AgentPublic/cnil huggingface dataset:
La CNIL précise également que, le cas échéant, à des fins probatoires, les données relatives à la carte de paiement, à l’exception du cryptogramme visuel, pourront être versées en archives intermédiaires et utilisées en cas de contestation de la transaction pour la durée prévue par l’article L. 133-24 du code monétaire et financier, à savoir 13 mois suivant la date de débit ou 15 mois suivant la date de débit en cas d’utilisation de cartes de paiement à débit différé. 
En second lieu, la délégation a constaté que les données enregistrées dans certains cookies déposés par le site sont accessibles pendant une durée excessive par rapport aux finalités poursuivies. La durée de conservation la plus longue constatée pour un cookie à finalité publicitaire étant de 15 ans. 
A cet égard, la CNIL a adopté la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs. Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
Elle précise que les Cookies doivent (...) avoir une durée de vie limitée à treize mois après leur premier dépôt dans l’équipement terminal de l’utilisateur (faisant suite à l’expression du consentement) et leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site. 
L’ensemble de ces faits constitue un manquement aux obligations découlant du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées. 
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation d’informer et d’obtenir l’accord préalable des personnes concernées avant d’inscrire des informations (cookies) sur leur équipement terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies)
L’article 32-II de la loi du 6 janvier 1978 modifiée dispose que Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
des moyens dont il dispose pour s’y opposer. 
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. 
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
Les cookies nécessitant une information et un consentement préalables de l’internaute sont notamment les cookies liés aux opérations relatives à la publicité ciblée et les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux. 
Afin de proposer aux professionnels du secteur des lignes directrices en la matière, la CNIL a adopté la délibération précitée n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs.
Cette recommandation rappelle que la validité du consentement est liée à la qualité de l’information reçue. La Commission recommande donc que ce consentement soit recueilli en deux étapes :
première étape : l’internaute qui se rend sur le site d’un éditeur (page d’accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des Cookies utilisés ; de la possibilité de s’opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ; du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal ;
seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d’audience. 
En outre, la recommandation indique que l’information doit être visible, mise en évidence et complète. 
En premier lieu, lorsque la délégation s’est connectée au site web […], elle a constaté que 30 cookies ont été déposés sur son équipement terminal. Par courrier reçu par la CNIL le 16 juillet 2014, la société a indiqué que 19 de ces cookies ont une finalité publicitaire ou de partage de contenus sur les réseaux sociaux. 
La délégation a également constaté, sur le site internet, la présence d’un bandeau, indiquant que En naviguant sur […], vous acceptez nos cookies et ceux de nos partenaires, qui permettent d’améliorer votre expérience. Ainsi qu’un bouton En savoir plus. 
Cette mention d’information n’est pas satisfaisante dans la mesure où la personne n’est pas informée :
des finalités publicitaires et de partage sur les réseaux sociaux de certains des cookies déposés ;
de la possibilité de changer les paramètres des cookies en cliquant sur un lien présent dans le bandeau ;
de ce qu’une action positive de la part de l’internaute, à savoir la poursuite de la navigation sur le site, est requise pour exprimer son accord au dépôt des cookies. 
En outre, la délégation a constaté que le lien hypertexte En savoir plus présent sur le bandeau renvoie vers la page Politique de confidentialité - Respect de la vie privée qui évoque les cookies. Il est notamment précisé que Les utilisateurs ont cependant le droit de modifier les paramètres et options de leur logiciel de navigation sur internet pour empêcher l’utilisation des cookies.
Toutefois, cela peut perturber le fonctionnement de certains services ou fonctions. Si vous voulez en savoir plus sur l’utilisation des cookies stockés sur votre ordinateur, rendez-vous sur Your Online Choices. . Un lien hypertexte renvoie vers le site web www.youronlinechoices.com/fr/. 
Or, le paramétrage du navigateur ne peut être considéré comme un mécanisme valable d’opposition au dépôt des cookies que dans deux cas :
le site ne dépose pas de cookies techniques essentiels à son fonctionnement : dans ce cas, la personne concernée peut paramétrer son navigateur de manière à bloquer le dépôt de tous les cookies, qu’ils proviennent du domaine du site (cookies first party) ou du domaine d’un tiers (cookies third party), dont ceux nécessitant son consentement, et ce sans l’exposer à des conséquences négatives importantes ;
le site ne dépose pas de cookies first party nécessitant le recueil du consentement de la personne concernée : dans ce cas, cette dernière peut paramétrer son navigateur de manière à bloquer le dépôt de cookies third party sans empêcher le site de fonctionner ni risquer que des cookies first party soumis au consentement ne soient déposés. 
En l’espèce, le site dépose des cookies techniques internes (first party) essentiels à son fonctionnement (notamment […]). 
En outre, il a été constaté que le site dépose des cookies first party soumis au consentement, par exemple le cookie ema_ace dont la finalité publicitaire a été confirmée par la société lors du contrôle. 
Par conséquent, le paramétrage du navigateur ne peut, en l’espèce, être considéré comme un mécanisme valable d’opposition au dépôt de cookies.
Par ailleurs, la délégation a constaté que le dépôt de cookies dans l’équipement terminal de communications électroniques de l’internaute s’opère dès la connexion au site internet, avant toute action de la part de l’internaute tendant à poursuivre sa navigation sur le site. 
Au regard de ce qui précède, il apparaît que le site internet n’a pas informé les personnes concernées et n’a pas recueilli leur consentement avant de procéder au dépôt des cookies.
En second lieu, concernant les applications mobiles […], développées pour fonctionner dans les environnements APPLE et ANDROID, qui utilisent des cookies notamment à finalités publicitaires, la délégation a été informée que le fonctionnement du tracking publicitaire sur celles-ci est similaire à celui effectué sur des ordinateurs. Il a été constaté la présence d’un bandeau d’information relatif aux cookies sur la version mobile qui renvoie à la page de confidentialité du site. Toutefois, la délégation a été informée qu’aucune procédure d’opposition aux cookies n’est mise en œuvre sur ce support. 
L’ensemble de ces faits constitue un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet notamment à information et à accord préalables de l’internaute le dépôt de tels cookies. 
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €. 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données 
(...)
Eu égard notamment à la sensibilité des données, ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant 
Les contrats conclus entre la société X et les prestataires de services (...) ne prévoient pas de clause relative aux obligations du sous-traitant en matière de protection de la sécurité et de la confidentialité des données et de ce que le sous-traitant ne peut agir que sur instruction du responsable du traitement.
Ces faits constituent un manquement aux dispositions de l’article 35 de la loi n° 78-17 du 6 janvier 1978 qui dispose notamment que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement. 
En conséquence, la société X, sise […], est mise en demeure, sous un délai de trois (3) mois, à compter de la notification de la présente décision, et sous réserve des mesures qu’elle aurait déjà pu adopter, de : 
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation en ce qui concerne les traitements de données susceptibles d’exclure des personnes ; 
recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - en l’espèce des données relatives à la vie sexuelle des personnes - par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte ;
procéder à l’information des utilisateurs du site, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, directement sur les formulaires de collecte des données, des traitements de leurs données à caractère personnel ; 
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment :
respecter la durée de conservation des données à caractère personnel telle qu’indiqué dans la déclaration préalable du traitement de gestion des membres du site web ; à défaut procéder à la modification de cette déclaration et justifier de la durée de conservation choisie ;
procéder à la purge des données relatives aux comptes ayant été supprimés (comptes dont les utilisateurs se sont désinscrits) et aux comptes inactifs (suspension volontaire du compte incluse) depuis un certain délai, 2 ans par exemple ;
le cas échéant, pour le traitement ayant pour finalité l’élaboration de statistiques, veiller à l’anonymisation irréversible en procédant à la purge de toutes données à caractère personnel, y compris les données indirectement identifiantes ;
en matière de données relatives à la carte de paiement, procéder à la purge des données au-delà de la durée nécessaire à la transaction, le cas échéant sous réserves des dispositions de l’article L. 121-20-12 du code de la consommation et de l’article L. 133-24 du code monétaire et financier uniquement pour le versement en archives intermédiaires (cryptogramme visuel excepté) ;
en matière de cookies, ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée. 
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies). A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties légales :
d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet :
les finalités de tous les cookies soumis au consentement ;
que la personne concernée a la possibilité de changer les paramètres de ces cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer vers une page présentant les solutions adéquates mises à la disposition des personnes concernées pour accepter ou refuser le dépôt des cookies ;
que la poursuite de la navigation vaut consentement au dépôt des cookies ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ; 
adopter les mesures visant à assurer la sécurité et la confidentialité des données, notamment en : 
(...) 
prévoir au sein de tous les contrats liant la société X aux sociétés prestataires de services, en particulier les sociétés (...) des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société X et préciser que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée. 
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens. 
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée. 
La Présidente 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-059 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ; 
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 15 juillet 2015. 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives à leurs origines ethniques ou raciales, à leurs opinions religieuses et à leur vie sexuelle). 
En deuxième lieu, la publicité se justifie par le très grand nombre d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données, la conduisant en pratique à conserver les données personnelles des comptes inactifs.
La mesure de publicité se fonde également sur le statut de l’organisme en cause qui se présente comme le leader européen des sites de rencontres. Aussi, compte tenu du grand nombre d’utilisateurs du site, il apparaît nécessaire d’informer les personnes concernées des droits qu’elles détiennent en application de la loi du 6 janvier 1978 modifiée.
Enfin, le bureau estime que la publicité est nécessaire pour sensibiliser plus largement les responsables de traitements au cadre légal gouvernant les sites de rencontre en ligne qui connaissent un fort développement. 
En conséquence, le bureau de la Commission décide de rendre publique la décision n° 2015-059 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-021 du 24 juin 2015 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 24 juin 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois (3) les manquements constatés à cette même loi.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 15 juillet 2015.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie, en premier lieu, par le nombre et la nature des manquements constatés et par l’atteinte consécutive aux intérêts, droits et libertés fondamentaux des personnes concernées. Le bureau relève notamment, à cet égard, l’absence d’information et de consentement exprès des personnes à la collecte et au traitement de leurs données sensibles (données relatives aux origines ethniques ou raciales et aux opinions religieuses).
En deuxième lieu, la publicité se justifie par le très grand nombre de personnes concernées, qu’il s’agisse d’utilisateurs inscrits ou de personnes ayant clôturé leur compte. A cet égard, le bureau relève que la société ne respecte pas de règles de durée de conservation des données, la conduisant en pratique à conserver des données personnelles de comptes ayant pourtant fait l’objet d’une demande de suppression.