa décision n°327916 du 29 septembre 2001 (société Centrapel). 
A cet égard, la formation restreinte relève que les traitements de données qui découlent de la fourniture des services extrêmement divers de la société sont tout aussi variés et ne se substituent pas les uns aux autres, compte tenu notamment de la diversité des données collectées (données de géolocalisation, échanges de mails, requêtes dans le moteur de recherche, paiement par [...], mises en ligne d'informations sur [...], mise en ligne ou requêtage de vidéos sur [...], etc.), et des différents statuts d'utilisateurs concernés par la collecte de données.
Les services qu'offre la société sont donc diversifiés, même s'ils sont partiellement intégrés et présentés de manière unique. Les services [...], [...], etc. n'ont rien de commun, si ce n'est la possibilité (qui plus est pour les seuls utilisateurs authentifiés) de s'y connecter à travers un compte unique permettant la jonction fonctionnelle de services de natures différentes, et le fait que la société s'est autorisée à combiner les données issues de l'utilisation de ses services par les personnes, quel que soit leur statut, dans des conditions indéterminées. 
Or, en prévoyant dans ses règles de confidentialité que les données que nous collectons par le biais de nos services nous permettent de les fournir, les entretenir, les protéger et les améliorer, tout en développant de nouveaux services et en protégeant X ainsi que nos utilisateurs , la société n'évoque que la fourniture d'un service global, sans préciser les finalités des catégories de traitements opérés sur ses données. 
Cette information générale ne permet pas à l'utilisateur, authentifié ou non, de prendre conscience des finalités réelles, et par conséquent de l'ampleur de la collecte des données le concernant. Par conséquent, elle ne lui permet pas davantage de mesurer l'intérêt que peut revêtir, pour lui, tant la recherche d'informations complémentaires quant à la manière dont ses données sont traitées et/ou combinées que l'exercice de ses droits, afin de maîtriser l'usage de ses données.
Ainsi, faute de définir des finalités déterminées et explicites pour l'ensemble des traitements qu'elle met en œuvre au sens de l'article 6-1°), la société ne respecte pas l'obligation qui lui incombe d'informer ses utilisateurs des finalités des traitements opérés sur leurs données. 
- En outre, au-delà de ce déficit substantiel de l'information de premier niveau, il s'avère difficile pour l'utilisateur de comprendre l'utilisation qui sera faite de ses données dans le cadre d'un service précis et d'ajuster ses choix en conséquence. 
Au contraire, pour parvenir jusqu'à ce niveau d'information, l'utilisateur devra consulter des rubriques diverses, dont les intitulés ne permettent pas une navigation fluide.
Par exemple, pour connaître les catégories de données que la société collecte sur lui dans le cadre d'un service précis, l'utilisateur devra partir de la rubrique Règles et principes pour accéder à la rubrique Règles de confidentialité (section Données que nous collectons). S'il souhaite en revanche savoir quels mécanismes lui permettent de garder la maîtrise sur ses données conformément à la loi, il lui faut accéder, en remontant à la rubrique Règles et principes, à la rubrique intitulée Technologies et principes. Celle-ci fait alors référence, entre autres, à l'outil de X qui permet de signaler la collecte d'informations de manière transparente pour les utilisateurs titulaires d'un compte [...].
Ces mêmes informations ne sont pas disponibles dans les FAQ accessibles à partir de la rubrique Mentions légales. En revanche, celles-ci indiquent à l'utilisateur comment demander la suppression des données à caractère personnel des résultats de recherche [...], ainsi qu'une nouvelle référence au [...], auquel il n'est toutefois pas possible d'accéder directement par un lien cliquable. Celui-ci n'est accessible qu'à partir d'une autre rubrique, Bon à savoir, elle-même accessible à partir de la rubrique Règles et principes. 
Les informations fournies aux utilisateurs de ces services ne sont donc pas diffusées de manière suffisamment claire et recentrée pour satisfaire aux exigences de l'article 32-I de la loi. 
La société ne s'est donc pas conformée aux termes de la mise en demeure sur ce point. 
4. Sur le manquement à l'obligation d'obtenir le consentement de la personne avant d'inscrire des informations dans son équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique 
Aux termes du II de l'article 32 de la loi du 6 janvier 1978 modifiée tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable de traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
- des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après en avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur- soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique,
- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. 
Il ressort des dispositions précitées que l'utilisateur doit recevoir, préalablement au dépôt et à la lecture de cookies ou de toute autre technologie visée par l'article 32-II, une information claire et complète sur les finalités de ceux-ci ainsi que sur les moyens dont il dispose pour s'y opposer, et que son consentement préalable est requis pour que le cookie puisse être déposé.
Les dispositions des alinéas 5 à 7 de l'article 32-II prévoient par ailleurs des exceptions à l'exigence du consentement préalable de l'utilisateur dans des cas limitatifs excluant tout dépôt de cookie à des fins publicitaires. 
La Présidente de la CNIL, considérant que l'information fournie par la société aux utilisateurs ne remplissait pas les impératifs de clarté et de complétude exigés par la loi et que l'utilisateur n'était pas en mesure d'exprimer valablement son accord préalablement au dépôt de cookies [...] sur des sites tiers, a mis la société en demeure d'informer les utilisateurs, quel que soit leur statut, puis d'obtenir leur accord préalable avant d'inscrire des informations dans leur équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique. 
En réponse, la société fait au contraire valoir que l'information fournie aux utilisateurs est satisfaisante, voire excède les pratiques du marché. Elle reproche par ailleurs au rapporteur de faire reposer son argumentaire sur une interprétation erronée de la loi et de ne pas avoir pris en compte des mesures d'information complémentaires mises en œuvre sur ses sites [...] et [...], si bien que sa position reposerait sur des faits inexacts.
Elle fait également valoir que des difficultés d'interprétation persistent quant aux modalités d'information prévues par l'article 32-II de la loi, telles qu'elles résultent de l'ordonnance du 24 août 2011 transposant la directive 2009/136/CE modifiant certaines dispositions de la directive 2002/58, dite directive e-privacy. 
Elle estime, à cet égard, que les exigences de la Commission sont telles qu'elles équivalent à requérir un consentement explicite de l'utilisateur en vue de l'inscription ou de l'accès aux informations présentes sur son équipement terminal. Elle soutient au contraire que les textes prévoient que le consentement peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle , si bien que la CNIL commettrait sur ce point une erreur d'interprétation de la loi et de la directive. 
- Au vu de ce qui précède, la formation restreinte relève, au préalable, que le considérant 66 de la directive 2009/136/CE prévoit que lorsque cela est techniquement possible et effectif, conformément aux dispositions pertinentes de la directive 95/46/CE, l'accord de l'utilisateur en ce qui concerne le traitement peut être exprimé par l'utilisation des paramètres appropriés d'un navigateur ou d'une autre application.
Le considérant 17 prévoit quant à lui que le consentement d'un utilisateur ou d'un abonné, que ce dernier soit une personne physique ou morale, devrait avoir le même sens que le consentement de la personne concernée tel que défini et précisé davantage par la directive 95/46/CE. Le consentement peut être donné selon toute modalité appropriée permettant à l'utilisateur d'indiquer ses souhaits librement, de manière spécifique et informée, y compris en cochant une case lorsqu'il visite un site Internet. 
Dès lors, la notion de consentement au sens de l'article 32-II de la loi doit s'apprécier tant au regard des termes de cet article que de l'article 2-h) de la directive 95/46/CE, qui dispose que le consentement s'entend de toute manifestation de volonté, libre, spécifique et informée. 
Ainsi, s'il est exact que le consentement requis en l'espèce peut résulter des paramètres appropriés du dispositif de connexion ou de toute modalité appropriée, il doit pour autant remplir les trois conditions prévues par les textes, c'est-à-dire : 1) être obtenu préalablement à l'enregistrement ou à la lecture de toute information sur le poste de l'utilisateur, 2) après délivrance d'une information claire et suffisante à la personne, 3) et manifester sans ambigüité l'accord de celle-ci à l'opération réalisée par le responsable de traitement.
En l'espèce, la formation restreinte doit vérifier que les utilisateurs sont bien mis en mesure d'exprimer un consentement conforme aux exigences de la loi avant que des informations ne soient enregistrées ou lues sur leur terminal. Il lui incombe donc d'apprécier la qualité, la temporalité et les modalités de l'information délivrée par la société sur les finalités poursuivies par les témoins de connexion et les autres techniques qu'elle utilise. 
Sur ce point, la formation restreinte considère ce qui suit. 
- En premier lieu, il est établi que le dépôt des cookies est réalisé dès la connexion au service en ce qui concerne les utilisateurs des services de la société qui ne sont pas préalablement authentifiés au travers d'un compte [...] (utilisateurs actifs non-authentifiés). 
De ce fait, la société ne communique pas les éléments d'information prévus par la loi avant tout action d'enregistrement ou de lecture d'informations stockées sur le terminal de l'utilisateur. Elle ne respecte donc pas les exigences d'information préalable posées par l'article 32-II de la loi sur ce point.
- En second lieu, la société fait valoir que l'information qu'elle délivre à l'utilisateur de ses services satisfait aux exigences de clarté et de complétude posées par la loi. Elle estime que la présence d'un bandeau d'information relatif aux cookies associé à des notices permet de fournir une information complète et suffisante des utilisateurs, et en tout état de cause conforme, voire supérieure aux pratiques du secteur. 
La formation restreinte, cependant, constate que le bandeau dont la société affirme qu'il est une pratique du secteur apparaît sur deux de ses services, certes majeurs ([...] et [...]), mais qu'il fait défaut sur des services tout aussi importants tels que [...]. 
En outre, l'information fournie sur ce bandeau ne permet pas aux utilisateurs des services de la société d'être informés de manière suffisamment précise des finalités poursuivies par la société quant à l'utilisation des cookies. En effet, celle-ci ne fait mention que du fait que des cookies sont déposés en vue d'assurer le bon fonctionnement des services. L'information ainsi délivrée, par sa généralité, ne peut en tant que telle satisfaire à l'objectif d'information claire et complète des utilisateurs fixé par la loi.
Il est par ailleurs exact qu'en application de la méthode d'information dite multi-strate retenue par la société, les utilisateurs peuvent prendre connaissance d'informations complémentaires en cliquant sur le lien correspondant à la rubrique En savoir plus, dans laquelle plusieurs finalités et diverses informations complémentaires sont mentionnées. Pour autant, l'information ainsi fournie à l'utilisateur, tout aussi générale, ne permet pas à celui-ci d'associer un type de cookie et une finalité au service qu'il utilise. Dès lors, cette information n'est pas suffisamment circonstanciée quant aux cookies liés au service que l'utilisateur va utiliser. 
En outre, la présence d'un bouton OK dans ce bandeau laisse penser aux utilisateurs qu'ils peuvent décider du dépôt de cookies sur leur terminal. Or, il est établi que ce dépôt est réalisé indépendamment de l'expression de ce choix, contrairement à ce que la société laisse suggérer. 
- En troisième lieu, la société reproche au rapporteur de ne pas prendre suffisamment en compte les différences significatives existant entre les différents types de cookies.
Elle soutient que cette distinction lui permettrait de revendiquer le bénéfice des dispositions des alinéas 5 à 7 de l'article 32-II, qui dérogent à l'obligation de consentement préalable de l'utilisateur dans l'hypothèse où le cookie ou tout autre dispositif d'effet similaire a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. 
Cependant, la formation restreinte constate qu'à tout le moins le cookie [...] est déposé sur le terminal de l'utilisateur dès qu'il se connecte sur le site concerné. Or, comme la société l'indique dans sa rubrique En savoir plus, ce cookie est certes affecté à une finalité d'ergonomie, mais également de suivi publicitaire. 
Le respect de l'article 32-II implique donc que le dépôt de ce cookie soit réalisé postérieurement à la délivrance d'une information sur cette seconde finalité et à l'expression du consentement de l'utilisateur. Les mêmes conditions sont requises préalablement au dépôt de tout autre cookie qui, n'étant pas couvert par l'exception précitée, poursuit une autre finalité, sans qu'il soit nécessaire de rechercher l'existence ou la présence de tels cookies.
- En quatrième lieu, la formation restreinte relève que le paramétrage du navigateur ne peut être valablement invoqué comme constituant une modalité d'expression du consentement au sens de l'article 32-II de la loi que dans la mesure où l'utilisateur a été préalablement mis en mesure de comprendre la portée de ce consentement. 
Or, tant le caractère générique de l'information délivrée dans le bandeau que le dépôt concomitant de cookies sur le terminal de l'utilisateur privent ce dernier de la possibilité d'exprimer son choix quant à l'enregistrement des cookies sur son terminal. 
Dans ces conditions, l'acceptation du dépôt de cookies par l'utilisateur ne saurait être déduite d'un paramétrage préexistant en l'espèce. 
- Par ailleurs, il est établi que plusieurs cookies de la société peuvent être enregistrés ou lus sur le terminal des utilisateurs dits passifs, dont les données sont communiquées à la société à l'occasion de leur navigation sur des sites tiers ayant recours à des outils tels que DoubleClick. Ces utilisateurs passifs ne peuvent pas visualiser le bandeau d'information affiché par la société, ce que celle-ci ne conteste pas.
La société, à cet égard, estime que l'obligation d'information des utilisateurs et celle de recueil de leur consentement préalablement au dépôt de cookies issus de ses services pèsent exclusivement sur les éditeurs de site ; elle réfute donc toute idée de coresponsabilité sur ce point.
A cet effet, elle fait valoir que le responsable des traitements opérés au moyen des cookies dits [...] est l'éditeur du site qui décide de recourir à ses services aux fins d'analyse statistique de son service, et qu'elle-même n'agissant à son endroit qu'en qualité de sous-traitant, au sens de l'article 35 de la loi, elle n'a pas à assumer les obligations qui incombent aux éditeurs en application de l'article 32-II. 
En outre, elle invoque le fait que les contrats qu'elle conclut avec les éditeurs de site mettent précisément à la charge de ceux-ci une obligation de fourniture des informations requises aux utilisateurs de leurs services. Elle-même ne saurait donc être tenue responsable au cas où ses cocontractants fourniraient une information déficiente aux utilisateurs ou ne recueillerait pas leur consentement préalable.
Pour autant, la société ne conteste pas qu'elle rapproche les données des utilisateurs de son service [...] pour produire des statistiques par secteur et exploiter ces données pour assurer l'amélioration de son propre service. Ainsi, il est établi dans les conditions générales du service [...] que la société réserve l'usage des données produites dans le cadre de l'utilisation de son service par son client pour elle-même et ses filiales.
La société procède donc à un ou plusieurs traitements des données [...] pour son propre compte, qui ne peuvent donc être considérés comme des traitements opérés dans le cadre d'une prestation de sous-traitance rendue à ses clients. Du fait de la qualité de responsable de traitement qu'elle revêt dans ces circonstances, il lui appartient d'assumer en propre les obligations de l'article 32-II pour la partie des traitements dont elle détermine les finalités et moyens, et qui ne relèvent donc pas de la compétence des éditeurs de site. 
En leur qualité de commanditaires, les éditeurs des sites qui font appel aux fonctionnalités de statistique du service [...] ne se voient pas imposer une obligation spécifique et distincte d'information des utilisateurs sur la ou les finalités et de recueil du consentement pour l'enregistrement ou la lecture d'information obtenues par l'intermédiaire des cookies [...]. 
S'agissant de ces finalités propres à la société, il est établi qu'aucune information n'est accessible à l'utilisateur passif. Pour autant, la société indique que celui-ci peut se référer à sa politique relative à l'usage des cookies à cet effet. Cependant, en l'absence d'une mention d'information figurant sur le site visité, et ce préalablement au dépôt de cookie, la société ne peut valablement soutenir que l'utilisateur a été informé de la finalité du traitement, ni a fortiori se prévaloir de son consentement.
Il résulte de ce qui précède que le dépôt de cookies ne relevant pas des exceptions prévues aux alinéas 5 à 7 de l'article 32-II, dès lors qu'il n'est pas préalable à l'expression d'un consentement spécifique de l'utilisateur, lui-même donné postérieurement à la délivrance d'une information claire et complète quant aux finalités et aux moyens de s'opposer à ce dépôt, constitue un manquement aux obligations qui incombent à la société en l'espèce. 
Dans ces conditions, il est établi que la société ne respecte pas son obligation d'obtenir le consentement de la personne avant d'inscrire des informations dans l'équipement terminal de communications électroniques de l'utilisateur ou d'accéder à celles-ci par voie de transmission électronique, ce manquement concernant tant les utilisateurs actifs non authentifiés que les utilisateurs passifs de ses services, c'est-à-dire la plus large majorité des utilisateurs concernés. 
La société ne respecte donc pas les exigences de la mise en demeure sur ce point. 
5. Sur le manquement à l'obligation de définir une durée de conservation des données
L'article 6-5°) de la loi n°78-17 du 6 janvier 1978 modifiée dispose que les données sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.