AgentPublic/cnil huggingface dataset:
27. La société considère par ailleurs que le fait que certains Etats membres de l’Union européenne ont fait le choix de confier le contrôle du respect de la directive "ePrivacy" à leur autorité de régulation des télécommunications et non à leur autorité de protection des données, n’est pas un obstacle à l’application du mécanisme de guichet unique dans la mesure où des accords de coopération entre ces différentes autorités ont pu être signés dans plusieurs Etats membres, permettant ainsi aux autorités de protection des données de participer au mécanisme de guichet unique dans des situations impliquant des dispositions issues de la directive "ePrivacy".Elle considère que toute sanction prononcée à son encontre par la formation restreinte fondée sur la méconnaissance des dispositions issues de l’article 5(3) de la directive "ePrivacy" irait à l’encontre du principe d’harmonisation contenu à l’article 15 bis de la directive, lequel dispose que " Les autorités réglementaire nationales compétentes peuvent adopter des mesures afin d’assurer une coopération transfrontalière effective dans le contrôle de l’application des législations nationales adoptées en application de la présente directive et de créer des conditions harmonisées pour la fourniture de services impliquant des flux de données transfrontaliers " et du principe de libre prestation de services contenu à l’article 56 du Traité sur le fonctionnement de l’Union européenne (TFUE) aux termes duquel " les restrictions à la
libre prestation des services à l'intérieur de l'Union sont interdites à l'égard des ressortissants des États membres établis dans un État membre autre que celui du destinataire de la prestation. "
28. La formation restreinte relève tout d’abord, que les opérations qui font l’objet de la présente procédure sont effectuées dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications et qu’elles concernent exclusivement des actions de lecture et d’écriture sur le terminal des internautes situés en France lorsque ceux-ci se rendent sur le site [...].fr, opérations qui se matérialisent par le dépôt et la lecture de cookies.
29. La formation restreinte rappelle qu’un tel traitement est régi par les dispositions de la directive " vie privée et communication électroniques ", communément appelée " ePrivacy", et en particulier par son article 5(3) qui a été transposé en droit interne à l’article 82 de la loi " Informatique et Libertés ". La formation restreinte relève, tout d’abord, qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive " ePrivacy " en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a été reconnue par le Conseil d’Etat dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL no 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur, dès lors que ce dernier a relevé que " l’article 20 de cette loi confie à son président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées "(CE, 19 juin 2020, req. 434684, pt. 3).
30. Elle relève, ensuite, que lorsqu’un traitement relève à la fois du champ d’application matériel de la directive " ePrivacy " et du champ d’application matériel du RGPD, il convient de se référer aux dispositions pertinentes des deux textes qui prévoient leur articulation. Ainsi, l’article 1er paragraphe 2 de la directive " ePrivacy " dispose que " les dispositions de la présente directive précisent et complètent la directive 95/46/CE " du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles (ci-après la " directive 95/46/CE sur la protection des données personnelles "), étant rappelé que depuis l’entrée en application du Règlement, les références faites à cette dernière directive doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier. De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel " soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques ". Cette articulation a été confirmée par la Cour de justice de l’Union européenne (ci-après " CJUE ") dans sa décision Planet49 du 1er octobre 2019 (CJUE, 1er octobre 2019, C 673/17, pt. 42).
31. A cet égard, la formation restreinte relève que, contrairement à ce que soutient la société, la directive " ePrivacy " prévoit bien, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application au sein de son article 15bis. Ainsi, le premier paragraphe de cette directive laisse aux Etats membres la compétence pour déterminer " le régime des sanctions, y compris des sanctions pénales s’il y a lieu, applicables aux violations des dispositions nationales prises en application de la présente directive et prennent toute mesure nécessaire pour assurer la mise en œuvre de celles-ci. Les sanctions ainsi prévues doivent être effectives, proportionnées et dissuasives et peuvent être appliquées pour couvrir la durée de l’infraction, même si celle-ci a été ultérieurement corrigée ", Or la règle posée au 3 de l’article 5 de la directive " ePrivacy ", selon laquelle les opérations de lecture et d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une règle spéciale au regard du RGPD puisqu’elle interdit de se prévaloir des bases légales mentionnées à l’article 6 qui ne requièrent pas un accord de l’utilisateur pour pouvoir licitement procéder à ces opérations de lecture et d’écriture sur le terminal. Le contrôle de cette règle relève donc bien du mécanisme spécial de contrôle et sanction prévu par la directive " ePrivacy " et non des autorités de protection
de données et du CEPD en application du RGPD. C’est par un choix propre que le législateur français a confié cette mission à la CNIL.
32. La formation restreinte relève, ensuite, que le deuxième paragraphe du même article oblige les Etats membres à veiller " à ce que l’autorité nationale compétente et, le cas échéant, d’autres organismes nationaux aient le pouvoir d’ordonner la cessation des infractions visées au paragraphe 1 ".
33. Elle estime que ces dernières dispositions excluent en tant que telles l’application du mécanisme de " guichet unique " prévu par le RGPD à des faits relevant de la directive " ePrivacy ".
34. Elle ajoute, par ailleurs, que cette exclusion est corroborée par le fait que les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive " ePrivacy ", peuvent avoir attribué cette compétence à une autorité autre que leur autorité de protection des données, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du Comité européen à la protection des données (ci-après " CEPD "), alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le " guichet unique " à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.
35. Elle souligne que les accords de coopération passés entre autorités de protection des données et autorités de régulation des télécommunications dans certains Etats invoqués par la société, par exemple, aux Pays-Bas, en Suède ou en Hongrie, ont pour but d’instaurer une coopération au niveau national entre les différents régulateurs afin d’assurer la cohérence de leurs doctrines lorsqu’un traitement relève à la fois du champ matériel du RGPD et de la directive "ePrivacy" mais qu’ils n’ont pas pour objectif de faire participer en tant que telles les autorités de régulation des télécommunications au mécanisme de guichet unique prévu par le chapitre VII du RGPD.
36. La formation restreinte souligne enfin que le CEPD a, dans son avis n°5/2019 du 12 mars 2019 relatif aux interactions entre la directive " vie privée et communications électroniques " et le RGPD, estimé que [traduction libre] " Conformément au chapitre VII du RGPD, les mécanismes de coopération et de contrôle de la cohérence dont disposent les autorités chargées de la protection des données au titre du RGPD concernent le contrôle de l’application des dispositions du RGPD. Les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive " vie privée et communications électroniques " en tant que telle " et que " l’autorité ou les autorités désignées comme compétentes au sens de la directive " vie privée et communications électroniques " par les Etats membres sont exclusivement responsables du contrôle de l’application des dispositions nationales transposant la directive " vie privée et communications électroniques " qui sont applicables à ce traitement spécifique, y compris dans les cas où le traitement de données à caractère personnel relève à la fois du champ d’application matériel du RGPD et de celui de la directive " vie privée et communications électroniques "
37. La formation restreinte note encore que l’éventuelle application du mécanisme de guichet unique à un traitement encadré par la directive "ePrivacy" fait l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement "ePrivacy" en cours de négociation depuis trois ans au niveau européen. Dès lors, l’existence même de ces débats confirme qu’en l’état, le mécanisme de guichet unique prévu par le RGPD n’est pas applicable aux matières régies par l’actuelle directive "ePrivacy".
38. Il convient donc de distinguer d’une part, les opérations de lecture et d’écriture sur un terminal, qui sont régies par les dispositions de l’article 82 de la loi " Informatique et Libertés " et pour lesquelles le législateur français a confié à la CNIL une mission de contrôle et notamment le pouvoir de sanctionner toute méconnaissance de cet article et d’autre part, l’utilisation qui est faite ultérieurement des données collectées grâce aux cookies, qui est régie par le RGPD et peut donc, le cas échéant, être soumise au dispositif de" guichet unique ".
39. La formation restreinte note encore que la société a fait le choix d’utiliser un nom de domaine en " .fr. " qui est une extension désignant l'espace territorial de la France lui permettant de bénéficier d'une visibilité optimale auprès des internautes français.
40. La formation restreinte note enfin que les références au RGPD contenues dans certains documents communiqués par la CNIL durant la mission de contrôle sont sans incidence sur la légalité de la procédure dans la mesure où les opérations de contrôle sont générales mais où la CNIL n’a entendu poursuivre , par la suite, que des manquements pour lesquels elle jouit d’une compétence de sanction, qui étaient clairement indiqués dans la notification des griefs par le rapporteur et sur lesquels la société a été mise en mesure de faire valoir ses observations dans des conditions conformes au respect des droits de la défense.
41. Il résulte de ce qui précède que le mécanisme de " guichet unique " prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les opérations de lecture et écriture de cookies mises en œuvre par la société qui relèvent du champ d’application de la directive " ePrivacy ", sous réserve qu’elles se rattachent à sa compétence territoriale.
2. Sur la compétence territoriale de la CNIL
42. La règle d’application territoriale des exigences prévues à l’article 82 de la loi " informatique et libertés " est fixée à l’article 3, paragraphe I, de la loi " informatique et libertés ", qui dispose : " sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France ".
43. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du site [...].fr, est effectué dans le " cadre des activités " de la société Y qui constitue " l’établissement " sur le territoire français de la société X,. laquelle est concrètement responsable de la mise en œuvre des cookies en cause dans cette procédure, ce qu’elle n’a d’ailleurs pas contesté.
44. En défense, la société estime que la compétence territoriale de la CNIL fait en l’espèce défaut dans la mesure où l’une des conditions permettant l’action de la CNIL prévues par le I de l’article 3 de la loi " Informatique et Libertés ", en l’occurrence celle relative au fait que le traitement de données à caractère personnel doit être effectué dans le cadre des activités d'un établissement d'un responsable du traitement, n’est pas remplie. Elle souligne que la société Y n’intervient pas dans le dépôt de cookies sur les terminaux des utilisateurs et que son activité consiste à fournir des solutions marketing et de conseils aux entreprises qui souhaitent commercialiser leurs produits dans la boutique [...].fr ainsi que sur des sites tiers. Elle précise également que c’est elle qui place des publicités sur des sites tiers pour le compte de ses clients et non pas la société Y.
45. Elle considère ainsi qu’il n’existe pas de lien indissociable entre, d’une part, les activités d’Y et d’autre part, le dépôt de cookies par X à partir du site [...].fr.
46. La formation restreinte rappelle qu’en vertu de l’article 3 de la loi " Informatique et Libertés ", la CNIL est compétente pour exercer ses pouvoirs dès lors que les deux critères prévus par cet article sont remplis, en l’occurrence, l’existence d’un établissement du responsable de traitement sur le territoire français et l’existence d’un traitement effectué dans le cadre des activités de cet établissement.
47. La formation restreinte rappelle que la directive " ePrivacy ", adoptée en 2002 et modifiée en 2006 puis en 2009, ne fixe pas elle-même explicitement la règle d’application territoriale des différentes lois de transposition adoptées par chaque Etat membre. Cependant, cette directive indique qu’elle " précise et complète la directive 95/46.CE ", laquelle prévoyait à l’époque, à son article 4, que " Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ". Cette règle de détermination de la loi nationale applicable au sein de l’Union n’a plus lieu d’être pour l’application des règles du RGPD, qui a remplacé la directive 95/46/CE et s’applique uniformément sur tout le territoire de l’Union, mais il est logique que le législateur français ait maintenu le critère d’application territoriale pour les règles spécifiques du droit français, notamment celles qui transposent la directive " ePrivacy ". Dès lors, la jurisprudence de la CJUE sur l’application de l’article 4 de l’ancienne
directive 95/46/CE demeure pertinente, dans la mesure où le législateur français a utilisé ces mêmes critères pour définir la compétence territoriale de la CNIL.
48. S’agissant, en premier lieu de l’existence d’un établissement du responsable de traitement sur le territoire français, la CJUE a,dans son arrêt Weltimmo, du 1er octobre 2015, précisé que " la notion d’"établissement", au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable ", le critère de stabilité de l’installation étant examiné au regard de la présence de " moyens humains et techniques nécessaires à la fourniture de services concrets en question ". La CJUE estime qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).
49. En l’espèce, la formation restreinte relève tout d’abord que la qualité " d’établissement " de la société Y n’est pas contestée par la société. Elle relève ensuite que cette société dispose de locaux stables situés en France, au X, au sein desquels travaillent environ 120 personnes. En conséquence, elle constitue bien un établissement de la société X au sens de l’article 3 de la loi " Informatique et Libertés " précité.
50. S’agissant en second lieu de l’existence d’un traitement effectué dans le cadre des activités de cet établissement, la formation restreinte rappelle que, dans sa décision Google Spain du 13 mai 2014, la CJUE a considéré que le traitement relatif au moteur de recherche " Google Search ", était effectué " dans le cadre des activités " de la société Google Spain, établissement de la société Google Inc. dans la mesure où cette société est destinée à assurer en Espagne la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur. Elle a également précisé qu’afin d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, cette notion ne saurait recevoir une interprétation restrictive. Si dans l’arrêt Google Spain l’établissement responsable du traitement était établi en dehors de l’Union européenne, la Cour a par la suite, dans son arrêt du 5 juin 2018, appliqué la même interprétation extensive des traitements effectués " dans le cadre des activités " d’un établissement national à une situation où le traitement était en partie sous la responsabilité d’un autre établissement présent au sein de l’Union européenne (CJUE, 5 juin 2018, C-210/16, pts 53 sq). Enfin, il faut relever que l’interprétation de la notion de traitement mis en œuvre " dans le cadre des activités " d’un établissement national du responsable de traitement est sans incidence
sur le fait que le débiteur des obligations demeure le responsable de traitement et, le cas échéant, son sous-traitant.
51. La formation restreinte note que la société Y s’est présentée à la délégation de contrôle comme proposant " des solutions de marketing digital à des entreprises clientes, elles-mêmes fournissant des produits et services vendus ou non sur le site " [...].fr " auprès des entreprises souhaitant améliorer la visibilité de leurs produits sur le web. Dans ce cadre, elle est amenée à assurer, comme l’a indiqué la société X au cours du contrôle, " la promotion et la commercialisation d’outils publicitaires (" Sponsored Ads " et " [...] DSP ") qui sont contrôlés et exploités par la société X S.à.r.l., établie au Luxembourg ". Or, ces produits élaborés par la société X fonctionnent notamment grâce aux données collectées par le biais des cookies déposés sur les terminaux des internautes. La formation restreinte constate ainsi que la société Y exerce une activité permettant d’assurer en France la promotion et la commercialisation des outils développés par la société X. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi " Informatique et Libertés " sont donc réunis et que le traitement est suffisamment " territorialisé " en France pour être soumis à la loi française. L’application de la loi française ne concerne que les opérations de lecture et d’écriture qui sont effectuées sur le territoire français (l’article 4 de la directive 95/46/CE précisait d’ailleurs que la loi de l’Etat membre ne s’appliquait qu’aux activités de
l’établissement " sur le territoire de l’Etat membre "), ce qui correspond aux données lues sur les terminaux en France ou écriture sur ces terminaux en France. La formation restreinte souligne enfin qu’il s’agit d’une position constante de sa part depuis l’intervention de la jurisprudence Google Spain en 2014 (cf. notamment la décision CNIL, formation restreinte, 27 avril 2017, SAN-2017-006 ; CNIL, formation restreinte, 19 décembre 2018, SAN-2018-011).
52. Il en résulte que la loi française est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction concernant le traitement en cause qui relève du champ d’application de la directive " ePrivacy ". La compétence de la CNIL se limite à ces traitements effectués " dans le cadre de l’activité " d’Y sur le territoire français, à savoir les opérations de lecture et d’écriture exercés par le responsable de traitement sur les terminaux (ordinateurs, ordiphones, etc.) situés en France. […]
C. Sur la procédure
60. En défense, la société fait valoir que la procédure suivie par la CNIL a méconnu son droit à un procès équitable tel que garanti par l’article 6 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
61. En particulier, la société se plaint de ce qu’elle a répondu aux questions de la délégation de contrôle de la CNIL sans que cette dernière lui indique quels étaient l’objet et le fondement juridique des contrôles menés, de sorte que son droit de ne pas participer à sa propre incrimination aurait été violé. Elle explique également que la décision de la présidente de la CNIL portant désignation d’un rapporteur en date du 23 mars 2020, qui constitue un acte d’accusation, ne lui a été notifiée par courrier électronique que le 13 mai suivant, retardant d’autant la préparation de sa défense.