AgentPublic/cnil huggingface dataset:
Un manquement à l’obligation d’obtenir l’accord préalable des personnes concernées avant d’inscrire des informations (cookies) sur leur équipement terminal de communications électroniques ou d’accéder à celles-ci 
L’article 32-II de la loi du 6 janvier 1978 modifiée dispose que Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement; 
des moyens dont il dispose pour s'y opposer. 
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 
 soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 
soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur .
Les cookies nécessitant une information et un consentement préalables de l’internaute sont notamment les cookies liés aux opérations relatives à la publicité ciblée, certains cookies de mesure d’audience et les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux .
Afin de proposer aux professionnels du secteur des lignes directrices en la matière, la CNIL a adopté la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs. Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
Cette recommandation rappelle que la validité du consentement est liée à la qualité de l’information reçue 
. La Commission recommande donc que ce consentement soit recueilli en deux étapes :
-
-
En outre, la recommandation indique que le consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exercer et qu’il ne peut être valable que si la personne concernée est en mesure d’exercer valablement son choix et n’est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement .
En l’espèce, la délégation a constaté que 13 cookies ont été déposés sur son équipement terminal lors de sa connexion à […]. Interrogée sur les finalités de ces cookies, la société a renvoyé la CNIL à la lecture de sa Politique d’utilisation des cookies et aux rapports d’audit menés par le Commissaire Irlandais à la Protection des Données en 2011 et 2012.
La Politique d’utilisation des cookies du site (page Cookies, pixels et technologies similaires ) précise que des outils tels que les cookies (…) sont utilisés pour comprendre et diffuser des publicités, les rendre plus pertinentes et analyser les produits et services ainsi que leur utilisation . De la même manière, le rapport d’audit mené par le Commissaire Irlandais à la Protection des Données en 2012 fait apparaître que certains cookies ont une finalité publicitaire (notamment le cookie fr déposé par le domaine […] ).
Or, le dépôt de cookies ayant une finalité publicitaire ne peut intervenir sans une information et un accord préalables des personnes concernées.
A cet égard, la délégation a constaté que les internautes sont informés du dépôt des cookies par un bandeau indiquant Les cookies nous permettent de fournir, protéger et améliorer les services de […]. En continuant à utiliser notre site, vous acceptez notre 
Politique d’utilisation des cookies
 .
Dès lors, l’internaute n’est pas informé :
-
-
En outre, la délégation a constaté que la Politique d’utilisation des cookies vers laquelle renvoie le bandeau précise que Votre navigateur ou votre appareil sont susceptibles de vous proposer des paramètres relatifs à ces technologies. Pour en savoir plus sur la disponibilité de ces paramètres, leur fonction et leur fonctionnement, consultez l’aide de votre navigateur ou de votre appareil .
Or, le paramétrage du navigateur ne peut être considéré comme un mécanisme valable d’opposition au dépôt des cookies que dans deux cas :
le site ne dépose pas de cookies techniques essentiels à son fonctionnement : dans ce cas, la personne concernée peut paramétrer son navigateur de manière à bloquer le dépôt de tous les cookies, qu’ils proviennent du domaine du site (cookies first party ) ou du domaine d’un tiers (cookies third party ), dont ceux nécessitant son consentement, et ce sans l’exposer à des conséquences négatives importantes ;
le site ne dépose pas de cookies first party nécessitant le recueil du consentement de la personne concernée : dans ce cas, cette dernière peut paramétrer son navigateur de manière à bloquer le dépôt de cookies third party sans empêcher le site de fonctionner ni risquer que des cookies first party soumis au consentement ne soient déposés.
En l’espèce, le site dépose des cookies techniques essentiels à son fonctionnement et des cookies first party. En effet, la Politique d’utilisation des cookies précise que la société dépose des cookies d’authentification qui permettent de savoir à quel moment l’internaute est connecté au site (cookies techniques). Elle dépose également des cookies issus du domaine […] qui ont, pour certains, une finalité publicitaire, comme le cookie fr (cookies first party soumis au consentement).
Par conséquent, le paramétrage du navigateur ne peut, en l’espèce, être considéré comme un mécanisme valable d’opposition au dépôt de cookies.
Au regard de ce qui précède, il apparaît que le site internet n’a pas correctement informé les personnes concernées et n’a pas recueilli valablement leur consentement avant de procéder au dépôt des cookies.
Ces faits constituent un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet à information et accord préalables de la personne concernée l’inscription d’informations sur son équipement terminal de communications électroniques et l’accès à celles-ci.
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement 
La délégation a constaté que la société propose aux inscrits une fonctionnalité Télécharger
l’archive , qui permet de recevoir une copie des données que vous avez publiées sur […] . La délégation a notamment constaté que dans l’onglet Sécurité de cette archive figure la liste des différentes adresses IP utilisées par les inscrits pour se connecter à leurs comptes, et ce depuis le 9 avril 2015, date d’ouverture d’un compte sur le site […] par la délégation.
Or, si la nécessité de lutter contre les usurpations de compte peut justifier de conserver ces données, il n’apparaît pas proportionné de les conserver pendant une durée supérieure à 6 mois.
Ces faits sont de nature à constituer un manquement aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée qui prévoit que les données (…) sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’assurer la sécurité des données
La délégation a constaté que l’internaute qui souhaite s’inscrire sur le site est invité à choisir un mot de passe contenant plus de 6 caractères , unique et difficile à deviner pour les autres . En outre, elle a constaté que le mot de passe 1234567a a été accepté.
Or, un mot de passe de 6 caractères ou ne comportant que 2 règles de complexité (chiffres et lettres) ne permet pas d’assurer la sécurité et la confidentialité des données auxquelles ils permettent d’avoir accès.
Ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est notamment puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre des traitements de lutte contre la fraude et d’exclusion
La délégation a été informée de la mise en place d’un traitement de lutte contre la fraude par la société. En effet, la Politique d’utilisation des données du site prévoit que Nous pourrons également accéder à des informations personnelles, les préserver et les partager lorsque nous sommes convaincus qu’il est nécessaire de : détecter, empêcher et traiter des fraudes ou toute autre activité illicite ; nous protéger nous-mêmes et protéger des tiers, notamment dans le cas d’enquêtes ; ou empêcher la mort ou tout risque imminent d’atteinte à l’intégrité physique d’une personne. Par exemple, nous pouvons partager des informations concernant la fiabilité de votre compte à nos partenaires tiers afin d’éviter toute forme de fraude et d’abus à travers comme en dehors de nos service .
En outre, la délégation a été informée que la société se réserve la possibilité d’exclure des inscrits en cas de non respect de la Déclaration des droits et responsabilités. En effet, l’article 14 de ce document précise que Si vous enfreignez la lettre ou l’esprit de cette Déclaration, ou créez autrement un risque de poursuites à notre encontre, nous pouvons arrêter de vous fournir tout ou partie de […] . 
Or, la délégation a constaté que la société n’a effectué aucune demande d’autorisation pour encadrer la mise en œuvre de ces traitements.
Ces faits constituent un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire .
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement relatif à l’obligation de disposer d’une base légale pour transférer des données personnelles hors de l’Union Européenne
L’article 16 de la Déclaration des droits et des responsabilités prévoit que les données relatives aux internautes se trouvant en dehors des États-Unis sont transférées et traitées aux États-Unis .
A cet égard, la Politique d’utilisation des données du site précise que  X. adhère aux programmes Safe Harbor framework établis entre les Etats-Unis et l’Union européenne, et entre les Etats-Unis et la Suisse pour la collecte, l’utilisation et la conservation des données provenant de l’Union européenne et de la Suisse, comme défini par le ministère du Commerce américain . La société a ajouté que les clauses contractuelles type approuvées par la Commission européenne et le Safe Harbor (s’il s’agit d’importateurs basés aux Etats-Unis) sont les moyens par lesquels Y veille à ce que ces exportations de données soient (i) licites et (ii) protègent de façon adéquate les personnes concernées (réponse à la question 10).
Or, dans sa décision du 6 octobre 2015, la Cour de Justice de l’Union Européenne a invalidé la décision de la Commission européenne n° 2000-520 du 26 juillet 2000 relative à la pertinence de la protection assurée par les principes de la sphère de sécurité (Safe harbor) publiés par le ministère du commerce des Etats-Unis, qui permettait d’encadrer les transferts de données à caractère personnel de l’Union européenne vers les Etats-Unis.
Dans la mesure où cette décision a été invalidée, il n’est désormais plus possible pour la société de procéder à un transfert de données personnelles vers les Etats-Unis sur la base du Safe Harbor.
Ces faits constituent un manquement à l’article 68 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un État n’appartenant pas à la Communauté européenne que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet .
En conséquence, les sociétés X, sise […], et Y, sise […], sont mises en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elles auraient déjà pu adopter, de :
-ne pas procéder sans base légale à la combinaison des données des inscrits à des fins publicitaires ;
-ne pas traiter de données non pertinentes, excessives ou inadéquates au regard des finalités poursuivies, 
-recueillir le consentement exprès des inscrits, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles 
-procéder à l’information des inscrits, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée
quant aux traitements de données à caractère personnel mis en place, et ce directement sur le formulaire d’inscription ainsi que sur les pages permettant aux inscrits de compléter leur profil ;
quant à la nature des données transférées hors de l’Union européenne, à la finalité du transfert, aux destinataires des données, et au niveau de protection offert par les pays destinataires ;
-
-informer et obtenir l’accord préalable des internautes à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci. 
les finalités de tous les cookies soumis au consentement ;
qu’ils ont la possibilité de changer les paramètres de ces cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer vers une page présentant les solutions adéquates mises à leur disposition pour accepter ou refuser le dépôt des cookies ;
-ne pas conserver de donnée à caractère personnel au-delà de la durée nécessaire aux finalités pour lesquelles elle a été collectée et traitée, 
-prendre toutes mesures nécessaires pour garantir la sécurité des données à caractère personnel des inscrits, 
-procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, 
-ne pas procéder à des transferts de données personnelles vers les Etats-Unis sur la base du Safe Harbor ;
-justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si les sociétés X et Y se sont conformées à la présente mise en demeure, il sera considéré que la procédure est close et un courrier leur sera adressé en ce sens.
À l’inverse, si les sociétés X et Y ne se sont pas conformées à la présente mise en demeure, un rapporteur pourra être désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 4 février 2016 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
 
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
 
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
Vu la décision n° 2016-007 du 26 janvier 2016 de la Présidente de la Commission mettant en demeure les sociétés X et Y. 
 
A adopté la délibération suivante :
Par décision du 26 janvier 2016, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], et la société Y, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
 
Le bureau a été réuni à cette fin le 4 février 2016. 
 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements constatés et de l’atteinte consécutive aux intérêts et droits et libertés fondamentaux des personnes concernées s’agissant notamment du caractère déloyal de la collecte et du traitement des données de navigation des internautes, de l’absence de base légale aux opérations de combinaison de données et de l’absence de mécanisme permettant de s’opposer à la combinaison des données à des fins publicitaires. 
 
Le bureau estime également que la mesure de publicité se fonde sur le statut et la taille de l’organisme en cause, leader mondial des réseaux sociaux sur Internet et de la fourniture de services associés, et sur le nombre de personnes concernées par ses traitements (plusieurs millions d’utilisateurs sur le territoire national).
Le bureau considère enfin que la publicité de la mise en demeure a vocation à appeler l’attention de l’organisme en cause sur les manquements constatés et lui permettre de se mettre en conformité dans les délais impartis par la mise en demeure. 
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°2016-007 de la Présidente de la CNIL mettant en demeure les sociétés X et Y. 
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si les organismes concernés se conforment en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celles-ci feront l’objet d’une clôture qui sera également rendue publique. 
 
 
La Présidente 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la décision n° 2004-499 DC du 29 juillet 2004 du Conseil constitutionnel ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :Dans le cadre d'une activité régulière, les personnes physiques et les personnes morales peuvent être contraintes de défendre leurs intérêts en justice, notamment pour obtenir la réparation d'un préjudicie subi. Pour faire valoir leurs droits, elles peuvent ainsi être amenées à préparer et à gérer des contentieux.Dans certains cas, en particulier au sein des personnes morales, il est souvent nécessaire de mettre en œuvre un traitement de données à caractère personnel pour atteindre cet objectif légitime.Les traitements de données à caractère personnel mis en œuvre pour préparer et gérer des contentieux sont, par nature, susceptibles de porter sur des données relatives à des infractions et condamnations pénales, ou sur des mesures de sûreté.Il y a par conséquent lieu de faire application des dispositions du 3° du I de l'article 25 de la loi du 6 janvier 1978 modifiée qui prévoient que les traitements, automatisés ou non automatisés, portant sur des données à caractère personnel relatives aux infractions, condamnations ou mesures de sûreté, ne peuvent être mis en œuvre qu'après une autorisation de la commission.La commission relève, à cet égard, que les personnes morales et les personnes physiques sont fondées, en application de l'article 9 de la loi du 6 janvier 1978 modifiée et de la